Milline VRF jõuab VPN-partnerini ja milline kannab paketti?

Iga tunnel kliendi marsruutimiskonteksti sees peab ikkagi jõudma oma kaugesse partnerini, ja see otsing võib toimuda hoopis teises tabelis. Selle vale tegemine tekitab ühe segadusttekitavaima tõrke VRF-teadlikus IPsec-is: tunnel tuleb üles, marsruudid näivad olemas olevat ja liiklus sureb, sest üks kahest otsingust kasutas vale konteksti. Käivitage allolevad neli sammu järjekorras ja hoidke kaks sihtkohta eraldi kirjas.

Kaks otsingut, üks tunnel

Väline kapseldatud pakett on adresseeritud partneri transpordiaadressile ja seda marsruuditakse enne, kui mingit kaitset olemas on. Sisemine pakett on adresseeritud kliendi serverile ja seda marsruuditakse pärast dekapsuleerimist, kliendi konteksti sees. Need on kaks sihtkohta, kaks otsingut ja sageli kaks erinevat tabelit.

Cisco dokumentatsioon VRF-teadliku IPsec-i kohta nimetab neid esiukse VRF-iks ja sisemiseks VRF-iks. Esiuks kannab krüpteeritud transporti ja sisemine kontekst kannab kaitstud liiklust. Miski selles, et nimetada tunnel kliendi järgi, ei pane kumbagi marsruuti ilmuma.

Seega loetlege enne konfiguratsiooni muutmist neli fakti: partneri transpordiaadress ja kontekst, mis selleni jõuab, seejärel serveri prefiks ja kontekst, mis selleni jõuab. Kui te ei suuda kõiki nelja täita, olete kohe oletama. Oletamine on selles valdkonnas kallis, sest valesse tabelisse lisatud marsruut võib panna ühe voo tööle, samal ajal teise vaikselt katki tehes. Nelja fakti kogumine võtab kümme minutit ja säästab päeva püüdmise analüüsi.

Kinnitage partneri transpordiotsing

Alustage esiuksest, sest tunnel, mis ei jõua oma partnerini, ei lase kunagi läbi ühtegi kaitstud paketti. IOS-is küsige marsruuti partnerini transpordi VRF-i sees, mitte üldtabelist.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Esimene käsk vastab, kas partneri aadress on selles kontekstis kättesaadav, teine loetleb VRF-id, mis tegelikult olemas on, ja kolmas näitab, kas turvaassotsiatsioon moodustus. Partneri aadress, mis laheneb ainult üldtabelis, on klassikaline esiukse viga ja see ilmneb IKE-läbirääkimistena, mis ei alga kunagi.

Kontrollige ka liidese määramist. Dokumenteeritud käitumine nõuab, et tunneli esiukse VRF ja WAN-liidese VRF oleksid kooskõlas; lahknevus võib lasta paketil väljuda ja siiski takistada vastuse töötlemist õiges kontekstis.

Kinnitage serveri sisemine otsing

Kui esiuks on tõestatud, lülituge kliendi konteksti ja esitage sama küsimus serveri prefiksi kohta. See otsing otsustab, kas dekapsuleeritud paketti saab edasi saata.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Esimene käsk näitab sisemist marsruuti ja teine näitab sessiooni olekut koos kontekstidega, mille platvorm sellega sidus. Kui marsruut on olemas, kuid sessiooni üksikasjad nimetavad vale sisemise konteksti, edastab tunnel tabelisse, mis kliendi prefiksi kohta ei tea.

Marsruut üldtabelis ei ole tõend kummagi otsingu jaoks. Üldmarsruute kasutatakse siis, kui pakett ei ole VRF-iga seotud, ja kliendi kontekstile määratud tunneliliides muudab seda seost. Kui sisemine marsruut puudub, dekapsuleeritakse pakett ja seejärel visatakse see edastuskirje puudumise tõttu ära, mis näeb välja nagu paketikaotus, mitte marsruutimisviga.

Asetage säte sinna, kuhu mudel seda ootab

Sama dokumentatsioon eristab konfiguratsioonimudeleid ja ühele kuuluv säte ei pruugi kuuluda teisele. Tunneli kaitset kasutavate tunneliliideste puhul määratakse sisemine VRF tunneliliidesel. Crypto map-põhiste lahenduste puhul on sisemine VRF osa crypto map-kirjest. Sarnase nimega käsu liigutamine mudelite vahel ilma selle rolli kontrollimata on viis, kuidas töötav lahendus muutub katkendlikuks.

Marsruutimine ja identiteet on eraldi küsimused. Kättesaadavus ei asenda kunagi partneri profiili, mille seade aktsepteerib, ja VRF-i ümbernimetamine ei tohi muuta pakutavaid mandaate. Kontrollige mõlemat pärast igasugust muudatust, sest vale profiiliga läbi rääkiv tunnel võib ikkagi assotsiatsiooni moodustada ja mitte midagi edastada.

Lõpuks kirjutage neli fakti ja käsud, mis neid tõestasid, muudatuste logisse. Järgmine insener pärib tunneli, mitte põhjenduse, ja lühike märkus, mis nimetab mõlemat konteksti, on väärtuslikum kui skeem, mida keegi ei uuenda.