El perfil IKEv2 està definit però no enllaçat: seguiu la cadena

El perfil IKEv2 és a la configuració desada, l'anell de claus també hi és, i el túnel continua sense aixecar-se. A Cisco IOS XE un perfil és un objecte que porta la concordança d'identitat i les opcions d'autenticació, i un objecte no fa res fins que un altre objecte el referencia i una interfície enllaça aquest objecte a un camí. La majoria de sessions de depuració de la fase 1 fallides s'alten una d'aquestes referències. Llegiu la cadena des de l'anell de claus cap enfora abans de canviar cap proposta o política.

Què és realment un objecte de perfil

El perfil IKEv2 conté la concordança d'identitat remota, els mètodes d'autenticació local i remot i una referència a un anell de claus per a dissenys amb clau prèviament compartida. Descriu com es reconeix un par i com es demostra ell mateix, i no anomena cap interfície.

L'anell de claus és un objecte separat que conté les claus prèviament compartides. El mapa criptogràfic o el perfil IPsec és un tercer objecte que referencia el perfil IKEv2 i aporta la configuració de protecció. L'enllaç a la interfície és el quart pas, on s'aplica un mapa criptogràfic o s'activa la protecció del túnel. Cada salt és una referència diferent, i un salt que falta deixa tots els objectes correctes en aïllament.

Seguiu la cadena de referències en ordre

Comenceu per l'anell de claus que anomena el perfil, després confirmeu el nom del perfil que referencia el mapa criptogràfic o el perfil IPsec, i finalment trobeu la interfície que consumeix aquest darrer objecte. Escriviu cada nom al costat de l'objecte que el consumeix; aquesta llista curta és més útil que comprovar que cada bloc esperat existeix en algun lloc de la configuració.

Les ruptures habituals són mecàniques. Un nom de perfil difereix en un caràcter del que referencia el mapa criptogràfic. El mapa criptogràfic existeix però mai es va aplicar a la interfície. L'ordre de protecció del túnel apunta a un perfil IPsec que referencia un perfil IKEv2 diferent. Un contestador sense enllaç explícit és un cas documentat, però un iniciador sense enllaç simplement no està configurat per al camí.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Llegiu el fragment com una cadena, no com una plantilla. La interfície anomena el perfil IPsec, el perfil IPsec anomena el perfil IKEv2, i el perfil IKEv2 anomena l'anell de claus. Trenqueu qualsevol d'aquests noms i la configuració encara s'analitza, per això el router l'accepta i el túnel queda aturat.

El mapa criptogràfic i la protecció del túnel són alternatives

Cisco documenta dos arranjaments d'enllaç. Un mapa criptogràfic es pot aplicar a una interfície i pot referenciar el perfil IKEv2 mitjançant la seva ordre set. La protecció del túnel enllaça un perfil IPsec a una interfície de túnel. Tots dos són vàlids, i no s'han d'instal·lar junts com a mesura de doble seguretat.

L'origen i la destinació del túnel identifiquen l'arranjament extern de lliurament, i són separats de l'enllaç de protecció. Una interfície LAN, la interfície de túnel i la interfície d'origen externa fan tres papers diferents. Un mapa criptogràfic a la interfície LAN no protegeix el túnel, i un túnel amb protecció activada però sense adreça d'origen abastable mai envia un paquet al seu par.

Inspeccioneu l'estat carregat, no només el text. La versió instal·lada té ordres que connecten els objectes configurats amb la sessió negociada, i són aquestes les que cal citar en un tiquet. Una configuració desada demostra la intenció; una taula de sessions demostra el camí.

L'excepció del contestador no és una regla per als iniciadors

La guia d'IOS XE assenyala que un enllaç explícit del perfil IKEv2 pot ser opcional en un contestador. Aquesta excepció no elimina les comprovacions d'autenticació ni d'identitat, i no fa opcional el perfil al costat que inicia la connexió.

Si el vostre router inicia, tracteu l'enllaç com a obligatori i seguiu-lo de punta a punta. Si el vostre router només respon, confirmeu quin perfil va coincidir realment amb el par entrant, perquè un contestador pot seleccionar un perfil per identitat en lloc de per referència d'interfície.

Comproveu el camí, no la configuració desada

Després que els enllaços coincideixin, proveu una aplicació permesa i anoteu-ne l'origen, la destinació i la ruta interns. Una sol·licitud originada pel router pot utilitzar una adreça d'origen diferent del trànsit reenviat des de la LAN, i l'abast de protecció pot cobrir només una de les dues.

Una definició correctament enllaçada no demostra que els selectors, la ruta de retorn i la política d'interfície cobreixin el vostre flux. Envieu trànsit real i llegiu l'estat negociat, i repetiu-ho després d'una reconnexió per saber que la cadena sobreviu a una negociació nova. Manteniu l'explicació dins d'IOS XE IKEv2; un desplegament històric amb mapa criptogràfic IKEv1 té un model d'objectes diferent i no s'ha de depurar amb aquesta cadena.

Escriviu els quatre noms al registre de canvis quan el túnel funcioni. La propera persona que toqui el mapa criptogràfic els necessitarà, i la cadena és la part del disseny que la configuració en execució no explica.