VPN-Modul am Router fehlt? Vier Fähigkeitsebenen prüfen

Startmeldungen berichten von einem fehlenden VPN-Modul, und die Einkaufsliste beginnt mit einer neuen Karte. Das ist eine von vier Fähigkeitsfragen, und es ist nicht immer die, die fehlgeschlagen ist. Ein Gehäuse kann eingebettete Verschlüsselung haben, eine lizenzierte Funktion kann inaktiv sein, und eine Produktvariante kann ganz ohne Nutzlastverschlüsselung verkauft werden. Arbeiten Sie die Ebenen der Reihe nach ab, bevor jemand einen Kauf genehmigt.

Ebene 1: das Hardware-Inventar

Lesen Sie das Inventar, bevor Sie den Fehler erneut lesen. Das Inventar nennt das Gehäuse, die installierten Module und ihre Teilenummern, was Sie für den Vergleich mit den unterstützten Slots und Teilen der Plattform brauchen. Ein fehlendes Modul und ein vorhandenes, aber fehlerhaftes Modul erzeugen unterschiedliche Meldungen und unterschiedliche Korrekturen.

show inventory
show module

Notieren Sie die Teilenummern und prüfen Sie sie anhand der Dokumentation für das genaue Modell. Ein optionales Servicemodul, das nie bestellt wurde, ist eine normale Konfiguration, kein Fehler, und die Startmeldung meldet möglicherweise nur seine Abwesenheit. Ein Modul, das aufgeführt, aber nicht erkannt wird, ist ein Hardware- oder Steckplatzproblem, also ein anderes Ticket. Bestellen Sie keinen Ersatz, bis Sie sagen können, welchen der beiden Fälle Sie haben.

Halten Sie an, wenn das Inventar ein unterstütztes Modul zeigt, das die Software nicht verwenden will. Das ist eine Kompatibilitätsfrage, und neue Hardware beantwortet sie nicht.

Ebene 2: die anderen Verschlüsselungswege der Plattform

Viele Router bieten Verschlüsselung ohne das optionale Modul, entweder in dedizierter Hardware auf der Hauptplatine oder in Software auf der CPU. Fragen Sie die Plattform, welche Engine sie verwendet, statt es aus der Modulliste abzuleiten. Die Antwort nennt die Engine und ob sie Hardware oder Software ist, und genau diese Tatsache hat Ihnen die Startmeldung nicht geliefert.

show crypto engine configuration
show crypto engine brief

Eine Software-Engine kann eine VPN weiterhin terminieren; sie hat nur weniger Zyklen für andere Arbeit zur Verfügung. Dieser Unterschied zählt für die Dimensionierung, nicht dafür, ob die Funktion existiert. Wenn die Engine-Ausgabe eine aktive Engine zeigt, ist das fehlende Modul nicht der Grund, warum ein Tunnel scheitert, und die Untersuchung sollte zu Konfiguration und Lizenzierung übergehen. Lesen Sie die Ausgabe auf den Engine-Zustand und die zugewiesenen Algorithmen, nicht nur auf einen Namen.

Halten Sie den Fähigkeitsbefund getrennt vom Leistungsbefund. Die Engine sagt Ihnen, was laufen kann; nur ein Lasttest sagt Ihnen, was gut läuft.

Ebene 3: das Software-Image und die Funktionsaktivierung

Eine Funktion kann im Image vorhanden und ohne Lizenz oder Aktivierungsschlüssel inaktiv sein. Prüfen Sie, wofür das Gerät sich als lizenziert betrachtet, und vergleichen Sie das dann mit der Funktion, die die Konfiguration zu verwenden versucht. Die Lücke zwischen diesen beiden Listen ist der eigentliche Befund.

show license
show version | include license

Auf älteren Plattformen liegt dieselbe Information hinter einem anderen Befehl, verwenden Sie also den, den Ihre Release-Dokumentation nennt, statt einen Befehl aus einer neueren Anleitung zu kopieren. Eine Lizenz für Management-Verschlüsselung ist keine Lizenz für VPN-Nutzlastverschlüsselung, und sie als austauschbar zu behandeln führt zu einem Kauf, der das Problem nicht löst. Notieren Sie den Funktionsnamen genau so, wie das Gerät ihn ausgibt. Genau diese Zeichenfolge wird das Lizenzierungsteam des Herstellers erfragen.

Halten Sie an, wenn die erforderliche Funktion in der Lizenzliste fehlt. Das ist ein Berechtigungsgespräch, keine Konfigurationsänderung.

Ebene 4: die Produktvariante, bei der Management-Krypto nicht Nutzlast-Krypto ist

Manche Geräte werden in einer Variante geliefert, die VPN-Nutzlastverschlüsselung bewusst deaktiviert, während der Management-Zugang verschlüsselt bleibt, und Ciscos Lizenzdokumentation beschreibt diese Einschränkung für die ASA-9.8-Familie. Auf diesen Einheiten funktionieren sowohl eine HTTPS-Verwaltungsseite als auch eine SSH-Sitzung, und genau deshalb schließen Leute, dass die Krypto in Ordnung ist. Die Einschränkung liegt in der Produktvariante, nicht in der Modulliste oder auf der Lizenzseite. Prüfen Sie die SKU und den Plattform-String in der Versionsausgabe gegen die Beschreibung dieser Variante durch den Hersteller.

show version
show running-config | include crypto

Ist die Einheit eine Variante ohne Nutzlastverschlüsselung, hebt weder ein Firmware-Download noch eine Management-Lizenz die Einschränkung auf. Die unterstützte Korrektur ist eine andere Einheit oder eine vom Hersteller genehmigte Änderung, und diese Entscheidung gehört dem Eigentümer des Kaufs. Bewahren Sie die laufende Konfiguration und einen Management-Pfad vor jeder genehmigten Wartung.

Das Runbook endet, wenn Sie benennen können, welche der vier Ebenen versagt hat, welcher Nachweis sie identifiziert hat und welche Änderung der Hersteller für genau diese Kombination unterstützt. Fähigkeit ist nicht Durchsatz, und eine funktionierende Verwaltungsseite ist keine funktionierende VPN.