Pa VRF sy’n cyrraedd cymar VPN a pha un sy’n cario’r pecyn?

Rhaid i bob twnnel y tu mewn i gyd-destun llwybro cwsmer gyrraedd ei gymar o bell o hyd, a gall y chwiliad hwnnw ddigwydd mewn tabl hollol wahanol. Mae cael hyn yn anghywir yn cynhyrchu un o’r methiannau mwyaf dryslyd mewn IPsec sy’n ymwybodol o VRF: mae’r twnnel yn codi, mae’r llwybrau’n edrych yn bresennol, ac mae traffig yn marw oherwydd bod un o’r ddau chwiliad wedi defnyddio’r cyd-destun anghywir. Rheswch y pedwar cam isod yn eu trefn, a chadwch y ddau gyrchfan wedi’u hysgrifennu ar wahân.

Dau chwiliad, un twnnel

Mae’r pecyn allanol wedi’i amgáu yn cael ei gyfeirio at gyfeiriad cludiant y cymar, ac mae’n cael ei lwybro cyn bod unrhyw warchodaeth yn bodoli. Mae’r pecyn mewnol yn cael ei gyfeirio at weinydd cwsmer ac yn cael ei lwybro ar ôl dadgapsylu, y tu mewn i gyd-destun y cwsmer. Dau gyrchfan, dau chwiliad ac yn aml ddau dabl gwahanol yw’r rhain.

Mae dogfennaeth Cisco ar gyfer IPsec sy’n ymwybodol o VRF yn eu galw’n VRF drws blaen ac yn VRF mewnol. Mae’r drws blaen yn cario’r cludiant wedi’i amgryptio, ac mae’r cyd-destun mewnol yn cario’r traffig gwarchodedig. Nid yw enwi twnnel ar ôl cwsmer yn gwneud i’r naill lwybr na’r llall ymddangos.

Felly rhestrwch bedair ffaith cyn newid cyfluniad: cyfeiriad cludiant y cymar a’r cyd-destun sy’n cyrraedd yno, yna rhagddodiad y gweinydd a’r cyd-destun sy’n cyrraedd hwnnw. Os na allwch lenwi’r pedair i gyd, rydych ar fin dyfalu. Mae dyfalu yn y maes hwn yn ddrud, oherwydd gall llwybr a ychwanegir at y tabl anghywir wneud i un fflwd weithio tra’n torri un arall yn dawel. Mae’r pedair ffaith yn cymryd deng munud i’w casglu ac yn arbed diwrnod o ddadansoddi dal.

Cadarnhewch y chwiliad cludiant ar gyfer y cymar

Dechreuwch gyda’r drws blaen, oherwydd ni fydd twnnel na all gyrraedd ei gymar byth yn pasio un pecyn gwarchodedig. Ar IOS, gofynnwch am y llwybr at y cymar y tu mewn i VRF y cludiant yn hytrach nag yn y tabl byd-eang.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Mae’r gorchymyn cyntaf yn ateb a yw cyfeiriad y cymar yn gyrraeddadwy yn y cyd-destun hwnnw, mae’r ail yn rhestru’r VRF sy’n bodoli mewn gwirionedd, ac mae’r trydydd yn dangos a ffurfiwyd cymdeithasiad diogelwch. Cyfeiriad cymar sy’n datrys yn y tabl byd-eang yn unig yw camgymeriad clasurol y drws blaen, ac mae’n ymddangos fel trafodaeth IKE nad yw byth yn dechrau.

Gwiriwch y neilltuad rhyngwyneb hefyd. Mae’r ymddygiad dogfennol yn gofyn bod VRF drws blaen y twnnel a VRF y rhyngwyneb WAN yn cytuno; gall anghysondeb adael pecyn i adael ac eto atal yr ateb rhag cael ei brosesu yn y cyd-destun cywir.

Cadarnhewch y chwiliad mewnol ar gyfer y gweinydd

Gyda’r drws blaen wedi’i brofi, newidiwch i gyd-destun y cwsmer a gofynnwch yr un cwestiwn am ragddodiad y gweinydd. Mae’r chwiliad hwn yn penderfynu a ellir anfon pecyn dadgapsyledig ymlaen.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Mae’r gorchymyn cyntaf yn dangos y llwybr mewnol, ac mae’r ail yn dangos cyflwr y sesiwn ynghyd â’r cyd-destunau y gwnaeth y platfform eu cysylltu â hi. Os yw’r llwybr yn bodoli ond bod manylion y sesiwn yn enwi’r cyd-destun mewnol anghywir, mae’r twnnel yn anfon ymlaen i dabl nad yw’n gwybod rhagddodiad y cwsmer.

Nid yw llwybr yn y tabl byd-eang yn dystiolaeth ar gyfer y naill chwiliad na’r llall. Defnyddir llwybrau byd-eang pan nad yw pecyn yn gysylltiedig â VRF, ac mae rhyngwyneb twnnel a neilltuwyd i gyd-destun cwsmer yn newid y gysylltiad hwnnw. Os yw’r llwybr mewnol ar goll, mae’r pecyn yn cael ei ddadgapsylu ac yna ei ollwng am fod cofnod anfon ymlaen yn eisiau, sy’n edrych fel colli pecynnau yn hytrach na chamgymeriad llwybro.

Rhowch y gosodiad lle mae’r model yn ei ddisgwyl

Mae’r un ddogfennaeth yn gwahaniaethu rhwng modelau cyfluniad, ac nid yw gosodiad sy’n perthyn i un yn perthyn i’r llall o reidrwydd. Ar gyfer rhyngwynebau twnnel sy’n defnyddio gwarchodaeth twnnel, mae’r VRF mewnol yn cael ei ddiffinio ar ryngwyneb y twnnel. Ar gyfer cynlluniau sy’n seiliedig ar crypto map, mae’r VRF mewnol yn rhan o gofnod crypto map. Symud gorchymyn â’r un enw rhwng modelau heb wirio ei rôl yw sut mae cynllun sy’n gweithio yn troi’n un ysbeidiol.

Mae llwybro a hunaniaeth yn faterion ar wahân. Nid yw cyrhaeddadwyedd byth yn cymryd lle proffil cymar y bydd y ddyfais yn ei dderbyn, ac ni ddylai ailenwi VRF newid y manylion mewngofnodi a gynigir. Gwiriwch y ddau ar ôl unrhyw newid, oherwydd gall twnnel sy’n trafod â’r proffil anghywir ffurfio cymdeithasiad o hyd a heb anfon dim.

Yn olaf, cofnodwch y pedair ffaith a’r gorchmynion a’u profodd yn y cofnod newid. Bydd y peiriannydd nesaf yn etifeddu’r twnnel ac nid y rhesymu, ac mae nodyn byr sy’n enwi’r ddau gyd-destun yn werth mwy na diagram nad oes neb yn ei ddiweddaru.