IKEv2 profila definituta baina erantsi gabe: katea jarraitu

IKEv2 profila gordetako konfigurazioan dago, gako-eraztuna ere han dago, eta tunela ez da altxatzen. Cisco IOS XEn profil bat identitatearen bat-etortze eta autentifikazio aukerak daramatzan objektua da, eta objektu batek ez du ezer egiten beste objektu batek erreferentzia egin eta interfaze batek objektu hori bide bati erantsi arte. Huts egindako 1 faseko arazketa saio gehienek erreferentzia horietako bat saltatzen dute. Irakurri katea gako-eraztunetik kanpora edozein proposamen edo politika aldatu aurretik.

Zer da benetan profil objektu bat

IKEv2 profilak urruneko identitatearen bat-etortzea, tokiko eta urruneko autentifikazio metodoak eta gako aurrez partekatuko diseinuetarako gako-eraztun baten erreferentzia gordetzen ditu. Berak deskribatzen du nola ezagutzen den peer bat eta nola frogatzen duen bere burua, eta ez du interfaze bakarra ere izendatzen.

Gako-eraztuna bereizitako objektua da, aurrez partekatutako gakoak gordetzen dituena. Crypto map edo IPsec profila hirugarren objektua da, IKEv2 profilari erreferentzia egiten diona eta babes-ezarpenak ematen dituena. Interfazearen eransketa laugarren urratsa da, crypto map bat aplikatzen edo tunnel protection gaitzen den tokia. Jauzi bakoitza erreferentzia desberdin bat da, eta falta den jauzi batek objektu bakoitza bere horretan zuzena dirudiela uzten du.

Jarraitu erreferentzia-katea ordenan

Hasi profilak izendatzen duen gako-eraztunetik, gero egiaztatu crypto map edo IPsec profilak erreferentziatzen duen profil-izena, eta gero aurkitu azken objektu hori kontsumitzen duen interfazea. Idatzi izen bakoitza kontsumitzen duen objektuaren ondoan; zerrenda labur hori baliagarriagoa da konfigurazioan nonbait espero den bloke bakoitza badagoela egiaztatzea baino.

Ohiko hausturak mekanikoak dira. Profil-izen bat karaktere batean desberdintzen da crypto mapak erreferentziatzen duenetik. Crypto map existitzen da, baina ez zitzaion inoiz interfazeari aplikatu. Tunnel protection komandoak beste IKEv2 profil bati erreferentzia egiten dion IPsec profil bat seinalatzen du. Eransketarik espresurik gabeko responder bat dokumentatutako kasua da, baina eransketarik gabeko initiator bat ez dago bidearentzat konfiguratuta besterik gabe.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Irakurri kodea kate gisa, ez txantiloi gisa. Interfazeak IPsec profila izendatzen du, IPsec profilak IKEv2 profila izendatzen du, eta IKEv2 profilak gako-eraztuna izendatzen du. Hautsi izen horietako edozein eta konfigurazioak oraindik analizatzen jarraitzen du, horregatik onartzen du routerrak eta tunelak behean jarraitzen du.

Crypto map eta tunnel protection alternatibak dira

Ciscok bi eransketarako antolamendu dokumentatzen ditu. Crypto map bat interfaze bati aplika dakioke eta IKEv2 profilari erreferentzia egin diezaioke bere set komandoaren bidez. Tunnel protectionek IPsec profil bat tunel-interfaze bati eransteko balio du. Biak baliozkoak dira, eta ez dira elkarrekin instalatzeko pentsatuta babes bikoitz gisa.

Tunelaren iturburuak eta helmugak kanpoko banaketa-antolamendua identifikatzen dute, eta babes-eransketatik bereizita daude. LAN interfazeak, tunel-interfazeak eta kanpoko iturburu-interfazeak hiru rol desberdin betetzen dituzte. LAN interfazean dagoen crypto map batek ez du tunela babesten, eta babesa gaituta baina iturburu-helbide iristegarria ez duen tunel batek ez dio inoiz paketerik bidaltzen bere peerari.

Ikuskatu kargatutako egoera, ez soilik testua. Instalatutako bertsioak konfiguratutako objektuak negoziatutako saioarekin lotzen dituzten komandoak ditu, eta horiek dira txartel batean aipatu behar direnak. Gordetako konfigurazioak asmoa frogatzen du; saio-taula batek bidea frogatzen du.

Responder-aren salbuespena ez da initiatorrentzako araua

IOS XE gidak ohartarazten du IKEv2 profilaren eransketak espresua responder batean hautazkoa izan daitekeela. Salbuespen horrek ez ditu autentifikazioa edo identitate-egiaztapenak kentzen, eta ez du profila hautazko bihurtzen konexioa hasten duen aldean.

Zure routerrak hasten badu, hartu eransketa derrigorrez kotzat eta jarraitu hasieratik amaierara. Zure routerrak soilik erantzuten badu, egiaztatu zein profil etorri zen peerrarekin bat etorri zen, responder batek profila identitatearen arabera aukera baitezake interfazearen erreferentziaren ordez.

Egiaztatu bidea, ez gordetako konfigurazioa

Eransketak lerrokatzen direnean, probatu baimendutako aplikazio bat eta erregistratu haren barneko iturburua, helmuga eta bidea. Routerrak sortutako eskaera batek LANetik birbidaltzen den trafikoaren iturburu-helbide desberdina erabil dezake, eta babes-eremuak horietako bat baino ez du estal dezake.

Egoki erantsitako definizio batek ez du frogatzen selektoreek, itzulera-bideak eta interfaze-politikak zure fluxua estaltzen dutenik. Bidali trafiko erreala eta irakurri negoziatutako egoera, gero errepikatu berriz konektatu ondoren, kateak negoziazio berri bat gainditzen duela jakiteko. Eutsi azalpena IOS XE IKEv2-ra; IKEv1 crypto map inplementazio historiko batek beste objektu-eredu bat du eta ez litzateke kate honekin araztu behar.

Idatzi lau izenak aldaketa-erregistroan tunelak funtzionatzen duenean. Crypto mappari helduko dion hurrengo pertsonak beharko ditu, eta katea konfigurazio exekutagarriak azaltzen ez duen diseinuaren zatia da.