IKEv2 প্রোফাইল সংজ্ঞায়িত কিন্তু সংযুক্ত নয়: শিকলটি অনুসরণ করুন

IKEv2 প্রোফাইলটি সংরক্ষিত কনফিগারেশনে আছে, কী রিংও সেখানে আছে, তবুও টানেল উঠছে না। Cisco IOS XE-তে একটি প্রোফাইল হলো এমন একটি অবজেক্ট যা পরিচয় মিলানো ও প্রমাণীকরণের পছন্দ বহন করে, এবং অন্য কোনো অবজেক্ট এটি রেফারেন্স না করা পর্যন্ত এবং কোনো ইন্টারফেস সেই অবজেক্টকে পথের সঙ্গে যুক্ত না করা পর্যন্ত অবজেক্টটি কিছুই করে না। অধিকাংশ ব্যর্থ ফেজ 1 ডিবাগিং সেশন এই রেফারেন্সগুলোর একটি বাদ দেয়। যেকোনো প্রস্তাব বা নীতি পরিবর্তনের আগে কী রিং থেকে বাইরের দিকে শিকলটি পড়ুন।

প্রোফাইল অবজেক্ট আসলে কী

IKEv2 প্রোফাইল দূরবর্তী পরিচয় মিলানো, স্থানীয় ও দূরবর্তী প্রমাণীকরণ পদ্ধতি এবং প্রি-শেয়ার্ড-কী ডিজাইনের জন্য একটি কী রিংয়ের রেফারেন্স ধরে রাখে। এটি বর্ণনা করে পিয়ারকে কীভাবে চেনা হয় এবং সে কীভাবে নিজেকে প্রমাণ করে, আর এটি কোনো ইন্টারফেসের নাম বলে না।

কী রিং একটি আলাদা অবজেক্ট যা প্রি-শেয়ার্ড কী ধরে রাখে। ক্রিপ্টো ম্যাপ বা IPsec প্রোফাইল তৃতীয় অবজেক্ট যা IKEv2 প্রোফাইলকে রেফারেন্স করে এবং সুরক্ষা সেটিংস সরবরাহ করে। ইন্টারফেস সংযুক্তি চতুর্থ ধাপ, যেখানে ক্রিপ্টো ম্যাপ প্রয়োগ করা হয় বা টানেল সুরক্ষা চালু করা হয়। প্রতিটি ধাপ আলাদা রেফারেন্স, আর একটি অনুপস্থিত ধাপ প্রতিটি অবজেক্টকে বিচ্ছিন্নভাবে সঠিক দেখায়।

রেফারেন্স শিকলটি ক্রমানুসারে অনুসরণ করুন

প্রোফাইল যে কী রিংয়ের নাম বলে সেখান থেকে শুরু করুন, তারপর ক্রিপ্টো ম্যাপ বা IPsec প্রোফাইল যে প্রোফাইলের নাম রেফারেন্স করে তা নিশ্চিত করুন, তারপর সেই শেষ অবজেক্টটি ব্যবহারকারী ইন্টারফেসটি খুঁজুন। প্রতিটি নাম যে অবজেক্ট ব্যবহার করে তার পাশে লিখুন; এই ছোট তালিকাটি কনফিগারেশনের কোথাও প্রতিটি প্রত্যাশিত ব্লক আছে কিনা যাচাই করার চেয়ে বেশি কাজে দেয়।

সাধারণ ভাঙাগুলো যান্ত্রিক। একটি প্রোফাইলের নাম ক্রিপ্টো ম্যাপ যে নাম রেফারেন্স করে তার থেকে এক অক্ষরে আলাদা। ক্রিপ্টো ম্যাপ আছে কিন্তু কখনো ইন্টারফেসে প্রয়োগ করা হয়নি। টানেল সুরক্ষা কমান্ডটি এমন একটি IPsec প্রোফাইল দেখায় যা ভিন্ন IKEv2 প্রোফাইল রেফারেন্স করে। স্পষ্ট সংযুক্তি ছাড়া রেসপন্ডার একটি নথিভুক্ত ঘটনা, কিন্তু সংযুক্তি ছাড়া ইনিশিয়েটর কেবল পথের জন্য কনফিগার করা নেই।

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

অংশটিকে টেমপ্লেট নয়, শিকল হিসেবে পড়ুন। ইন্টারফেস IPsec প্রোফাইলের নাম বলে, IPsec প্রোফাইল IKEv2 প্রোফাইলের নাম বলে, আর IKEv2 প্রোফাইল কী রিংয়ের নাম বলে। এই নামগুলোর যেকোনো একটি ভাঙলে কনফিগারেশন তবুও পার্স হয়, তাই রাউটার এটি গ্রহণ করে আর টানেল নিচেই থাকে।

ক্রিপ্টো ম্যাপ ও টানেল সুরক্ষা বিকল্প

Cisco দুটি সংযুক্তি ব্যবস্থা নথিভুক্ত করে। একটি ক্রিপ্টো ম্যাপ ইন্টারফেসে প্রয়োগ করা যায় এবং তার set কমান্ডের মাধ্যমে IKEv2 প্রোফাইল রেফারেন্স করতে পারে। টানেল সুরক্ষা একটি IPsec প্রোফাইলকে টানেল ইন্টারফেসে সংযুক্ত করে। দুটোই বৈধ, এবং এগুলোকে দ্বিগুণ সতর্কতার ব্যবস্থা হিসেবে একসঙ্গে ইনস্টল করার কথা নয়।

টানেলের উৎস ও গন্তব্য বাইরের ডেলিভারি ব্যবস্থা নির্ধারণ করে, এবং সেগুলো সুরক্ষা সংযুক্তি থেকে আলাদা। একটি LAN ইন্টারফেস, টানেল ইন্টারফেস এবং বাইরের উৎস ইন্টারফেস তিনটি ভিন্ন ভূমিকা পালন করে। LAN ইন্টারফেসের ক্রিপ্টো ম্যাপ টানেলকে সুরক্ষা দেয় না, আর সুরক্ষা চালু থাকলেও পৌঁছানোযোগ্য উৎস ঠিকানা ছাড়া টানেল তার পিয়ারের কাছে কখনো প্যাকেট পাঠায় না।

লোড হওয়া অবস্থা যাচাই করুন, শুধু লেখা নয়। ইনস্টল করা সংস্করণে এমন কমান্ড আছে যা কনফিগার করা অবজেক্টগুলোকে দর কষাকষি করা সেশনের সঙ্গে যুক্ত করে, আর টিকিটে সেগুলোই উদ্ধৃত করতে হয়। সংরক্ষিত কনফিগারেশন অভিপ্রায় প্রমাণ করে; সেশন টেবিল পথ প্রমাণ করে।

রেসপন্ডারের ব্যতিক্রম ইনিশিয়েটরদের জন্য নিয়ম নয়

IOS XE নির্দেশিকা উল্লেখ করে যে রেসপন্ডারে স্পষ্ট IKEv2 প্রোফাইল সংযুক্তি ঐচ্ছিক হতে পারে। সেই ব্যতিক্রম প্রমাণীকরণ বা পরিচয় যাচাই সরায় না, এবং সংযোগ শুরু করা পক্ষে প্রোফাইলকে ঐচ্ছিক করে না।

যদি আপনার রাউটার শুরু করে, সংযুক্তিকে বাধ্যতামূলক ধরুন এবং শুরু থেকে শেষ পর্যন্ত অনুসরণ করুন। যদি আপনার রাউটার কেবল উত্তর দেয়, তবে আসা পিয়ারের সঙ্গে কোন প্রোফাইল সত্যিই মিলেছে তা নিশ্চিত করুন, কারণ রেসপন্ডার ইন্টারফেস রেফারেন্সের বদলে পরিচয় দিয়ে প্রোফাইল বেছে নিতে পারে।

পথ যাচাই করুন, সংরক্ষিত কনফিগারেশন নয়

সংযুক্তিগুলো মিলে যাওয়ার পর একটি অনুমোদিত অ্যাপ্লিকেশন পরীক্ষা করুন এবং তার ভেতরের উৎস, গন্তব্য ও রুট লিখে রাখুন। রাউটার থেকে উৎপন্ন অনুরোধ LAN থেকে ফরোয়ার্ড করা ট্রাফিকের চেয়ে ভিন্ন উৎস ঠিকানা ব্যবহার করতে পারে, আর সুরক্ষার পরিধি তাদের একটিকেই ঢাকতে পারে।

সঠিকভাবে সংযুক্ত একটি সংজ্ঞা প্রমাণ করে না যে সিলেক্টর, ফিরতি রুট ও ইন্টারফেস নীতি আপনার ফ্লো ঢাকে। প্রকৃত ট্রাফিক পাঠান এবং দর কষাকষি করা অবস্থা পড়ুন, তারপর পুনরায় সংযোগের পর পুনরাবৃত্তি করুন যাতে জানেন শিকলটি নতুন দর কষাকষি সইতে পারে। ব্যাখ্যাটি IOS XE IKEv2-এর মধ্যে রাখুন; ঐতিহাসিক IKEv1 ক্রিপ্টো-ম্যাপ স্থাপনার অবজেক্ট মডেল আলাদা এবং এটি দিয়ে ডিবাগ করা উচিত নয়।

টানেল কাজ করলে চারটি নাম পরিবর্তন রেকর্ডে লিখুন। পরবর্তী যে ব্যক্তি ক্রিপ্টো ম্যাপে হাত দেবেন তার সেগুলো লাগবে, আর শিকলটি ডিজাইনের সেই অংশ যা চলমান কনফিগারেশন ব্যাখ্যা করে না।