IKEv2-profilo difinita sed ne ligita: spuri la ĉenon

La IKEv2-profilo troviĝas en la konservita agordo, la ŝlosilringo ankaŭ estas tie, kaj la tunelo ankoraŭ ne ekfunkcias. En Cisco IOS XE profilo estas objekto, kiu portas elektojn pri identiga kongruo kaj aŭtentigo, kaj objekto faras nenion ĝis alia objekto referencas ĝin kaj interfaco ligas tiun objekton al vojo. Plej multaj malsukcesintaj sencimigaj sesioj de fazo 1 preterlasas unu el tiuj referencoj. Legu la ĉenon de la ŝlosilringo eksteren antaŭ ol ŝanĝi ajnan proponon aŭ politikon.

Kio efektive estas profila objekto

La IKEv2-profilo tenas la kongruon de la fora idento, la lokajn kaj forajn aŭtentigajn metodojn, kaj referencon al ŝlosilringo por dezajnoj kun antaŭdividitaj ŝlosiloj. Ĝi priskribas, kiel oni rekonas peer kaj kiel ĝi pruvas sin, kaj ĝi nomas neniun interfacon.

La ŝlosilringo estas aparta objekto, kiu tenas la antaŭdividitajn ŝlosilojn. La crypto map aŭ la IPsec-profilo estas tria objekto, kiu referencas la IKEv2-profilon kaj liveras la protektajn agordojn. La interfaca ligo estas la kvara paŝo, kie oni aplikas crypto map aŭ ebligas tunnel protection. Ĉiu salto estas aparta referenco, kaj mankanta salto lasas ĉiun objekton ŝajni ĝusta izolite.

Sekvu la referencan ĉenon laŭorde

Komencu ĉe la ŝlosilringo, kiun la profilo nomas, poste konfirmu la profilan nomon, kiun la crypto map aŭ la IPsec-profilo referencas, poste trovu la interfacon, kiu konsumas tiun lastan objekton. Skribu ĉiun nomon apud la objekto, kiu konsumas ĝin; tiu mallonga listo estas pli utila ol kontroli, ĉu ĉiu atendata sekcio ekzistas ie en la agordo.

La kutimaj rompoj estas mekanikaj. Profila nomo diferencas per unu signo de tiu, kiun la crypto map referencas. La crypto map ekzistas sed neniam estis aplikita al la interfaco. La komando tunnel protection montras al IPsec-profilo, kiu referencas alian IKEv2-profilon. Respondanto sen eksplicita ligo estas dokumentita kazo, sed iniciatinto sen ligo simple ne estas agordita por la vojo.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Legu la fragmenton kiel ĉenon, ne kiel ŝablonon. La interfaco nomas la IPsec-profilon, la IPsec-profilo nomas la IKEv2-profilon, kaj la IKEv2-profilo nomas la ŝlosilringon. Rompu ajnan el tiuj nomoj, kaj la agordo ankoraŭ analiziĝas, kio estas kial la enkursigilo akceptas ĝin kaj la tunelo restas malsupre.

Crypto map kaj tunnel protection estas alternativoj

Cisco dokumentas du ligajn aranĝojn. Crypto map povas esti aplikita al interfaco kaj povas referenci la IKEv2-profilon per sia komando set. Tunnel protection ligas IPsec-profilon al tunela interfaco. Ambaŭ validas, kaj ili ne estas destinitaj por esti instalitaj kune kiel kroma sekurigilo.

La fonto kaj celo de la tunelo identigas la eksteran liveran aranĝon, kaj ili estas apartaj de la protekta ligo. LAN-interfaco, la tunela interfaco kaj la ekstera fonta interfaco ludas tri malsamajn rolojn. Crypto map sur la LAN-interfaco ne protektas la tunelon, kaj tunelo kun ebligita protekto sed sen atingebla fonta adreso neniam sendas paketon al sia peer.

Kontrolu la ŝarĝitan staton, ne nur la tekston. La instalita eldono havas komandojn, kiuj ligas la agorditajn objektojn al la intertraktita sesio, kaj tiujn vi citu en ticket. Konservita agordo pruvas intencon; sesia tabelo pruvas la vojon.

La respondanta escepto ne estas regulo por iniciatintoj

La gvidilo IOS XE notas, ke eksplicita ligo de IKEv2-profilo povas esti laŭvola ĉe respondanto. Tiu escepto ne forigas aŭtentigon aŭ identajn kontrolojn, kaj ĝi ne igas la profilon laŭvola ĉe la flanko, kiu komencas la konekton.

Se via enkursigilo iniciatas, traktu la ligon kiel devigan kaj spuru ĝin de fino al fino. Se via enkursigilo nur respondas, konfirmu, kiu profilo efektive kongruis al la alvenanta peer, ĉar respondanto povas elekti profilon laŭ idento anstataŭ laŭ interfaca referenco.

Kontrolu la vojon, ne la konservitan agordon

Post kiam la ligoj kongruas, testu unu permesitan aplikaĵon kaj registru ĝian internan fonton, celon kaj vojon. Peto originita de la enkursigilo povas uzi alian fontan adreson ol trafiko plusendita el la LAN, kaj la protekta amplekso eble kovras nur unu el ili.

Ĝuste ligita difino ne pruvas, ke la selektiloj, la revena vojo kaj la interfaca politiko kovras vian fluon. Sendu realan trafikon kaj legu la intertraktitan staton, poste ripetu post rekonekto por ke vi sciu, ke la ĉeno pluvivas novan intertraktadon. Tenadu la klarigon limigita al IOS XE IKEv2; historia IKEv1 crypto map deplojo havas alian objektan modelon kaj ne devus esti sencimigita per ĉi tiu ĉeno.

Skribu la kvar nomojn en la ŝanĝan registron, kiam la tunelo funkcias. La sekva persono, kiu tuŝos la crypto map, bezonos ilin, kaj la ĉeno estas la parto de la dezajno, kiun la kuranta agordo ne klarigas.