Προφίλ IKEv2 ορισμένο αλλά μη συνδεδεμένο: παρακολουθήστε την αλυσίδα

Το προφίλ IKEv2 βρίσκεται στην αποθηκευμένη διαμόρφωση, το keyring είναι επίσης εκεί, και ο tunnel δεν ανεβαίνει. Στο Cisco IOS XE ένα προφίλ είναι αντικείμενο που μεταφέρει επιλογές αντιστοίχισης ταυτότητας και ελέγχου ταυτότητας, και ένα αντικείμενο δεν κάνει τίποτα μέχρι κάποιο άλλο αντικείμενο να το αναφέρει και μια διεπαφή να το συνδέσει σε μια διαδρομή. Οι περισσότερες αποτυχημένες συνεδρίες αποσφαλμάτωσης της φάσης 1 παραλείπουν μία από αυτές τις αναφορές. Διαβάστε την αλυσίδα από το keyring προς τα έξω πριν αλλάξετε οποιαδήποτε πρόταση ή πολιτική.

Τι είναι στην πραγματικότητα ένα αντικείμενο προφίλ

Το προφίλ IKEv2 κρατά την αντιστοίχιση της απομακρυσμένης ταυτότητας, τις τοπικές και τις απομακρυσμένες μεθόδους ελέγχου ταυτότητας και μια αναφορά σε keyring για σχεδιασμούς με προκοινόμενα κλειδιά. Περιγράφει πώς αναγνωρίζεται ένας peer και πώς αποδεικνύει την ταυτότητά του, και δεν ονομάζει καμία διεπαφή.

Το keyring είναι ξεχωριστό αντικείμενο που κρατά τα προκοινόμενα κλειδιά. Το crypto map ή το προφίλ IPsec είναι τρίτο αντικείμενο που αναφέρει το προφίλ IKEv2 και παρέχει τις ρυθμίσεις προστασίας. Η σύνδεση στη διεπαφή είναι το τέταρτο βήμα, όπου εφαρμόζεται ένα crypto map ή ενεργοποιείται το tunnel protection. Κάθε άλμα είναι ξεχωριστή αναφορά, και ένα άλμα που λείπει αφήνει κάθε αντικείμενο να φαίνεται σωστό μεμονωμένα.

Ακολουθήστε την αλυσίδα αναφορών με τη σειρά

Ξεκινήστε από το keyring που ονομάζει το προφίλ, μετά επιβεβαιώστε το όνομα προφίλ που αναφέρει το crypto map ή το προφίλ IPsec, και μετά βρείτε τη διεπαφή που καταναλώνει αυτό το τελευταίο αντικείμενο. Γράψτε κάθε όνομα δίπλα στο αντικείμενο που το καταναλώνει· αυτή η σύντομη λίστα είναι πιο χρήσιμη από το να ελέγχετε ότι κάθε αναμενόμενη ενότητα υπάρχει κάπου στη διαμόρφωση.

Τα συνηθισμένα σπασίματα είναι μηχανικά. Ένα όνομα προφίλ διαφέρει κατά έναν χαρακτήρα από αυτό που αναφέρει το crypto map. Το crypto map υπάρχει αλλά δεν εφαρμόστηκε ποτέ στη διεπαφή. Η εντολή tunnel protection δείχνει σε προφίλ IPsec που αναφέρει διαφορετικό προφίλ IKEv2. Ένας responder χωρίς ρητή σύνδεση είναι τεκμηριωμένη περίπτωση, αλλά ένας initiator χωρίς σύνδεση απλώς δεν είναι διαμορφωμένος για τη διαδρομή.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Διαβάστε το απόσπασμα ως αλυσίδα και όχι ως πρότυπο. Η διεπαφή ονομάζει το προφίλ IPsec, το προφίλ IPsec ονομάζει το προφίλ IKEv2, και το προφίλ IKEv2 ονομάζει το keyring. Σπάστε οποιοδήποτε από αυτά τα ονόματα και η διαμόρφωση εξακολουθεί να αναλύεται, γι’ αυτό ο δρομολογητής τη δέχεται και ο tunnel μένει κάτω.

Crypto map και tunnel protection είναι εναλλακτικές

Η Cisco τεκμηριώνει δύο διατάξεις σύνδεσης. Ένα crypto map μπορεί να εφαρμοστεί σε διεπαφή και να αναφέρει το προφίλ IKEv2 μέσω της εντολής set του. Το tunnel protection συνδέει ένα προφίλ IPsec σε διεπαφή tunnel. Και τα δύο είναι έγκυρα, και δεν προορίζονται να εγκατασταθούν μαζί ως μέτρο διπλής ασφάλειας.

Η πηγή και ο προορισμός του tunnel προσδιορίζουν την εξωτερική διάταξη παράδοσης και είναι ξεχωριστά από τη σύνδεση προστασίας. Μια διεπαφή LAN, η διεπαφή tunnel και η εξωτερική διεπαφή πηγής παίζουν τρεις διαφορετικούς ρόλους. Ένα crypto map στη διεπαφή LAN δεν προστατεύει το tunnel, και ένα tunnel με ενεργή προστασία αλλά χωρίς προσβάσιμη διεύθυνση πηγής δεν στέλνει ποτέ πακέτο στον peer του.

Ελέγξτε τη φορτωμένη κατάσταση, όχι μόνο το κείμενο. Η εγκατεστημένη έκδοση έχει εντολές που συνδέουν τα διαμορφωμένα αντικείμενα με τη διαπραγματευμένη συνεδρία, και αυτές πρέπει να παραθέσετε σε ένα ticket. Μια αποθηκευμένη διαμόρφωση αποδεικνύει την πρόθεση· ένας πίνακας συνεδρίας αποδεικνύει τη διαδρομή.

Η εξαίρεση του responder δεν είναι κανόνας για τους initiators

Ο οδηγός IOS XE σημειώνει ότι μια ρητή σύνδεση προφίλ IKEv2 μπορεί να είναι προαιρετική σε έναν responder. Αυτή η εξαίρεση δεν αφαιρεί ελέγχους ταυτότητας ή πιστοποίησης, και δεν κάνει το προφίλ προαιρετικό στην πλευρά που ξεκινά τη σύνδεση.

Αν ο δρομολογητής σας ξεκινά, θεωρήστε τη σύνδεση υποχρεωτική και παρακολουθήστε την από άκρη σε άκρη. Αν ο δρομολογητής σας μόνο απαντά, επιβεβαιώστε ποιο προφίλ ταίριαξε πραγματικά στον εισερχόμενο peer, γιατί ένας responder μπορεί να επιλέξει προφίλ με βάση την ταυτότητα και όχι μια αναφορά διεπαφής.

Ελέγξτε τη διαδρομή, όχι την αποθηκευμένη διαμόρφωση

Αφού ταιριάξουν οι συνδέσεις, δοκιμάστε μία επιτρεπόμενη εφαρμογή και καταγράψτε την εσωτερική πηγή, τον προορισμό και τη διαδρομή της. Ένα αίτημα που ξεκινά ο δρομολογητής μπορεί να χρησιμοποιεί διαφορετική διεύθυνση πηγής από την κίνηση που προωθείται από το LAN, και το εύρος προστασίας μπορεί να καλύπτει μόνο ένα από τα δύο.

Ένας σωστά συνδεδεμένος ορισμός δεν αποδεικνύει ότι οι επιλογείς, η διαδρομή επιστροφής και η πολιτική διεπαφής καλύπτουν τη ροή σας. Στείλτε πραγματική κίνηση και διαβάστε τη διαπραγματευμένη κατάσταση, μετά επαναλάβετε μετά από επανασύνδεση ώστε να ξέρετε ότι η αλυσίδα αντέχει σε νέα διαπραγμάτευση. Κρατήστε την εξήγηση στο IOS XE IKEv2· μια ιστορική ανάπτυξη crypto map IKEv1 έχει διαφορετικό μοντέλο αντικειμένων και δεν πρέπει να αποσφαλματώνεται με αυτή την αλυσίδα.

Γράψτε τα τέσσερα ονόματα στο αρχείο αλλαγών όταν ο tunnel δουλέψει. Το επόμενο άτομο που θα αγγίξει το crypto map θα τα χρειαστεί, και η αλυσίδα είναι το μέρος του σχεδιασμού που η τρέχουσα διαμόρφωση δεν εξηγεί.