Kiun VRF atingas la VPN-partnero kaj kiu portas la paketon?

Ĉiu tunelo ene de la enkursigada kunteksto de kliento ankoraŭ devas atingi sian malproksiman partneron, kaj tiu serĉo povas okazi en tute alia tabelo. Erari ĉi tie produktas unu el la plej konfuzaj paneoj en VRF-konscia IPsec: la tunelo ekfunkcias, la vojoj ŝajnas ĉeestaj, kaj trafiko mortas ĉar unu el la du serĉoj uzis la malĝustan kuntekston. Plenumu la kvar paŝojn sube laŭ ordo, kaj tenu la du celojn skribitaj aparte.

Du serĉoj, unu tunelo

La ekstera enkapsuligita paketo estas adresita al la transporta adreso de la partnero, kaj ĝi estas enkursigita antaŭ ol ekzistas ia ajn protekto. La interna paketo estas adresita al klienta servilo kaj estas enkursigita post malenkapsuligo, ene de la kunteksto de la kliento. Tiuj estas du celoj, du serĉoj kaj ofte du malsamaj tabeloj.

La dokumentaro de Cisco por VRF-konscia IPsec nomas ilin la antaŭporda VRF kaj la interna VRF. La antaŭpordo portas la ĉifritan transporton, kaj la interna kunteksto portas la protektitan trafikon. Nenio pri nomi tunelon laŭ kliento igas iun el la du vojoj aperi.

Do listigu kvar faktojn antaŭ ol ŝanĝi agordon: la transportan adreson de la partnero kaj la kuntekston, kiu atingas ĝin, poste la prefikson de la servilo kaj la kuntekston, kiu atingas ĝin. Se vi ne povas plenigi ĉiujn kvar, vi baldaŭ divenos. Divenado en ĉi tiu kampo estas multekosta, ĉar vojo aldonita al la malĝusta tabelo povas igi unu fluon funkcii dum ĝi silente rompas alian. La kvar faktoj postulas dek minutojn por kolekti kaj ŝparas tagon da analizo de kaptaĵoj.

Konfirmu la transportan serĉon por la partnero

Komencu per la antaŭpordo, ĉar tunelo, kiu ne povas atingi sian partneron, neniam pasigos eĉ unu protektitan paketon. En IOS demandu la vojon al la partnero ene de la transporta VRF anstataŭ en la tutmonda tabelo.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

La unua komando respondas, ĉu la adreso de la partnero estas atingebla en tiu kunteksto, la dua listigas la VRF-ojn, kiuj efektive ekzistas, kaj la tria montras, ĉu formiĝis sekureca asocio. Adreso de partnero, kiu solviĝas nur en la tutmonda tabelo, estas la klasika antaŭporda eraro, kaj ĝi prezentiĝas kiel IKE-intertraktado, kiu neniam komenciĝas.

Kontrolu ankaŭ la interfacan atribuon. La dokumentita konduto postulas, ke la antaŭporda VRF de la tunelo kaj la VRF de la WAN-interfaco kongruu; malkongruo povas lasi paketon eliri kaj tamen malhelpi, ke la respondo estu prilaborita en la ĝusta kunteksto.

Konfirmu la internan serĉon por la servilo

Kiam la antaŭpordo estas pruvita, transiru al la kunteksto de la kliento kaj demandu la saman demandon pri la prefikso de la servilo. Ĉi tiu serĉo decidas, ĉu malenkapsuligita paketo povas esti plusendita plu.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

La unua komando montras la internan vojon, kaj la dua montras la staton de la seanco kune kun la kuntekstoj, kiujn la platformo asociigis al ĝi. Se la vojo ekzistas sed la detaloj de la seanco nomas la malĝustan internan kuntekston, la tunelo plusendas en tabelon, kiu ne konas la prefikson de la kliento.

Vojo en la tutmonda tabelo ne estas pruvo por iu ajn el la du serĉoj. Tutmondaj vojoj estas uzataj kiam paketo ne estas asociigita kun VRF, kaj tunela interfaco atribuita al klienta kunteksto ŝanĝas tiun asociigon. Se la interna vojo mankas, la paketo estas malenkapsuligita kaj poste forĵetita pro manko de plusenda enskribo, kio aspektas kiel perdo de paketoj anstataŭ kiel enkursigada eraro.

Metu la agordon tie, kie la modelo atendas ĝin

La sama dokumentaro distingas agordajn modelojn, kaj agordo apartenanta al unu ne nepre apartenas al alia. Por tunelaj interfacoj uzantaj tunelan protekton, la interna VRF estas difinita sur la tunela interfaco. Por desegnoj bazitaj sur crypto map, la interna VRF estas parto de la crypto map-enskribo. Movi simile nomitan komandon inter modeloj sen kontroli ĝian rolon estas la maniero, kiel funkcianta desegno fariĝas intermita.

Enkursigado kaj identeco estas apartaj aferoj. Atingebleco neniam anstataŭas partneran profilon, kiun la aparato akceptos, kaj renomigo de VRF ne rajtas ŝanĝi la ofertitajn legitimilojn. Kontrolu ambaŭ post iu ajn ŝanĝo, ĉar tunelo, kiu intertraktas kun la malĝusta profilo, ankoraŭ povas formi asocion kaj plusendi nenion.

Fine, registru la kvar faktojn kaj la komandojn, kiuj pruvis ilin, en la ŝanĝprotokolo. La sekva inĝeniero heredos la tunelon kaj ne la rezonadon, kaj mallonga noto, kiu nomas ambaŭ kuntekstojn, valoras pli ol diagramo, kiun neniu ĝisdatigas.