Kumpi VRF tavoittaa VPN-verkkokumppanin ja kumpi kuljettaa paketin?

Jokaisen asiakkaan reitityskontekstin sisällä olevan tunnelin on silti tavoitettava etäkumppaninsa, ja tämä haku voi tapahtua täysin eri taulussa. Tämän tekeminen väärin tuottaa yhden VRF-tietoisen IPsecin hämmentävimmistä vioista: tunneli nousee, reitit näyttävät olevan olemassa ja liikenne kuolee, koska toinen kahdesta hausta käytti väärää kontekstia. Suorita alla olevat neljä vaihetta järjestyksessä ja pidä kaksi kohdetta erikseen kirjattuna.

Kaksi hakua, yksi tunneli

Ulompi kapseloitu paketti on osoitettu kumppanin kuljetusosoitteeseen, ja se reititetään ennen kuin mitään suojausta on olemassa. Sisempi paketti on osoitettu asiakkaan palvelimelle ja reititetään kapseloinnin purkamisen jälkeen asiakkaan kontekstissa. Nämä ovat kaksi kohdetta, kaksi hakua ja usein kaksi eri taulua.

Ciscon dokumentaatio VRF-tietoiselle IPsecille kutsuu niitä etuoven VRF:ksi ja sisäiseksi VRF:ksi. Etuovi kuljettaa salatun siirron ja sisäinen konteksti kuljettaa suojatun liikenteen. Mikään tunnelin nimeäminen asiakkaan mukaan ei saa kumpaakaan reittiä ilmestymään.

Luettele siis neljä tosiasiaa ennen kokoonpanon muuttamista: kumppanin kuljetusosoite ja konteksti, joka tavoittaa sen, sitten palvelimen etuliite ja konteksti, joka tavoittaa sen. Jos et pysty täyttämään kaikkia neljää, olet juuri arvaamassa. Arvaaminen tällä alueella on kallista, koska väärään tauluun lisätty reitti voi saada yhden virtauksen toimimaan ja rikkoa toisen hiljaa. Neljän tosiasian kerääminen vie kymmenen minuuttia ja säästää päivän kaappauksen analysointia.

Vahvista kumppanin kuljetushaku

Aloita etuovesta, koska tunneli, joka ei tavoita kumppaniaan, ei koskaan päästä läpi yhtäkään suojattua pakettia. IOSissa kysy reitti kumppanille kuljetus-VRF:n sisällä eikä yleistaulusta.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Ensimmäinen komento vastaa, onko kumppanin osoite tavoitettavissa siinä kontekstissa, toinen luettelee VRF:t, jotka todella ovat olemassa, ja kolmas näyttää, muodostuiko turva-assosiaatio. Kumppanin osoite, joka ratkeaa vain yleistaulussa, on klassinen etuoven virhe, ja se näyttäytyy IKE-neuvotteluna, joka ei koskaan ala.

Tarkista myös liitännän määritys. Dokumentoitu toiminta edellyttää, että tunnelin etuoven VRF ja WAN-liitännän VRF ovat yhtä mieltä; ero voi päästää paketin ulos ja silti estää vastauksen käsittelyn oikeassa kontekstissa.

Vahvista palvelimen sisähaku

Kun etuovi on todistettu, siirry asiakkaan kontekstiin ja esitä sama kysymys palvelimen etuliitteestä. Tämä haku ratkaisee, voidaanko kapseloinnin purkanut paketti välittää eteenpäin.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Ensimmäinen komento näyttää sisäreitin ja toinen istunnon tilan yhdessä niiden kontekstien kanssa, jotka alusta liitti siihen. Jos reitti on olemassa mutta istunnon tiedot nimeävät väärän sisäisen kontekstin, tunneli välittää tauluun, joka ei tunne asiakkaan etuliitettä.

Reitti yleistaulussa ei ole todiste kummastakaan hausta. Yleisreittejä käytetään, kun paketti ei liity VRF:ään, ja asiakkaan kontekstiin määritetty tunneliliitäntä muuttaa tätä liitosta. Jos sisäreitti puuttuu, paketti puretaan kapseloinnista ja pudotetaan sitten välitysmerkinnän puuttumisen vuoksi, mikä näyttää pakettihäviöltä eikä reititysvirheeltä.

Sijoita asetus sinne, missä malli sitä odottaa

Sama dokumentaatio erottaa kokoonpanomallit, eikä yhteen kuuluva asetus välttämättä kuulu toiseen. Tunnelin suojausta käyttävien tunneliliitäntöjen sisäinen VRF määritellään tunneliliitännässä. Crypto map -pohjaisissa ratkaisuissa sisäinen VRF on osa crypto map -merkintää. Samannimisen komennon siirtäminen mallien välillä tarkistamatta sen roolia on tapa, jolla toimiva ratkaisu muuttuu ajoittaiseksi.

Reititys ja identiteetti ovat erillisiä asioita. Tavoitettavuus ei koskaan korvaa kumppaniprofiilia, jonka laite hyväksyy, eikä VRF:n uudelleennimeäminen saa muuttaa tarjottavia tunnistetietoja. Tarkista molemmat jokaisen muutoksen jälkeen, koska väärällä profiililla neuvotteleva tunneli voi silti muodostaa assosiaation eikä välitä mitään.

Tallenna lopuksi neljä tosiasiaa ja ne komennot, jotka ne todistivat, muutoslokiin. Seuraava insinööri perii tunnelin eikä päättelyä, ja lyhyt muistiinpano, joka nimeää molemmat kontekstit, on arvokkaampi kuin kaavio, jota kukaan ei päivitä.