Profil IKEv2 je definován, ale není připojen: sledujte řetězec

Uložený profil IKEv2 je objekt, ne cesta. Sledujte okruh klíčů, profil, crypto map nebo profil IPsec a připojení k rozhraní dřív, než začnete ladit fázi 2.

Profil IKEv2 je v uložené konfiguraci, okruh klíčů je tam také, a tunel přesto nenaběhne. V Cisco IOS XE je profil objekt, který nese párování identity a volby ověřování, a objekt nic nedělá, dokud na něj jiný objekt neodkáže a dokud rozhraní tento objekt nepřipojí k cestě. Většina neúspěšných relací ladění fáze 1 vynechá jeden z těchto odkazů. Přečtěte si řetězec od okruhu klíčů směrem ven, než změníte jakýkoli návrh nebo politiku.

Co je objekt profilu doopravdy

Profil IKEv2 drží párování vzdálené identity, místní a vzdálené metody ověřování a odkaz na okruh klíčů pro návrhy s předem sdíleným klíčem. Popisuje, jak je protějšek rozpoznán a jak prokazuje svou totožnost, a nepojmenovává žádné rozhraní.

Okruh klíčů je samostatný objekt, který drží předem sdílené klíče. Crypto map nebo profil IPsec je třetí objekt, který odkazuje na profil IKEv2 a dodává nastavení ochrany. Připojení k rozhraní je čtvrtý krok, kdy se použije crypto map nebo zapne ochrana tunelu. Každý skok je samostatný odkaz a chybějící skok nechá všechny objekty izolovaně v pořádku.

Sledujte řetězec odkazů popořadě

Začněte u okruhu klíčů, který profil pojmenovává, pak potvrďte název profilu, na který odkazuje crypto map nebo profil IPsec, a nakonec najděte rozhraní, které tento poslední objekt spotřebovává. Napište každý název vedle objektu, který ho spotřebovává; tento krátký seznam je užitečnější než kontrola, že každý očekávaný blok někde v konfiguraci existuje.

Obvyklé zlomy jsou mechanické. Název profilu se liší o jeden znak od toho, na který odkazuje crypto map. Crypto map existuje, ale nikdy nebyl na rozhraní aplikován. Příkaz ochrany tunelu ukazuje na profil IPsec, který odkazuje na jiný profil IKEv2. Respondér bez výslovného připojení je dokumentovaný případ, ale iniciátor bez připojení prostě není pro cestu nakonfigurován.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Čtěte úryvek jako řetězec, ne jako šablonu. Rozhraní pojmenovává profil IPsec, profil IPsec pojmenovává profil IKEv2 a profil IKEv2 pojmenovává okruh klíčů. Přerušte kterýkoli z těchto názvů a konfigurace se stále parsuje, proto ji router přijme a tunel zůstane dole.

Crypto map a ochrana tunelu jsou alternativy

Cisco dokumentuje dvě uspořádání připojení. Crypto map lze použít na rozhraní a může odkazovat na profil IKEv2 svým příkazem set. Ochrana tunelu připojuje profil IPsec k tunelovému rozhraní. Obě jsou platné a nemají se instalovat společně jako dvojitá pojistka.

Zdroj a cíl tunelu určují vnější uspořádání doručení a jsou oddělené od připojení ochrany. Rozhraní LAN, tunelové rozhraní a vnější zdrojové rozhraní hrají tři různé role. Crypto map na rozhraní LAN tunel nechrání a tunel se zapnutou ochranou, ale bez dostupné zdrojové adresy, nikdy neodešle paket svému protějšku.

Zkontrolujte zavedený stav, ne jen text. Nainstalovaná verze má příkazy, které spojují nakonfigurované objekty s vyjednanou relací, a právě ty je třeba citovat v tiketu. Uložená konfigurace dokazuje záměr; tabulka relací dokazuje cestu.

Výjimka pro respondéra není pravidlem pro iniciátory

Průvodce IOS XE uvádí, že výslovné připojení profilu IKEv2 může být u respondéra volitelné. Tato výjimka neruší kontroly ověřování ani identity a nečiní profil volitelným na straně, která spojení zahajuje.

Pokud váš router iniciuje, považujte připojení za povinné a sledujte ho od začátku do konce. Pokud váš router pouze odpovídá, potvrďte, který profil skutečně odpovídal přicházejícímu protějšku, protože respondér může vybrat profil podle identity, nikoli podle odkazu na rozhraní.

Kontrolujte cestu, ne uloženou konfiguraci

Poté co se připojení srovnají, otestujte jednu povolenou aplikaci a zaznamenejte její vnitřní zdroj, cíl a trasu. Požadavek vytvořený routerem může použít jinou zdrojovou adresu než provoz předávaný z LAN a rozsah ochrany může pokrývat jen jeden z nich.

Správně připojená definice nedokazuje, že selektory, zpětná trasa a politika rozhraní pokrývají váš tok. Pošlete skutečný provoz a přečtěte vyjednaný stav, pak to zopakujte po opětovném připojení, abyste věděli, že řetězec přežije nové vyjednávání. Držte vysvětlení v rozsahu IOS XE IKEv2; historické nasazení s crypto map IKEv1 má jiný objektový model a nemá se ladit tímto řetězcem.

Zapište čtyři názvy do záznamu o změnách, když tunel funguje. Další člověk, který se dotkne crypto map, je bude potřebovat, a řetězec je ta část návrhu, kterou běžící konfigurace nevysvětluje.

Související články