Perfil IKEv2 definido pero no asociado: seguir la cadena

El perfil IKEv2 está en la configuración guardada, el llavero también está ahí, y el túnel sigue sin levantarse. En Cisco IOS XE un perfil es un objeto que transporta opciones de coincidencia de identidad y autenticación, y un objeto no hace nada hasta que otro objeto lo referencia y una interfaz lo asocia a una ruta. La mayoría de las sesiones de depuración fallidas de la fase 1 omiten una de esas referencias. Lea la cadena desde el llavero hacia fuera antes de cambiar cualquier propuesta o política.

Qué es realmente un objeto de perfil

El perfil IKEv2 contiene la coincidencia de identidad remota, los métodos de autenticación local y remota y una referencia a un llavero para diseños con clave precompartida. Describe cómo se reconoce a un par y cómo se prueba a sí mismo, y no nombra ninguna interfaz.

El llavero es un objeto aparte que contiene las claves precompartidas. El mapa criptográfico o el perfil IPsec es un tercer objeto que referencia el perfil IKEv2 y aporta los ajustes de protección. La asociación a la interfaz es el cuarto paso, donde se aplica un mapa criptográfico o se habilita la protección de túnel. Cada salto es una referencia distinta, y un salto ausente deja cada objeto con aspecto correcto de forma aislada.

Seguir la cadena de referencias en orden

Empiece por el llavero que nombra el perfil, luego confirme el nombre de perfil al que hace referencia el mapa criptográfico o el perfil IPsec, y después busque la interfaz que consume ese último objeto. Escriba cada nombre junto al objeto que lo consume; esa lista corta es más útil que comprobar que cada bloque esperado existe en algún lugar de la configuración.

Las roturas habituales son mecánicas. Un nombre de perfil difiere en un carácter del que referencia el mapa criptográfico. El mapa criptográfico existe pero nunca se aplicó a la interfaz. El comando de protección de túnel apunta a un perfil IPsec que referencia un perfil IKEv2 distinto. Un respondedor sin asociación explícita es un caso documentado, pero un iniciador sin asociación simplemente no está configurado para la ruta.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Lea el fragmento como una cadena y no como una plantilla. La interfaz nombra el perfil IPsec, el perfil IPsec nombra el perfil IKEv2, y el perfil IKEv2 nombra el llavero. Rompa cualquiera de esos nombres y la configuración se sigue analizando, que es por lo que el router la acepta y el túnel permanece caído.

El mapa criptográfico y la protección de túnel son alternativas

Cisco documenta dos disposiciones de asociación. Un mapa criptográfico puede aplicarse a una interfaz y puede referenciar el perfil IKEv2 mediante su comando set. La protección de túnel asocia un perfil IPsec a una interfaz de túnel. Ambas son válidas y no están pensadas para instalarse juntas como medida de doble seguridad.

El origen y el destino del túnel identifican la disposición exterior de entrega y son independientes de la asociación de protección. Una interfaz LAN, la interfaz de túnel y la interfaz de origen exterior desempeñan tres papeles distintos. Un mapa criptográfico en la interfaz LAN no protege el túnel, y un túnel con protección habilitada pero sin dirección de origen alcanzable nunca envía un paquete a su par.

Inspeccione el estado cargado, no solo el texto. La versión instalada tiene comandos que conectan los objetos configurados con la sesión negociada, y esos son los que hay que citar en un ticket. Una configuración guardada demuestra la intención; una tabla de sesiones demuestra la ruta.

La excepción del respondedor no es una regla para los iniciadores

La guía de IOS XE señala que una asociación explícita de perfil IKEv2 puede ser opcional en un respondedor. Esa excepción no elimina las comprobaciones de autenticación ni de identidad, y no hace opcional el perfil en el lado que inicia la conexión.

Si su router inicia, trate la asociación como obligatoria y siga la cadena de extremo a extremo. Si su router solo responde, confirme qué perfil coincidió realmente con el par entrante, porque un respondedor puede seleccionar un perfil por identidad en lugar de por referencia de interfaz.

Compruebe la ruta, no la configuración guardada

Cuando las asociaciones encajen, pruebe una aplicación permitida y registre su origen, destino y ruta internos. Una solicitud originada por el router puede usar una dirección de origen distinta de la del tráfico reenviado desde la LAN, y el alcance de protección puede cubrir solo una de ellas.

Una definición bien asociada no demuestra que los selectores, la ruta de retorno y la política de interfaz cubran su flujo. Envíe tráfico real y lea el estado negociado, luego repita tras una reconexión para saber que la cadena sobrevive a una negociación nueva. Mantenga la explicación ceñida a IOS XE IKEv2; un despliegue histórico de mapa criptográfico IKEv1 tiene otro modelo de objetos y no debe depurarse con esta cadena.

Escriba los cuatro nombres en el registro de cambios cuando el túnel funcione. La siguiente persona que toque el mapa criptográfico los necesitará, y la cadena es la parte del diseño que la configuración en ejecución no explica.