Proffil IKEv2 wedi'i ddiffinio ond heb ei gysylltu: dilynwch y gadwyn

Mae'r proffil IKEv2 yn y ffurfweddiad a gadwyd, mae'r cylch allweddi yno hefyd, ac eto nid yw'r twnnel yn codi. Ar Cisco IOS XE mae proffil yn wrthrych sy'n cario paru hunaniaeth a dewisiadau dilysu, ac nid yw gwrthrych yn gwneud dim nes bod gwrthrych arall yn cyfeirio ato ac yn rhyngwyneb yn cysylltu'r gwrthrych hwnnw â llwybr. Mae'r rhan fwyaf o sesiynau dadfygio cam 1 aflwyddiannus yn hepgor un o'r cyfeiriadau hynny. Darllenwch y gadwyn o'r cylch allweddi tuag allan cyn newid unrhyw gynnig neu bolisi.

Beth yw gwrthrych proffil mewn gwirionedd

Mae'r proffil IKEv2 yn dal y paru hunaniaeth o bell, y dulliau dilysu lleol ac o bell, a chyfeiriad at gylch allweddi ar gyfer dyluniadau ag allwedd a rennir ymlaen llaw. Mae'n disgrifio sut mae cymar yn cael ei adnabod a sut mae'n profi ei hun, ac nid yw'n enwi unrhyw ryngwyneb.

Mae'r cylch allweddi yn wrthrych ar wahân sy'n dal yr allweddi a rennir ymlaen llaw. Mae'r map cryptografiig neu'r proffil IPsec yn drydydd gwrthrych sy'n cyfeirio at y proffil IKEv2 ac yn darparu'r gosodiadau amddiffyn. Y cysylltiad rhyngwyneb yw'r pedwerydd cam, lle mae map cryptografiig yn cael ei gymhwyso neu amddiffyniad twnnel yn cael ei alluogi. Mae pob naid yn gyfeiriad ar wahân, ac mae naid ar goll yn gadael pob gwrthrych yn edrych yn gywir ar wahân.

Dilynwch y gadwyn gyfeirio mewn trefn

Dechreuwch yn y cylch allweddi y mae'r proffil yn ei enwi, yna cadarnhewch enw'r proffil y mae'r map cryptografiig neu'r proffil IPsec yn cyfeirio ato, yna dewch o hyd i'r rhyngwyneb sy'n defnyddio'r gwrthrych olaf hwnnw. Ysgrifennwch bob enw wrth ymyl y gwrthrych sy'n ei ddefnyddio; mae'r rhestr fer honno'n fwy defnyddiol na gwirio bod pob bloc disgwyliedig yn bodoli rywle yn y ffurfweddiad.

Mae'r toriadau arferol yn fecanyddol. Mae enw proffil yn wahanol o un nod oddi wrth yr un y mae'r map cryptografiig yn cyfeirio ato. Mae'r map cryptografiig yn bodoli ond ni chafodd ei gymhwyso i'r rhyngwyneb erioed. Mae'r gorchymyn amddiffyn twnnel yn pwyntio at broffil IPsec sy'n cyfeirio at broffil IKEv2 gwahanol. Mae ymatebydd heb gysylltiad penodol yn achos wedi'i ddogfennu, ond nid yw cychwynnydd heb gysylltiad wedi'i ffurfweddu ar gyfer y llwybr o gwbl.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Darllenwch y darn fel cadwyn, nid fel templed. Mae'r rhyngwyneb yn enwi'r proffil IPsec, mae'r proffil IPsec yn enwi'r proffil IKEv2, ac mae'r proffil IKEv2 yn enwi'r cylch allweddi. Torrwch unrhyw un o'r enwau hynny ac mae'r ffurfweddiad yn dal i ddadansoddi, a dyna pam mae'r llwybrydd yn ei dderbyn ac mae'r twnnel yn aros i lawr.

Mae map cryptografiig ac amddiffyniad twnnel yn ddewisiadau amgen

Mae Cisco yn dogfennu dau drefniant cysylltu. Gellir cymhwyso map cryptografiig i ryngwyneb a gall gyfeirio at y proffil IKEv2 trwy ei orchymyn set. Mae amddiffyniad twnnel yn cysylltu proffil IPsec â rhyngwyneb twnnel. Mae'r ddau yn ddilys, ac nid ydynt wedi'u bwriadu i'w gosod gyda'i gilydd fel mesur dwbl o ofal.

Mae ffynhonnell a chyrchfan y twnnel yn nodi'r trefniant cyflenwi allanol, ac maent ar wahân i'r cysylltiad amddiffyn. Mae rhyngwyneb LAN, rhyngwyneb y twnnel a'r rhyngwyneb ffynhonnell allanol yn chwarae tri rôl wahanol. Nid yw map cryptografiig ar ryngwyneb LAN yn amddiffyn y twnnel, ac nid yw twnnel ag amddiffyniad wedi'i alluogi ond heb gyfeiriad ffynhonnell y gellir ei gyrraedd byth yn anfon pecyn at ei gymar.

Archwiliwch y cyflwr a lwythwyd, nid y testun yn unig. Mae gan y rhyddhad a osodwyd orchmynion sy'n cysylltu'r gwrthrychau a ffurfweddwyd â'r sesiwn a drafodwyd, a'r rheini yw'r rhai i'w dyfynnu mewn tocyn. Mae ffurfweddiad a gadwyd yn profi bwriad; mae tabl sesiynau yn profi'r llwybr.

Nid yw eithriad yr ymatebydd yn rheol i gychwynwyr

Mae canllaw IOS XE yn nodi y gall cysylltiad penodol â phroffil IKEv2 fod yn ddewisol ar ymatebydd. Nid yw'r eithriad hwnnw'n dileu gwiriadau dilysu na hunaniaeth, ac nid yw'n gwneud y proffil yn ddewisol ar yr ochr sy'n dechrau'r cysylltiad.

Os yw eich llwybrydd yn cychwyn, triniwch y cysylltiad fel un gorfodol a dilynwch ef o'r dechrau i'r diwedd. Os yw eich llwybrydd yn ateb yn unig, cadarnhewch pa broffil a barodd â'r cymar sy'n dod i mewn, oherwydd gall ymatebydd ddewis proffil yn ôl hunaniaeth yn hytrach nag yn ôl cyfeiriad rhyngwyneb.

Gwiriwch y llwybr, nid y ffurfweddiad a gadwyd

Ar ôl i'r cysylltiadau alinio, profwch un cymhwysiad a ganiateir a chofnodwch ei ffynhonnell fewnol, ei gyrchfan a'i lwybr. Gall cais a ddechreuwyd gan y llwybrydd ddefnyddio cyfeiriad ffynhonnell gwahanol i draffig a anfonwyd ymlaen o'r LAN, ac efallai mai dim ond un o'r ddau y mae cwmpas yr amddiffyniad yn ei gwmpasu.

Nid yw diffiniad sydd wedi'i gysylltu'n gywir yn profi bod y detholwyr, y llwybr dychwelyd a pholisi'r rhyngwyneb yn cwmpasu eich llif. Anfonwch draffig go iawn a darllenwch y cyflwr a drafodwyd, yna ailadroddwch ar ôl ailgysylltu fel y gwyddoch fod y gadwyn yn goroesi trafodaeth newydd. Cadwch y rheswm o fewn IOS XE IKEv2; mae gan osodiad hanesyddol gyda map cryptografiig IKEv1 fodel gwrthrych gwahanol ac ni ddylid ei ddadfygio â'r gadwyn hon.

Ysgrifennwch y pedwar enw yn y cofnod newid pan fydd y twnnel yn gweithio. Bydd angen y rhain ar y person nesaf sy'n cyffwrdd â'r map cryptografiig, a'r gadwyn yw'r rhan o'r dyluniad nad yw'r ffurfweddiad rhedeg yn ei hesbonio.