IKEv2 profil je definiran, ali nije povezan: pratite lanac

Sačuvani IKEv2 profil je objekat, a ne putanja. Pratite prsten ključeva, profil, crypto map ili IPsec profil i priključak na interfejs prije nego što otklanjate greške u fazi 2.

IKEv2 profil je u sačuvanoj konfiguraciji, prsten ključeva je također tu, a tunel se ipak ne podiže. Na Cisco IOS XE profil je objekat koji nosi podudaranje identiteta i izbor autentifikacije, a objekat ne radi ništa dok se drugi objekat ne pozove na njega i dok interfejs ne priključi taj objekat na putanju. Većina neuspješnih sesija otklanjanja grešaka faze 1 preskoči jednu od tih referenci. Pročitajte lanac od prstena ključeva prema van prije nego što promijenite bilo koji predlog ili politiku.

Šta je zapravo objekat profila

IKEv2 profil drži podudaranje udaljenog identiteta, lokalne i udaljene metode autentifikacije i referencu na prsten ključeva za dizajne s unaprijed dijeljenim ključem. On opisuje kako se partner prepoznaje i kako dokazuje sebe, i ne imenuje nijedan interfejs.

Prsten ključeva je zaseban objekat koji drži unaprijed dijeljene ključeve. Crypto map ili IPsec profil je treći objekat koji referencira IKEv2 profil i daje postavke zaštite. Priključivanje na interfejs je četvrti korak, gdje se primjenjuje crypto map ili uključuje zaštita tunela. Svaki skok je zasebna referenca, a skok koji nedostaje ostavlja svaki objekat ispravnim u izolaciji.

Pratite lanac referenci po redu

Počnite od prstena ključeva koji profil imenuje, zatim potvrdite ime profila na koje se poziva crypto map ili IPsec profil, pa pronađite interfejs koji troši taj posljednji objekat. Zapišite svako ime pored objekta koji ga troši; ta kratka lista je korisnija od provjere da svaki očekivani blok postoji negdje u konfiguraciji.

Uobičajeni prekidi su mehanički. Ime profila se razlikuje za jedan znak od onoga na koje se poziva crypto map. Crypto map postoji, ali nikada nije primijenjen na interfejs. Komanda za zaštitu tunela pokazuje na IPsec profil koji referencira drugi IKEv2 profil. Respondent bez izričitog priključka je dokumentovan slučaj, ali inicijator bez priključka jednostavno nije konfigurisan za putanju.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Čitajte isječak kao lanac, a ne kao šablon. Interfejs imenuje IPsec profil, IPsec profil imenuje IKEv2 profil, a IKEv2 profil imenuje prsten ključeva. Slomite bilo koje od tih imena i konfiguracija se i dalje parsira, zato je ruter prihvata, a tunel ostaje pao.

Crypto map i zaštita tunela su alternative

Cisco dokumentuje dva rasporeda priključivanja. Crypto map se može primijeniti na interfejs i može referencirati IKEv2 profil kroz svoju set komandu. Zaštita tunela priključuje IPsec profil na tunelski interfejs. Oba su valjana i nisu predviđena da se instaliraju zajedno kao dvostruka mjera opreza.

Izvor i odredište tunela određuju vanjski raspored dostave i odvojeni su od priključka zaštite. LAN interfejs, tunelski interfejs i vanjski izvorni interfejs igraju tri različite uloge. Crypto map na LAN interfejsu ne štiti tunel, a tunel sa uključenom zaštitom ali bez dostupne izvorne adrese nikada ne šalje paket svom partneru.

Provjerite učitano stanje, ne samo tekst. Instalirano izdanje ima komande koje povezuju konfigurisane objekte s pregovaranom sesijom, i upravo njih citirajte u tiketu. Sačuvana konfiguracija dokazuje namjeru; tabela sesija dokazuje putanju.

Iznimka za respondenta nije pravilo za inicijatore

Vodič za IOS XE napominje da izričito priključivanje IKEv2 profila može biti opcionalno na respondentu. Ta iznimka ne uklanja provjere autentifikacije ni identiteta i ne čini profil opcionalnim na strani koja započinje vezu.

Ako vaš ruter inicira, tretirajte priključak kao obavezan i pratite ga od početka do kraja. Ako vaš ruter samo odgovara, potvrdite koji se profil stvarno podudario s dolaznim partnerom, jer respondent može odabrati profil po identitetu, a ne po referenci interfejsa.

Provjerite putanju, a ne sačuvanu konfiguraciju

Nakon što se priključci poravnaju, testirajte jednu dozvoljenu aplikaciju i zabilježite njen unutrašnji izvor, odredište i rutu. Zahtjev koji potiče od rutera može koristiti drugu izvornu adresu od prometa proslijeđenog s LAN-a, a obim zaštite može pokrivati samo jedan od njih.

Ispravno priključena definicija ne dokazuje da selektori, povratna ruta i interfejsna politika pokrivaju vaš tok. Pošaljite stvarni promet i pročitajte pregovarano stanje, pa ponovite nakon ponovnog povezivanja da znate da lanac preživljava novo pregovaranje. Držite objašnjenje u okviru IOS XE IKEv2; historijsko postavljanje s crypto map IKEv1 ima drugačiji model objekata i ne treba ga otklanjati ovim lancem.

Zapišite četiri imena u zapis o promjenama kada tunel radi. Sljedeća osoba koja dira crypto map trebat će ih, a lanac je dio dizajna koji radna konfiguracija ne objašnjava.

Povezani članci