IKEv2-profiili määritetty mutta liittämättä: seuraa ketjua

IKEv2-profiili on tallennetussa kokoonpanossa, avainrengas on myös paikallaan, eikä tunneli silti nouse. Cisco IOS XE:ssä profiili on objekti, joka kantaa identiteetin sovitusta ja todennusvalintoja, eikä objekti tee mitään ennen kuin toinen objekti viittaa siihen ja liitäntä kytkee sen polkuun. Useimmat epäonnistuneet vaiheen 1 virheenjäljitysistunnot ohittavat yhden näistä viittauksista. Lue ketju avainrenkaasta ulospäin ennen kuin muutat mitään ehdotusta tai käytäntöä.

Mikä profiiliobjekti oikeasti on

IKEv2-profiili pitää sisällään etäidentiteetin sovituksen, paikalliset ja etä-todennusmenetelmät sekä viittauksen avainrenkaaseen esijaetuilla avaimilla toteutettuja ratkaisuja varten. Se kuvaa, miten vertaiskone tunnistetaan ja miten se todistaa itsensä, eikä se nimeä yhtään liitäntää.

Avainrengas on erillinen objekti, joka pitää esijaetut avaimet. Crypto map tai IPsec-profiili on kolmas objekti, joka viittaa IKEv2-profiiliin ja toimittaa suojausasetukset. Liitännän kytkentä on neljäs vaihe, jossa crypto map otetaan käyttöön tai tunnel protection otetaan käyttöön. Jokainen hyppy on erillinen viittaus, ja puuttuva hyppy jättää jokaisen objektin näyttämään erikseen oikealta.

Seuraa viiteketjua järjestyksessä

Aloita avainrenkaasta, jonka profiili nimeää, vahvista sitten profiilin nimi, johon crypto map tai IPsec-profiili viittaa, ja etsi sitten liitäntä, joka kuluttaa tuon viimeisen objektin. Kirjoita jokainen nimi sen objektin viereen, joka sitä kuluttaa; tuo lyhyt luettelo on hyödyllisempi kuin sen tarkistaminen, että jokainen odotettu lohko on jossain kokoonpanossa.

Tavalliset katkokset ovat mekaanisia. Profiilin nimi eroaa yhdellä merkillä siitä, johon crypto map viittaa. Crypto map on olemassa, mutta sitä ei koskaan otettu käyttöön liitännässä. Tunnel protection -komento osoittaa IPsec-profiiliin, joka viittaa toiseen IKEv2-profiiliin. Responder ilman nimenomaista kytkentää on dokumentoitu tapaus, mutta initiator ilman kytkentää ei yksinkertaisesti ole määritetty polulle.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Lue katkelma ketjuna, älä mallina. Liitäntä nimeää IPsec-profiilin, IPsec-profiili nimeää IKEv2-profiilin ja IKEv2-profiili nimeää avainrenkaan. Katkaise mikä tahansa noista nimistä, ja kokoonpano jäsennetään silti, minkä vuoksi reititin hyväksyy sen ja tunneli pysyy alhaalla.

Crypto map ja tunnel protection ovat vaihtoehtoja

Cisco dokumentoi kaksi kytkentätapaa. Crypto map voidaan ottaa käyttöön liitännässä ja se voi viitata IKEv2-profiiliin set-komennollaan. Tunnel protection kytkee IPsec-profiilin tunneliliitäntään. Molemmat ovat kelvollisia, eikä niitä ole tarkoitettu asennettaviksi yhdessä lisävarmistuksena.

Tunnelin lähde ja kohde määrittävät ulomman toimitusjärjestelyn, ja ne ovat erillään suojauskytkennästä. LAN-liitäntä, tunneliliitäntä ja ulompi lähdeliitäntä pelaavat kolmea eri roolia. LAN-liitännän crypto map ei suojaa tunnelia, eikä tunneli, jossa suojaus on käytössä mutta jolla ei ole tavoitettavaa lähdeosoitetta, lähetä koskaan pakettia vertaiselleen.

Tarkastele ladattua tilaa, älä vain tekstiä. Asennettu versio sisältää komentoja, jotka yhdistävät määritetyt objektit neuvoteltuun istuntoon, ja ne kannattaa lainata tikettiin. Tallennettu kokoonpano todistaa aikomuksen; istuntotaulukko todistaa polun.

Responderin poikkeus ei ole sääntö initiatoreille

IOS XE -opas huomauttaa, että nimenomainen IKEv2-profiilin kytkentä voi olla valinnainen responderissa. Poikkeus ei poista todennusta tai identiteettitarkistuksia, eikä se tee profiilista valinnaista sillä puolella, joka aloittaa yhteyden.

Jos reitittimesi aloittaa, pidä kytkentää pakollisena ja seuraa sitä päästä päähän. Jos reitittimesi vain vastaa, vahvista mikä profiili todella vastasi saapuvaa vertaista, koska responder voi valita profiilin identiteetin eikä liitäntäviittauksen perusteella.

Tarkista polku, ei tallennettua kokoonpanoa

Kun kytkennät ovat linjassa, testaa yhtä sallittua sovellusta ja kirjaa sen sisäinen lähde, kohde ja reitti. Reitittimen aloittama pyyntö voi käyttää eri lähdeosoitetta kuin LANista välitetty liikenne, ja suojausalue voi kattaa vain toisen niistä.

Oikein kytketty määritelmä ei todista, että valitsimet, paluureitti ja liitännän käytäntö kattavat liikenteesi. Lähetä todellista liikennettä ja lue neuvoteltu tila, toista sitten uudelleenyhdistämisen jälkeen, jotta tiedät ketjun kestävän uuden neuvottelun. Pidä selitys IOS XE IKEv2:n piirissä; historiallinen IKEv1 crypto map -käyttöönotto on eri objektimallilla eikä sitä pitäisi selvittää tällä ketjulla.

Kirjoita ne neljä nimeä muutosrekisteriin, kun tunneli toimii. Seuraava crypto mapiin koskeva henkilö tarvitsee ne, ja ketju on se osa suunnittelua, jota käynnissä oleva kokoonpano ei selitä.