Které VRF dosáhne na partnerský uzel VPN a které nese paket?

Každý tunel uvnitř směrovacího kontextu zákazníka musí stále dosáhnout svého vzdáleného partnera a toto vyhledávání může proběhnout v úplně jiné tabulce. Chyba zde vytváří jednu z nejmatoucnějších poruch v IPsec s ohledem na VRF: tunel se zvedne, trasy vypadají přítomné a provoz umírá, protože jedno ze dvou vyhledávání použilo špatný kontext. Proveďte čtyři kroky níže v pořadí a zapište obě destinace odděleně.

Dvě vyhledávání, jeden tunel

Vnější zapouzdřený paket je adresován na transportní adresu partnera a směruje se dříve, než existuje jakákoli ochrana. Vnitřní paket je adresován na server zákazníka a směruje se po dekapsulaci, uvnitř kontextu zákazníka. To jsou dvě destinace, dvě vyhledávání a často dvě různé tabulky.

Dokumentace Cisco pro IPsec s ohledem na VRF je nazývá VRF předních dveří a vnitřní VRF. Přední dveře nesou šifrovaný transport a vnitřní kontext nese chráněný provoz. Nic na pojmenování tunelu po zákazníkovi nezpůsobí, že se objeví kterákoli z tras.

Před změnou konfigurace tedy vypište čtyři skutečnosti: transportní adresu partnera a kontext, který k ní vede, poté prefix serveru a kontext, který k němu vede. Pokud nedokážete vyplnit všechny čtyři, chystáte se hádat. Hádání je v této oblasti drahé, protože trasa přidaná do špatné tabulky může jednu komunikaci zprovoznit a jinou tiše rozbít. Shromáždění čtyř skutečností zabere deset minut a ušetří den analýzy zachycené komunikace.

Potvrďte transportní vyhledávání pro partnera

Začněte předními dveřmi, protože tunel, který nedosáhne na partnera, nikdy nepustí jediný chráněný paket. V IOSu se ptejte na trasu k partnerovi uvnitř transportního VRF, nikoli v globální tabulce.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

První příkaz odpovídá, zda je adresa partnera v tomto kontextu dostupná, druhý vypisuje VRF, která skutečně existují, a třetí ukazuje, zda vznikla bezpečnostní asociace. Adresa partnera, která se vyřeší pouze v globální tabulce, je klasická chyba předních dveří a projevuje se jako vyjednávání IKE, které nikdy nezačne.

Zkontrolujte také přiřazení rozhraní. Dokumentované chování vyžaduje, aby se VRF předních dveří tunelu a VRF rozhraní WAN shodovaly; nesoulad může nechat paket odejít a přesto zabránit zpracování odpovědi ve správném kontextu.

Potvrďte vnitřní vyhledávání pro server

Když jsou přední dveře prokázány, přepněte se do kontextu zákazníka a položte stejnou otázku na prefix serveru. Toto vyhledávání rozhoduje, zda lze dekapsulovaný paket dále přeposlat.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

První příkaz ukazuje vnitřní trasu a druhý stav relace spolu s kontexty, které k ní platforma přiřadila. Pokud trasa existuje, ale podrobnosti relace uvádějí špatný vnitřní kontext, tunel přeposílá do tabulky, která prefix zákazníka nezná.

Trasa v globální tabulce není důkazem pro žádné z obou vyhledávání. Globální trasy se používají, když paket není přiřazen k VRF, a rozhraní tunelu přiřazené kontextu zákazníka toto přiřazení mění. Pokud vnitřní trasa chybí, paket se dekapsuluje a poté zahodí kvůli chybějící položce přeposílání, což vypadá jako ztráta paketů, nikoli jako chyba směrování.

Umístěte nastavení tam, kde je model očekává

Stejná dokumentace rozlišuje konfigurační modely a nastavení, které patří jednomu, nemusí patřit druhému. U rozhraní tunelu s ochranou tunelu se vnitřní VRF definuje na rozhraní tunelu. U návrhů založených na crypto map je vnitřní VRF součástí položky crypto map. Přesouvání podobně pojmenovaného příkazu mezi modely bez kontroly jeho role je způsob, jak se funkční návrh stane nestabilním.

Směrování a identita jsou oddělené otázky. Dostupnost nikdy nenahradí profil partnera, který zařízení přijme, a přejmenování VRF nesmí změnit nabízené přihlašovací údaje. Po každé změně zkontrolujte obojí, protože tunel, který vyjednává se špatným profilem, může stále vytvořit asociaci a nic nepřeposílat.

Nakonec zapište čtyři skutečnosti a příkazy, které je prokázaly, do záznamu změn. Další inženýr zdědí tunel, nikoli úvahu, a krátká poznámka, která pojmenuje oba kontexty, má větší cenu než diagram, který nikdo neaktualizuje.