Mangler VPN-modulet på routeren? Kontroller fire kapacitetslag

Opstartsbeskeder rapporterer et manglende VPN-modul, og indkøbslisten begynder med et nyt kort. Det er ét af fire kapacitetsspørgsmål, og det er ikke altid det, der fejlede. Et chassis kan have indlejret kryptering, en licenseret funktion kan være inaktiv, og en produktvariant kan sælges helt uden kryptering af nyttelasten. Gå gennem lagene i rækkefølge, før nogen godkender et køb.

Lag 1: hardwareinventaret

Læs inventaret, før du læser fejlen igen. Inventaret angiver chassiset, de installerede moduler og deres delnumre, hvilket er det, du skal bruge for at sammenligne med platformens understøttede slots og dele. Et modul, der mangler, og et modul, der er til stede, men fejler, giver forskellige beskeder og forskellige rettelser.

show inventory
show module

Skriv delnumrene ned, og kontroller dem mod dokumentationen for den præcise model. Et valgfrit servicemodul, der aldrig blev bestilt, er en normal konfiguration, ikke en fejl, og opstartsbeskeden rapporterer måske blot dets fravær. Et modul, der er på listen, men ikke genkendes, er et hardware- eller monteringsproblem, hvilket er en anden sag. Bestil ikke en erstatning, før du kan sige, hvilken af de to du har.

Stop, hvis inventaret viser et understøttet modul, som softwaren nægter at bruge. Det er et kompatibilitetsspørgsmål, og ny hardware vil ikke besvare det.

Lag 2: platformens andre krypteringsveje

Mange routere leverer kryptering uden det valgfrie modul, enten i dedikeret hardware på bundkortet eller i software på CPU’en. Spørg platformen, hvilken motor den bruger, i stedet for at udlede det af modullisten. Svaret angiver motoren, og om den er hardware eller software, og det er netop det faktum, som opstartsbeskeden ikke gav dig.

show crypto engine configuration
show crypto engine brief

En softwaremotor kan stadig afslutte en VPN; den har blot færre cyklusser til rådighed til andet arbejde. Den forskel er vigtig for dimensionering, ikke for om funktionen findes. Hvis motorens output viser en aktiv motor, er det manglende modul ikke årsagen til, at en tunnel fejler, og undersøgelsen bør flytte til konfiguration og licensering. Læs outputtet for motortilstanden og de tildelte algoritmer, ikke kun for et navn.

Hold kapacitetsfundet adskilt fra ydelsesfundet. Motoren fortæller, hvad der kan køre; kun en arbejdsbelastningstest fortæller, hvad der kører godt.

Lag 3: softwarebilledet og funktionsaktivering

En funktion kan være til stede i billedet og inaktiv uden en licens eller aktiveringsnøgle. Kontroller, hvad enheden mener, den er licenseret til, og sammenlign det derefter med den funktion, konfigurationen forsøger at bruge. Forskellen mellem de to lister er det faktiske fund.

show license
show version | include license

På ældre platforme ligger de samme oplysninger bag en anden kommando, så brug den, din udgivelse dokumenterer, i stedet for at kopiere en kommando fra en nyere guide. En licens til administrationskryptering er ikke en licens til VPN-nyttelastkryptering, og at behandle dem som udskiftelige fører til et køb, der ikke løser problemet. Notér funktionsnavnet præcis, som enheden udskriver det. Den streng er det, leverandørens licenseringsteam vil spørge efter.

Stop, hvis den krævede funktion mangler på licenslisten. Det er en samtale om rettigheder, ikke en konfigurationsændring.

Lag 4: produktvarianten, hvor administrationskrypto ikke er nyttelastkrypto

Nogle enheder leveres i en variant, der bevidst deaktiverer VPN-nyttelastkryptering, mens administrationsadgang forbliver krypteret, og Ciscos licensdokumentation beskriver den begrænsning for ASA 9.8-familien. På disse enheder virker både en HTTPS-administrationsside og en SSH-session, og det er præcis derfor, folk konkluderer, at krypto er i orden. Begrænsningen ligger i produktvarianten, ikke på modullisten eller licenssiden. Kontroller SKU’en og platformstrengen i versionsoutputtet mod leverandørens beskrivelse af den variant.

show version
show running-config | include crypto

Hvis enheden er en variant uden nyttelastkryptering, fjerner hverken en firmwaredownload eller en administrationslicens begrænsningen. Den understøttede rettelse er en anden enhed eller en leverandørgodkendt ændring, og den beslutning tilhører den, der ejer købet. Bevar den kørende konfiguration og en administrationsvej før enhver godkendt vedligeholdelse.

Runbooken slutter, når du kan navngive, hvilket af de fire lag der fejlede, hvilket bevis der identificerede det, og hvilken ændring leverandøren understøtter for netop den kombination. Kapacitet er ikke gennemstrømning, og en fungerende administrationsside er ikke en fungerende VPN.