কোন VRF VPN পিয়ারের কাছে পৌঁছায় আর কোনটি প্যাকেট বহন করে?

গ্রাহকের রাউটিং কনটেক্সটের ভিতরের প্রতিটি টানেলকেও তার দূরবর্তী পিয়ারের কাছে পৌঁছাতে হয়, এবং সেই লুকআপ সম্পূর্ণ ভিন্ন একটি টেবিলে ঘটতে পারে। এখানে ভুল করলে VRF-সচেতন IPsec-এ সবচেয়ে বিভ্রান্তিকর ব্যর্থতাগুলোর একটি ঘটে: টানেল উঠে আসে, রুটগুলো উপস্থিত দেখায়, আর ট্রাফিক মরে যায় কারণ দুটি লুকআপের একটি ভুল কনটেক্সট ব্যবহার করেছে। নিচের চারটি ধাপ ক্রমানুসারে সম্পন্ন করুন এবং দুটি গন্তব্য আলাদাভাবে লিখে রাখুন।

দুটি লুকআপ, একটি টানেল

বাইরের এনক্যাপসুলেটেড প্যাকেটটি পিয়ারের ট্রান্সপোর্ট ঠিকানায় সম্বোধন করা হয় এবং কোনো সুরক্ষা থাকার আগেই রাউট হয়। ভিতরের প্যাকেটটি গ্রাহকের সার্ভারে সম্বোধন করা হয় এবং ডিক্যাপসুলেশনের পরে, গ্রাহকের কনটেক্সটের ভিতরে রাউট হয়। এগুলো দুটি গন্তব্য, দুটি লুকআপ এবং প্রায়ই দুটি ভিন্ন টেবিল।

VRF-সচেতন IPsec-এর জন্য Cisco-র ডকুমেন্টেশন এদের সামনের দরজার VRF এবং ভিতরের VRF বলে। সামনের দরজা এনক্রিপ্টেড ট্রান্সপোর্ট বহন করে, আর ভিতরের কনটেক্সট সুরক্ষিত ট্রাফিক বহন করে। গ্রাহকের নামে একটি টানেলের নামকরণ করলে দুটির কোনো রুটই নিজে থেকে দেখা যায় না।

তাই কনফিগারেশন বদলানোর আগে চারটি তথ্য তালিকাভুক্ত করুন: পিয়ারের ট্রান্সপোর্ট ঠিকানা এবং যে কনটেক্সট সেখানে পৌঁছায়, তারপর সার্ভারের প্রিফিক্স এবং যে কনটেক্সট সেখানে পৌঁছায়। চারটিই পূরণ করতে না পারলে আপনি অনুমান করতে যাচ্ছেন। এই ক্ষেত্রে অনুমান ব্যয়বহুল, কারণ ভুল টেবিলে যোগ করা একটি রুট একটি ফ্লো কাজ করাতে পারে আর আরেকটি চুপচাপ ভেঙে দিতে পারে। চারটি তথ্য সংগ্রহ করতে দশ মিনিট লাগে এবং এক দিনের ক্যাপচার বিশ্লেষণ বাঁচায়।

পিয়ারের জন্য ট্রান্সপোর্ট লুকআপ নিশ্চিত করুন

সামনের দরজা দিয়ে শুরু করুন, কারণ যে টানেল তার পিয়ারের কাছে পৌঁছাতে পারে না সেটি কখনোই একটি সুরক্ষিত প্যাকেটও পার হতে দেবে না। IOS-এ গ্লোবাল টেবিলের বদলে ট্রান্সপোর্ট VRF-এর ভিতরে পিয়ারের রুট চান।

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

প্রথম কমান্ডটি উত্তর দেয় সেই কনটেক্সটে পিয়ারের ঠিকানা পৌঁছানো যায় কি না, দ্বিতীয়টি প্রকৃতপক্ষে বিদ্যমান VRF-গুলো তালিকাভুক্ত করে, আর তৃতীয়টি দেখায় কোনো সিকিউরিটি অ্যাসোসিয়েশন তৈরি হয়েছে কি না। যে পিয়ার ঠিকানা কেবল গ্লোবাল টেবিলে রিজলভ হয় সেটিই চিরাচরিত সামনের-দরজার ভুল, এবং এটি এমন IKE আলোচনা হিসেবে দেখা যায় যা কখনো শুরু হয় না।

ইন্টারফেস অ্যাসাইনমেন্টও যাচাই করুন। নথিভুক্ত আচরণে টানেলের সামনের-দরজার VRF এবং WAN ইন্টারফেসের VRF মিলতে হয়; অমিল হলে প্যাকেট বের হতে পারে অথচ উত্তর সঠিক কনটেক্সটে প্রক্রিয়া হতে বাধা পেতে পারে।

সার্ভারের জন্য ভিতরের লুকআপ নিশ্চিত করুন

সামনের দরজা প্রমাণিত হলে গ্রাহকের কনটেক্সটে যান এবং সার্ভারের প্রিফিক্স সম্পর্কে একই প্রশ্ন করুন। এই লুকআপই ঠিক করে ডিক্যাপসুলেটেড প্যাকেট সামনে পাঠানো যাবে কি না।

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

প্রথম কমান্ডটি ভিতরের রুট দেখায়, আর দ্বিতীয়টি সেশন অবস্থা এবং প্ল্যাটফর্ম যে কনটেক্সটগুলো এর সঙ্গে যুক্ত করেছে তা দেখায়। রুট থাকলে কিন্তু সেশন বিবরণ ভুল ভিতরের কনটেক্সটের নাম দিলে, টানেল এমন টেবিলে পাঠাচ্ছে যা গ্রাহকের প্রিফিক্স জানে না।

গ্লোবাল টেবিলের একটি রুট দুটি লুকআপের কোনোটিরই প্রমাণ নয়। প্যাকেট কোনো VRF-এর সঙ্গে যুক্ত না থাকলে গ্লোবাল রুট ব্যবহার হয়, আর গ্রাহক কনটেক্সটে অ্যাসাইন করা টানেল ইন্টারফেস সেই সংযোগ বদলে দেয়। ভিতরের রুট না থাকলে প্যাকেট ডিক্যাপসুলেট হয়ে ফরওয়ার্ডিং এন্ট্রির অভাবে ফেলে দেওয়া হয়, যা রাউটিং ভুলের বদলে প্যাকেট লসের মতো দেখায়।

সেটিংটি মডেল যেখানে আশা করে সেখানে রাখুন

একই ডকুমেন্টেশন কনফিগারেশন মডেলের মধ্যে পার্থক্য করে, এবং একটির অন্তর্গত সেটিং অন্যটির অন্তর্গত হওয়া আবশ্যক নয়। টানেল সুরক্ষা ব্যবহার করা টানেল ইন্টারফেসের জন্য ভিতরের VRF টানেল ইন্টারফেসে সংজ্ঞায়িত হয়। crypto map ভিত্তিক ডিজাইনে ভিতরের VRF crypto map এন্ট্রির অংশ। ভূমিকা যাচাই না করে অনুরূপ নামের কমান্ড এক মডেল থেকে আরেকটিতে সরানোই কাজ করা ডিজাইনকে অনিয়মিত করে তোলে।

রাউটিং ও পরিচয় আলাদা বিষয়। পৌঁছানোর ক্ষমতা কখনোই ডিভাইস যে পিয়ার প্রোফাইল গ্রহণ করবে তার বিকল্প নয়, এবং VRF-এর নাম বদলালে উপস্থাপিত শংসাপত্র বদলানো উচিত নয়। যেকোনো পরিবর্তনের পরে দুটিই যাচাই করুন, কারণ ভুল প্রোফাইলে আলোচনা করা টানেলও অ্যাসোসিয়েশন তৈরি করে কিছুই পাঠাতে পারে না।

পরিশেষে, চারটি তথ্য এবং যে কমান্ডগুলো সেগুলো প্রমাণ করেছে তা পরিবর্তন রেকর্ডে লিখুন। পরবর্তী প্রকৌশলী টানেলটি উত্তরাধিকার পাবেন, যুক্তিটি নয়, এবং দুটি কনটেক্সটের নাম উল্লেখ করা একটি ছোট নোট যে কেউ হালনাগাদ করে না এমন একটি ডায়াগ্রামের চেয়ে বেশি মূল্যবান।