پروفایل IKEv2 تعریف شده اما متصل نیست: زنجیره را دنبال کنید

پروفایل IKEv2 در پیکربندی ذخیره‌شده هست، حلقه کلید هم آنجاست، و تونل باز هم بالا نمی‌آید. در Cisco IOS XE یک پروفایل شیئی است که گزینه‌های تطبیق هویت و احراز هویت را حمل می‌کند، و یک شیء تا زمانی که شیء دیگری به آن ارجاع ندهد و یک رابط آن را به مسیری متصل نکند کاری نمی‌کند. بیشتر جلسه‌های ناموفق اشکال‌زدایی فاز 1 یکی از این ارجاع‌ها را از قلم می‌اندازند. پیش از تغییر هر پیشنهاد یا سیاستی، زنجیره را از حلقه کلید به سمت بیرون بخوانید.

شیء پروفایل در واقع چیست

پروفایل IKEv2 تطبیق هویت راه دور، روش‌های احراز هویت محلی و راه دور، و ارجاعی به یک حلقه کلید برای طرح‌های کلید از پیش اشتراکی را نگه می‌دارد. توصیف می‌کند که یک همتا چگونه شناسایی می‌شود و چگونه خود را اثبات می‌کند، و هیچ رابطی را نام نمی‌برد.

حلقه کلید شیئی جداگانه است که کلیدهای از پیش اشتراکی را نگه می‌دارد. crypto map یا پروفایل IPsec شیء سومی است که به پروفایل IKEv2 ارجاع می‌دهد و تنظیمات حفاظت را تأمین می‌کند. اتصال رابط گام چهارم است، جایی که crypto map اعمال می‌شود یا tunnel protection فعال می‌شود. هر پرش یک ارجاع مستقل است، و یک پرش گم‌شده باعث می‌شود هر شیء به‌تنهایی درست به نظر برسد.

زنجیره ارجاع را به ترتیب دنبال کنید

از حلقه کلیدی که پروفایل نام می‌برد شروع کنید، سپس نام پروفایلی را که crypto map یا پروفایل IPsec به آن ارجاع می‌دهد تأیید کنید، و سپس رابطی را بیابید که آن آخرین شیء را مصرف می‌کند. هر نام را کنار شیئی بنویسید که آن را مصرف می‌کند؛ این فهرست کوتاه از بررسی اینکه هر بلوک مورد انتظار جایی در پیکربندی وجود دارد مفیدتر است.

شکست‌های معمول مکانیکی هستند. نام پروفایل با یک نویسه از نامی که crypto map به آن ارجاع می‌دهد تفاوت دارد. crypto map وجود دارد اما هرگز روی رابط اعمال نشده است. فرمان tunnel protection به پروفایل IPsecی اشاره می‌کند که به پروفایل IKEv2 دیگری ارجاع می‌دهد. یک responder بدون اتصال صریح موردی مستند است، اما یک initiator بدون اتصال به‌سادگی برای آن مسیر پیکربندی نشده است.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

قطعه را به‌عنوان یک زنجیره بخوانید نه به‌عنوان یک الگو. رابط پروفایل IPsec را نام می‌برد، پروفایل IPsec پروفایل IKEv2 را نام می‌برد، و پروفایل IKEv2 حلقه کلید را نام می‌برد. هر یک از این نام‌ها را بشکنید و پیکربندی باز هم تجزیه می‌شود، به همین دلیل روتر آن را می‌پذیرد و تونل پایین می‌ماند.

crypto map و tunnel protection جایگزین یکدیگرند

Cisco دو ترتیب اتصال را مستند کرده است. crypto map را می‌توان روی یک رابط اعمال کرد و می‌تواند از طریق فرمان set خود به پروفایل IKEv2 ارجاع دهد. tunnel protection یک پروفایل IPsec را به یک رابط تونل متصل می‌کند. هر دو معتبرند، و قرار نیست به‌عنوان اقدام احتیاطی دوگانه با هم نصب شوند.

مبدأ و مقصد تونل ترتیب تحویل بیرونی را مشخص می‌کنند و از اتصال حفاظت جدا هستند. یک رابط LAN، رابط تونل و رابط مبدأ بیرونی سه نقش متفاوت دارند. crypto map روی رابط LAN از تونل محافظت نمی‌کند، و تونلی با حفاظت فعال اما بدون آدرس مبدأ قابل دسترس هرگز بسته‌ای به همتای خود نمی‌فرستد.

وضعیت بارگذاری‌شده را بررسی کنید، نه فقط متن را. نسخه نصب‌شده فرمان‌هایی دارد که اشیاء پیکربندی‌شده را به جلسه مذاکره‌شده متصل می‌کنند، و همان‌ها را باید در یک تیکت نقل کنید. پیکربندی ذخیره‌شده قصد را اثبات می‌کند؛ جدول جلسه مسیر را اثبات می‌کند.

استثنای responder قاعده‌ای برای initiatorها نیست

راهنمای IOS XE اشاره می‌کند که اتصال صریح پروفایل IKEv2 می‌تواند روی responder اختیاری باشد. این استثنا نه بررسی‌های احراز هویت و نه بررسی‌های هویت را حذف نمی‌کند، و پروفایل را در سمت آغازکننده اتصال اختیاری نمی‌کند.

اگر روتر شما آغازگر است، اتصال را الزامی بدانید و آن را سرتاسر دنبال کنید. اگر روتر شما فقط پاسخ می‌دهد، تأیید کنید کدام پروفایل واقعاً با همتای ورودی مطابقت داشت، زیرا responder می‌تواند پروفایل را بر اساس هویت و نه بر اساس ارجاع رابط انتخاب کند.

مسیر را بررسی کنید، نه پیکربندی ذخیره‌شده را

پس از هم‌ترازی اتصال‌ها، یک برنامه مجاز را آزمایش کنید و مبدأ، مقصد و مسیر درونی آن را ثبت کنید. درخواستی که روتر آغاز می‌کند می‌تواند از آدرس مبدأ متفاوتی نسبت به ترافیکی که از LAN ارسال می‌شود استفاده کند، و دامنه حفاظت ممکن است فقط یکی از آن دو را بپوشاند.

یک تعریف به‌درستی متصل‌شده اثبات نمی‌کند که انتخابگرها، مسیر بازگشت و سیاست رابط جریان شما را پوشش می‌دهند. ترافیک واقعی بفرستید و وضعیت مذاکره‌شده را بخوانید، سپس پس از اتصال دوباره تکرار کنید تا بدانید زنجیره از یک مذاکره تازه جان سالم به در می‌برد. توضیح را به IOS XE IKEv2 محدود نگه دارید؛ یک پیاده‌سازی تاریخی crypto map با IKEv1 مدل شیء دیگری دارد و نباید با این زنجیره اشکال‌زدایی شود.

وقتی تونل کار کرد، آن چهار نام را در سابقه تغییر بنویسید. نفر بعدی که به crypto map دست می‌زند به آن‌ها نیاز خواهد داشت، و زنجیره همان بخشی از طراحی است که پیکربندی در حال اجرا توضیح نمی‌دهد.