Ποιο VRF φτάνει στον ομότιμο VPN και ποιο μεταφέρει το πακέτο;

Κάθε σήραγγα μέσα σε ένα πλαίσιο δρομολόγησης πελάτη πρέπει ακόμη να φτάσει στον απομακρυσμένο ομότιμό της, και αυτή η αναζήτηση μπορεί να συμβεί σε εντελώς διαφορετικό πίνακα. Το λάθος εδώ παράγει μία από τις πιο μπερδεμένες αστοχίες στο IPsec με επίγνωση VRF: η σήραγγα ανεβαίνει, οι διαδρομές φαίνονται παρούσες και η κίνηση πεθαίνει επειδή μία από τις δύο αναζητήσεις χρησιμοποίησε λάθος πλαίσιο. Εκτελέστε τα τέσσερα βήματα παρακάτω με τη σειρά και κρατήστε τους δύο προορισμούς γραμμένους χωριστά.

Δύο αναζητήσεις, μία σήραγγα

Το εξωτερικό ενθυλακωμένο πακέτο απευθύνεται στη διεύθυνση μεταφοράς του ομοτίμου και δρομολογείται πριν υπάρξει οποιαδήποτε προστασία. Το εσωτερικό πακέτο απευθύνεται σε διακομιστή πελάτη και δρομολογείται μετά την αποενθυλάκωση, μέσα στο πλαίσιο του πελάτη. Αυτοί είναι δύο προορισμοί, δύο αναζητήσεις και συχνά δύο διαφορετικοί πίνακες.

Η τεκμηρίωση της Cisco για IPsec με επίγνωση VRF τα ονομάζει VRF μπροστινής πόρτας και εσωτερικό VRF. Η μπροστινή πόρτα μεταφέρει την κρυπτογραφημένη μεταφορά και το εσωτερικό πλαίσιο μεταφέρει την προστατευμένη κίνηση. Τίποτα στην ονομασία μιας σήραγγας με όνομα πελάτη δεν κάνει καμία από τις δύο διαδρομές να εμφανιστεί.

Έτσι απαριθμήστε τέσσερα γεγονότα πριν αλλάξετε μια διαμόρφωση: τη διεύθυνση μεταφοράς του ομοτίμου και το πλαίσιο που φτάνει σε αυτήν, έπειτα το πρόθεμα του διακομιστή και το πλαίσιο που φτάνει σε αυτό. Αν δεν μπορείτε να συμπληρώσετε και τα τέσσερα, πρόκειται να μαντέψετε. Η μαντεψιά σε αυτόν τον τομέα είναι ακριβή, γιατί μια διαδρομή που προστίθεται σε λάθος πίνακα μπορεί να κάνει μια ροή να λειτουργεί ενώ σπάει σιωπηλά μια άλλη. Τα τέσσερα γεγονότα χρειάζονται δέκα λεπτά για να συλλεχθούν και γλιτώνουν μια μέρα ανάλυσης καταγραφής.

Επιβεβαιώστε την αναζήτηση μεταφοράς για τον ομότιμο

Ξεκινήστε από την μπροστινή πόρτα, γιατί μια σήραγγα που δεν μπορεί να φτάσει στον ομότιμό της δεν θα περάσει ποτέ ούτε ένα προστατευμένο πακέτο. Στο IOS ζητήστε τη διαδρομή προς τον ομότιμο μέσα στο VRF μεταφοράς και όχι στον καθολικό πίνακα.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Η πρώτη εντολή απαντά αν η διεύθυνση του ομοτίμου είναι προσβάσιμη σε αυτό το πλαίσιο, η δεύτερη απαριθμεί τα VRF που υπάρχουν πραγματικά και η τρίτη δείχνει αν σχηματίστηκε σύνδεση ασφαλείας. Μια διεύθυνση ομοτίμου που επιλύεται μόνο στον καθολικό πίνακα είναι το κλασικό λάθος της μπροστινής πόρτας και εμφανίζεται ως διαπραγμάτευση IKE που δεν ξεκινά ποτέ.

Ελέγξτε και την ανάθεση της διεπαφής. Η τεκμηριωμένη συμπεριφορά απαιτεί το VRF μπροστινής πόρτας της σήραγγας και το VRF της διεπαφής WAN να συμφωνούν· μια ασυμφωνία μπορεί να αφήσει ένα πακέτο να φύγει και παρόλα αυτά να εμποδίσει την απάντηση να υποβληθεί σε επεξεργασία στο σωστό πλαίσιο.

Επιβεβαιώστε την εσωτερική αναζήτηση για τον διακομιστή

Με την μπροστινή πόρτα αποδεδειγμένη, μεταβείτε στο πλαίσιο του πελάτη και θέστε την ίδια ερώτηση για το πρόθεμα του διακομιστή. Αυτή η αναζήτηση αποφασίζει αν ένα αποενθυλακωμένο πακέτο μπορεί να προωθηθεί περαιτέρω.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Η πρώτη εντολή δείχνει την εσωτερική διαδρομή και η δεύτερη την κατάσταση της συνεδρίας μαζί με τα πλαίσια που συσχέτισε η πλατφόρμα με αυτήν. Αν η διαδρομή υπάρχει αλλά οι λεπτομέρειες της συνεδρίας αναφέρουν λάθος εσωτερικό πλαίσιο, η σήραγγα προωθεί σε έναν πίνακα που δεν γνωρίζει το πρόθεμα του πελάτη.

Μια διαδρομή στον καθολικό πίνακα δεν είναι απόδειξη για καμία από τις δύο αναζητήσεις. Οι καθολικές διαδρομές χρησιμοποιούνται όταν ένα πακέτο δεν συσχετίζεται με VRF, και μια διεπαφή σήραγγας που έχει ανατεθεί σε πλαίσιο πελάτη αλλάζει αυτή τη συσχέτιση. Αν λείπει η εσωτερική διαδρομή, το πακέτο αποενθυλακώνεται και μετά απορρίπτεται λόγω έλλειψης καταχώρισης προώθησης, κάτι που μοιάζει με απώλεια πακέτων και όχι με λάθος δρομολόγησης.

Τοποθετήστε τη ρύθμιση εκεί που την περιμένει το μοντέλο

Η ίδια τεκμηρίωση διακρίνει μοντέλα διαμόρφωσης, και μια ρύθμιση που ανήκει στο ένα δεν ανήκει απαραίτητα στο άλλο. Για διεπαφές σήραγγας που χρησιμοποιούν προστασία σήραγγας, το εσωτερικό VRF ορίζεται στη διεπαφή σήραγγας. Για σχέδια βασισμένα σε crypto map, το εσωτερικό VRF είναι μέρος της καταχώρισης crypto map. Η μετακίνηση μιας παρόμοια ονομασμένης εντολής μεταξύ μοντέλων χωρίς έλεγχο του ρόλου της είναι ο τρόπος με τον οποίο ένα λειτουργικό σχέδιο γίνεται διακοπτόμενο.

Η δρομολόγηση και η ταυτότητα είναι ξεχωριστά ζητήματα. Η προσβασιμότητα δεν υποκαθιστά ποτέ ένα προφίλ ομοτίμου που η συσκευή θα δεχτεί, και μια μετονομασία VRF δεν πρέπει να αλλάζει τα διαπιστευτήρια που προσφέρονται. Ελέγξτε και τα δύο μετά από κάθε αλλαγή, γιατί μια σήραγγα που διαπραγματεύεται με λάθος προφίλ μπορεί ακόμη να σχηματίσει σύνδεση και να μη μεταφέρει τίποτα.

Τέλος, καταγράψτε τα τέσσερα γεγονότα και τις εντολές που τα απέδειξαν στο αρχείο αλλαγών. Ο επόμενος μηχανικός θα κληρονομήσει τη σήραγγα και όχι τη συλλογιστική, και μια σύντομη σημείωση που ονομάζει και τα δύο πλαίσια αξίζει περισσότερο από ένα διάγραμμα που κανείς δεν ενημερώνει.