Quin VRF arriba al par de VPN i quin transporta el paquet?

Cada túnel dins d’un context d’encaminament de client encara ha d’arribar al seu par remot, i aquesta consulta pot ocórrer en una taula completament diferent. Fer-ho malament produeix una de les fallades més confuses en IPsec amb consciència de VRF: el túnel s’aixeca, les rutes semblen presents i el trànsit mor perquè una de les dues consultes ha utilitzat el context equivocat. Executeu els quatre passos següents en ordre i anoteu les dues destinacions per separat.

Dues consultes, un túnel

El paquet encapsulat exterior s’adreça a l’adreça de transport del par i s’encamina abans que existeixi cap protecció. El paquet interior s’adreça a un servidor del client i s’encamina després de la desencapsulació, dins del context del client. Són dues destinacions, dues consultes i sovint dues taules diferents.

La documentació de Cisco per a IPsec amb consciència de VRF els anomena VRF de la porta d’entrada i VRF interior. La porta d’entrada transporta el trànsit xifrat, i el context interior transporta el trànsit protegit. Res en el fet de batejar un túnel amb el nom d’un client fa aparèixer cap de les dues rutes.

Per tant, enumereu quatre fets abans de canviar una configuració: l’adreça de transport del par i el context que hi arriba, després el prefix del servidor i el context que hi arriba. Si no podeu omplir els quatre, esteu a punt d’endevinar. Endevinar en aquest àmbit és car, perquè una ruta afegida a la taula equivocada pot fer funcionar un flux mentre trenca un altre en silenci. Els quatre fets es recullen en deu minuts i estalvien un dia d’anàlisi de captures.

Confirmeu la consulta de transport del par

Comenceu per la porta d’entrada, perquè un túnel que no pot arribar al seu par mai no deixarà passar ni un sol paquet protegit. A IOS, demaneu la ruta cap al par dins del VRF de transport en lloc de la taula global.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

La primera ordre respon si l’adreça del par és abastable en aquest context, la segona llista els VRF que realment existeixen i la tercera mostra si s’ha format una associació de seguretat. Una adreça de par que només es resol a la taula global és l’error clàssic de la porta d’entrada, i es presenta com una negociació IKE que no comença mai.

Comproveu també l’assignació d’interfície. El comportament documentat exigeix que el VRF de la porta d’entrada del túnel i el VRF de la interfície WAN coincideixin; una discrepància pot deixar sortir un paquet i tot i així impedir que la resposta es processi en el context correcte.

Confirmeu la consulta interior del servidor

Amb la porta d’entrada provada, canvieu al context del client i feu la mateixa pregunta sobre el prefix del servidor. Aquesta consulta decideix si un paquet desencapsulat es pot reenviar més enllà.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

La primera ordre mostra la ruta interior, i la segona mostra l’estat de la sessió juntament amb els contextos que la plataforma hi ha associat. Si la ruta existeix però el detall de la sessió anomena un context interior equivocat, el túnel està reenviant cap a una taula que no coneix el prefix del client.

Una ruta a la taula global no és evidència per a cap de les dues consultes. Les rutes globals s’utilitzen quan un paquet no està associat a cap VRF, i una interfície de túnel assignada a un context de client canvia aquesta associació. Si falta la ruta interior, el paquet es desencapsula i després es descarta per manca d’una entrada de reenviament, cosa que sembla pèrdua de paquets i no un error d’encaminament.

Col·loqueu el paràmetre on el model l’espera

La mateixa documentació distingeix models de configuració, i un paràmetre que pertany a un no pertany necessàriament a un altre. Per a interfícies de túnel amb protecció de túnel, el VRF interior es defineix a la interfície del túnel. Per a dissenys basats en crypto map, el VRF interior forma part de l’entrada de crypto map. Moure una ordre de nom similar entre models sense comprovar-ne el paper és com un disseny que funciona es torna intermitent.

Encaminament i identitat són qüestions separades. L’abastabilitat mai no substitueix un perfil de par que l’equip acceptarà, i un canvi de nom de VRF no ha d’alterar les credencials ofertes. Comproveu les dues coses després de qualsevol canvi, perquè un túnel que negocia amb el perfil equivocat encara pot formar una associació i no reenviar res.

Finalment, anoteu els quatre fets i les ordres que els van demostrar al registre de canvis. El proper enginyer heretarà el túnel i no el raonament, i una nota breu que anomeni els dos contextos val més que un diagrama que ningú no actualitza.