IKEv2 profiil on määratud, kuid mitte ühendatud: jälgi ahelat

Salvestatud IKEv2 profiil on objekt, mitte tee. Jälgi võtmerõngast, profiili, crypto mapi või IPsec profiili ja liidese külge kinnitamist enne faasi 2 silumist.

IKEv2 profiil on salvestatud konfiguratsioonis, võtmerõngas on samuti olemas, ja tunnel ei tule ikka üles. Cisco IOS XE-s on profiil objekt, mis kannab identiteedi vastendamise ja autentimise valikuid, ning objekt ei tee midagi enne, kui teine objekt sellele viitab ja liides kinnitab selle objekti tee külge. Enamik ebaõnnestunud faasi 1 silumisseansse jätab ühe neist viidetest vahele. Loe ahelat võtmerõngast väljapoole enne, kui muudad mis tahes ettepanekut või poliitikat.

Mis profiiliobjekt tegelikult on

IKEv2 profiil hoiab kaugidentiteedi vastet, kohalikke ja kaugemaid autentimismeetodeid ning viidet võtmerõngale eeljagatud võtmetega lahenduste jaoks. See kirjeldab, kuidas peer tuvastatakse ja kuidas ta end tõestab, ning ei nimeta ühtegi liidest.

Võtmerõngas on eraldi objekt, mis hoiab eeljagatud võtmeid. Crypto map või IPsec profiil on kolmas objekt, mis viitab IKEv2 profiilile ja annab kaitse seaded. Liidese külge kinnitamine on neljas samm, kus rakendatakse crypto map või lubatakse tunnel protection. Iga hüpe on eraldi viide ja puuduv hüpe jätab iga objekti eraldi vaadatuna õigena näima.

Jälgi viidete ahelat järjekorras

Alusta võtmerõngast, mille profiil nimetab, seejärel kinnita profiili nimi, millele crypto map või IPsec profiil viitab, ja leia siis liides, mis seda viimast objekti tarbib. Kirjuta iga nimi selle objekti kõrvale, mis seda tarbib; see lühike nimekiri on kasulikum kui kontrollida, kas iga oodatud plokk eksisteerib kuskil konfiguratsioonis.

Tavalised katkestused on mehaanilised. Profiili nimi erineb ühe tähemärgi võrra sellest, millele crypto map viitab. Crypto map on olemas, kuid seda ei rakendatud kunagi liidesele. Tunnel protection käsk osutab IPsec profiilile, mis viitab teisele IKEv2 profiilile. Responder ilma selgesõnalise kinnituseta on dokumenteeritud juhtum, kuid initiator ilma kinnituseta pole lihtsalt tee jaoks konfigureeritud.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Loe lõiku ahelana, mitte mallina. Liides nimetab IPsec profiili, IPsec profiil nimetab IKEv2 profiili ja IKEv2 profiil nimetab võtmerõngast. Katkesta ükskõik milline neist nimedest ja konfiguratsioon parsitakse ikkagi, mistõttu ruuter võtab selle vastu ja tunnel jääb alla.

Crypto map ja tunnel protection on alternatiivid

Cisco dokumenteerib kaks kinnitusviisi. Crypto mapi saab rakendada liidesele ja see saab oma set käsuga viidata IKEv2 profiilile. Tunnel protection kinnitab IPsec profiili tunneliliidesele. Mõlemad on kehtivad ja neid ei ole mõeldud paigaldama koos lisakaitsena.

Tunneli allikas ja sihtkoht määravad välimise edastuskorralduse ja need on kaitse kinnitusest eraldi. LAN liides, tunneliliides ja välimine allikaliides täidavad kolme erinevat rolli. Crypto map LAN liidesel ei kaitse tunnelit ja tunnel, millel on kaitse lubatud, kuid millel puudub kättesaadav allikaaadress, ei saada kunagi peerile paketti.

Kontrolli laaditud olekut, mitte ainult teksti. Paigaldatud versioonis on käsud, mis ühendavad konfigureeritud objektid läbiräägitud seansiga, ja just neid tuleks piletis tsiteerida. Salvestatud konfiguratsioon tõestab kavatsust; seansitabel tõestab teed.

Responderi erand ei ole reegel initiaatoritele

IOS XE juhend märgib, et selgesõnaline IKEv2 profiili kinnitus võib responderi puhul olla valikuline. See erand ei eemalda autentimis- ega identiteedikontrolle ning ei muuda profiili valikuliseks sellel poolel, mis ühenduse algatab.

Kui sinu ruuter algatab, käsitle kinnitust kohustuslikuna ja jälgi seda otsast otsani. Kui sinu ruuter ainult vastab, kinnita, milline profiil tegelikult sissetuleva peeriga sobis, sest responder saab profiili valida identiteedi, mitte liidese viite järgi.

Kontrolli teed, mitte salvestatud konfiguratsiooni

Kui kinnitused klapivad, katseta üht lubatud rakendust ja registreeri selle sisemine allikas, sihtkoht ja marsruut. Ruuteri algatatud päring võib kasutada teistsugust allikaaadressi kui LAN-ist edastatav liiklus, ja kaitse ulatus võib katta ainult ühe neist.

Õigesti kinnitatud definitsioon ei tõesta, et selektorid, tagasitee ja liidese poliitika katavad sinu voo. Saada tegelikku liiklust ja loe läbiräägitud olekut, seejärel korda pärast uuesti ühendamist, et teada, et ahel peab vastu uuele läbirääkimisele. Hoia seletus IOS XE IKEv2 piires; ajalooline IKEv1 crypto mapi paigaldus on erineva objektimudeliga ja seda ei tohiks selle ahelaga siluda.

Kirjuta need neli nime muudatuste registrisse, kui tunnel töötab. Järgmine inimene, kes crypto mappi puudutab, vajab neid, ja ahel on see osa disainist, mida jooksev konfiguratsioon ei selgita.

Seotud artiklid