Zein VRF iristen da VPN parekidera eta zeinek eramaten du paketea?

Bezero baten bideratze-kontextuaren barneko tunel bakoitzak bere urruneko parekidera iritsi behar du oraindik, eta bilaketa hori erabat bestelako taula batean gerta daiteke. Hori gaizki egiteak VRF-az jabetzen den IPsec-en hutsegite nahasgarrienetako bat sortzen du: tunela altxatzen da, ibilbideak presentzia dutela dirudi, eta trafikoa hiltzen da bi bilaketetako batek kontextu okerra erabili duelako. Exekutatu beheko lau urratsak hurrenez hurren, eta idatzi bi helmugak bereizita.

Bi bilaketa, tunel bat

Kanpoko pakete kapsulatua parekidearen garraio-helbidera zuzentzen da, eta edozein babes existitu aurretik bideratzen da. Barneko paketea bezeroaren zerbitzari batera zuzentzen da eta deskapsulatu ondoren bideratzen da, bezeroaren kontextuaren barnean. Bi helmuga, bi bilaketa eta sarritan bi taula desberdin dira.

Ciscoren VRF-az jabetzen den IPsec-erako dokumentazioak ate aurreko VRF eta barneko VRF deitzen die. Ate aurreak garraio zifratua eramaten du, eta barneko kontextuak babestutako trafikoa eramaten du. Tunelei bezero baten izena jartzeak ez du bi ibilbideetako bat ere agerrarazten.

Beraz, zerrendatu lau datu konfigurazio bat aldatu aurretik: parekidearen garraio-helbidea eta hara iristen den kontextua, gero zerbitzariaren aurrizkia eta hara iristen den kontextua. Lauak bete ezin badituzu, asmatzear zaude. Arlo honetan asmatzea garestia da, taula okerrean gehitutako ibilbide batek fluxu bat funtzionaraz dezakeelako beste bat isilki apurtzen duen bitartean. Lau datuek hamar minutu behar dituzte biltzeko eta harrapaketen analisi-egun bat aurrezten dute.

Egiaztatu parekidearen garraio-bilaketa

Hasi ate aurretik, parekidera iristen ez den tunel batek ez baitu inoiz babestutako pakete bakar bat ere pasatuko. IOSen galdetu parekiderako ibilbidea garraio-VRFaren barnean, eta ez taula globalean.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Lehen komandoak erantzuten du parekidearen helbidea kontextu horretan eskuragarri dagoen, bigarrenak benetan existitzen diren VRFak zerrendatzen ditu, eta hirugarrenak segurtasun-elkartea sortu den erakusten du. Taula globalean soilik ebazten den parekide-helbidea ate aurreko akats klasikoa da, eta inoiz hasten ez den IKE negoziazio gisa agertzen da.

Egiaztatu interfazearen esleipena ere. Dokumentatutako portaerak tunelaren ate aurreko VRFa eta WAN interfazearen VRFa bat etorri behar direla eskatzen du; desadostasun batek paketea atera dezake eta, hala ere, erantzuna kontextu egokian prozesatzea eragotzi.

Egiaztatu zerbitzariaren barne-bilaketa

Ate aurrekoa frogatuta, aldatu bezeroaren kontextura eta egin galdera bera zerbitzariaren aurrizkiari buruz. Bilaketa honek erabakitzen du deskapsulatutako paketea aurrera birbidal daitekeen.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Lehen komandoak barneko ibilbidea erakusten du, eta bigarrenak saioaren egoera, plataformak harekin lotu zituen kontextuekin batera. Ibilbidea existitzen bada baina saioaren xehetasunek barneko kontextu okerra aipatzen badute, tunelak bezeroaren aurrizkia ezagutzen ez duen taula batera birbidaltzen du.

Taula globalean dagoen ibilbide bat ez da bi bilaketetako inolako froga. Ibilbide globalak paketea VRF batekin lotuta ez dagoenean erabiltzen dira, eta bezero-kontextu bati esleitutako tunel-interfaze batek lotura hori aldatzen du. Barneko ibilbidea falta bada, paketea deskapsulatu eta gero baztertu egiten da birbidaltze-sarrera ez dagoelako, eta hori pakete-galera dirudi, ez bideratze-akatsa.

Jarri ezarpena modeloak espero duen tokian

Dokumentazio berak konfigurazio-modeloak bereizten ditu, eta bati dagokion ezarpena ez zaio derrigorrez besteari dagokio. Tunel-babesa erabiltzen duten tunel-interfazeetarako, barneko VRF tunel-interfazean definitzen da. Crypto map-ean oinarritutako diseinuetarako, barneko VRF crypto map-sarreraren parte da. Antzeko izena duen komando bat modeloen artean mugitzea, haren rola egiaztatu gabe, funtzionatzen duen diseinua aldizkako bihurtzeko bidea da.

Bideratzea eta identitatea kontu bereiziak dira. Eskuragarritasunak ez du inoiz ordezkatzen gailuak onartuko duen parekide-profil bat, eta VRF baten izen-aldaketak ez du eskainitako kredentzialak aldatu behar. Egiaztatu biak edozein aldaketaren ondoren, profil okerrarekin negoziatzen duen tunel batek elkartea sortu eta ezer birbidal dezakeelako.

Azkenez, erregistratu lau datuak eta horiek frogatu zituzten komandoak aldaketa-erregistroan. Hurrengo ingeniariak tunela heredatuko du, ez arrazoibidea, eta bi kontextuak izendatzen dituen ohar labur batek inork eguneratzen ez duen diagrama bat baino balio handiagoa du.