IKEv2-profilen er defineret, men ikke tilknyttet: følg kæden

IKEv2-profilen står i den gemte konfiguration, nøgleringen er der også, og tunnelen kommer stadig ikke op. På Cisco IOS XE er en profil et objekt, der bærer identitetsmatchning og godkendelsesvalg, og et objekt gør intet, før et andet objekt refererer til det, og en grænseflade knytter det objekt til en sti. De fleste mislykkede fejlretningssessioner for fase 1 springer en af disse referencer over. Læs kæden fra nøgleringen og udad, før du ændrer noget forslag eller nogen politik.

Hvad et profilobjekt egentlig er

IKEv2-profilen holder matchningen af fjernidentiteten, de lokale og fjernede godkendelsesmetoder og en reference til en nøglering til design med foruddelte nøgler. Den beskriver, hvordan en peer genkendes, og hvordan den beviser sig selv, og den navngiver ingen grænseflade.

Nøgleringen er et separat objekt, der holder de foruddelte nøgler. Kryptokortet eller IPsec-profilen er et tredje objekt, der refererer til IKEv2-profilen og leverer beskyttelsesindstillingerne. Grænsefladetilknytningen er det fjerde trin, hvor et kryptokort anvendes, eller tunnelbeskyttelse aktiveres. Hvert spring er en særskilt reference, og et manglende spring efterlader hvert objekt korrekt isoleret set.

Følg referencekæden i rækkefølge

Start ved den nøglering, som profilen navngiver, bekræft derefter det profilnavn, som kryptokortet eller IPsec-profilen refererer, og find så den grænseflade, der bruger det sidste objekt. Skriv hvert navn ved siden af det objekt, der bruger det; den korte liste er mere nyttig end at kontrollere, at hver forventet blok findes et sted i konfigurationen.

De sædvanlige brud er mekaniske. Et profilnavn afviger med ét tegn fra det, som kryptokortet refererer. Kryptokortet findes, men blev aldrig anvendt på grænsefladen. Kommandoen til tunnelbeskyttelse peger på en IPsec-profil, der refererer en anden IKEv2-profil. En responder uden eksplicit tilknytning er et dokumenteret tilfælde, men en initiator uden tilknytning er ganske enkelt ikke konfigureret til stien.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Læs uddraget som en kæde, ikke som en skabelon. Grænsefladen navngiver IPsec-profilen, IPsec-profilen navngiver IKEv2-profilen, og IKEv2-profilen navngiver nøgleringen. Bryd ét af disse navne, og konfigurationen parser stadig, og derfor accepterer routeren den, mens tunnelen bliver nede.

Kryptokort og tunnelbeskyttelse er alternativer

Cisco dokumenterer to tilknytningsarrangementer. Et kryptokort kan anvendes på en grænseflade og kan referere IKEv2-profilen gennem sin set-kommando. Tunnelbeskyttelse knytter en IPsec-profil til en tunnelgrænseflade. Begge er gyldige, og de er ikke beregnet til at blive installeret sammen som en dobbelt sikkerhedsforanstaltning.

Tunnelens kilde og destination identificerer det ydre leveringsarrangement, og de er adskilt fra beskyttelsestilknytningen. En LAN-grænseflade, tunnelgrænsefladen og den ydre kildegrænseflade spiller tre forskellige roller. Et kryptokort på LAN-grænsefladen beskytter ikke tunnelen, og en tunnel med aktiveret beskyttelse men uden en nåbar kildeadresse sender aldrig en pakke til sin peer.

Undersøg den indlæste tilstand, ikke kun teksten. Den installerede version har kommandoer, der forbinder de konfigurerede objekter med den forhandlede session, og dem skal der citeres i en sag. En gemt konfiguration beviser hensigt; en sessionstabel beviser stien.

Responder-undtagelsen er ikke en regel for initiatorer

IOS XE-vejledningen bemærker, at en eksplicit IKEv2-profil tilknytning kan være valgfri på en responder. Den undtagelse fjerner ikke godkendelses- eller identitetskontroller, og den gør ikke profilen valgfri på den side, der starter forbindelsen.

Hvis din router initierer, skal du behandle tilknytningen som obligatorisk og følge den fra ende til anden. Hvis din router kun svarer, skal du bekræfte, hvilken profil der faktisk matchede den indgående peer, fordi en responder kan vælge en profil efter identitet i stedet for efter en grænsefladereference.

Kontroller stien, ikke den gemte konfiguration

Når tilknytningerne stemmer, skal du teste én tilladt applikation og notere dens indre kilde, destination og rute. En anmodning, der udgår fra routeren, kan bruge en anden kildeadresse end trafik, der videresendes fra LAN'et, og beskyttelsesomfanget dækker måske kun en af dem.

En korrekt tilknyttet definition beviser ikke, at selektorerne, returruten og grænsefladepolitikken dækker dit flow. Send rigtig trafik og læs den forhandlede tilstand, og gentag efter en genopkobling, så du ved, at kæden overlever en ny forhandling. Hold forklaringen inden for IOS XE IKEv2; en historisk udrulning med IKEv1-kryptokort har en anden objektmodel og bør ikke fejlrettes med denne kæde.

Skriv de fire navne i ændringsloggen, når tunnelen virker. Den næste person, der rører kryptokortet, får brug for dem, og kæden er den del af designet, som den kørende konfiguration ikke forklarer.