Profil IKEv2 défini mais non attaché : suivre la chaîne

Le profil IKEv2 figure dans la configuration enregistrée, le trousseau aussi, et le tunnel ne monte toujours pas. Sur Cisco IOS XE, un profil est un objet qui porte les choix de correspondance d’identité et d’authentification, et un objet ne fait rien tant qu’un autre objet ne le référence pas et qu’une interface ne l’attache pas à un chemin. La plupart des sessions de débogage ratées de la phase 1 oublient l’une de ces références. Lisez la chaîne depuis le trousseau vers l’extérieur avant de modifier une proposition ou une politique.

Ce qu’est réellement un objet profil

Le profil IKEv2 contient la correspondance d’identité distante, les méthodes d’authentification locale et distante, et une référence à un trousseau pour les conceptions à clé prépartagée. Il décrit comment un pair est reconnu et comment il prouve son identité, et il ne nomme aucune interface.

Le trousseau est un objet distinct qui contient les clés prépartagées. La crypto map ou le profil IPsec est un troisième objet qui référence le profil IKEv2 et fournit les paramètres de protection. L’attachement à l’interface est la quatrième étape, où une crypto map est appliquée ou la protection de tunnel activée. Chaque saut est une référence distincte, et un saut manquant laisse chaque objet correct en apparence, isolément.

Suivre la chaîne de références dans l’ordre

Partez du trousseau que le profil nomme, confirmez ensuite le nom de profil que la crypto map ou le profil IPsec référence, puis trouvez l’interface qui consomme ce dernier objet. Écrivez chaque nom à côté de l’objet qui le consomme ; cette courte liste est plus utile que de vérifier que chaque bloc attendu existe quelque part dans la configuration.

Les ruptures habituelles sont mécaniques. Un nom de profil diffère d’un caractère de celui que référence la crypto map. La crypto map existe mais n’a jamais été appliquée à l’interface. La commande tunnel protection pointe vers un profil IPsec qui référence un autre profil IKEv2. Un responder sans attachement explicite est un cas documenté, mais un initiator sans attachement n’est simplement pas configuré pour le chemin.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Lisez l’extrait comme une chaîne et non comme un modèle. L’interface nomme le profil IPsec, le profil IPsec nomme le profil IKEv2, et le profil IKEv2 nomme le trousseau. Cassez l’un de ces noms et la configuration est toujours analysée, c’est pourquoi le routeur l’accepte et que le tunnel reste en bas.

Crypto map et protection de tunnel sont des alternatives

Cisco documente deux dispositions d’attachement. Une crypto map peut être appliquée à une interface et peut référencer le profil IKEv2 via sa commande set. La protection de tunnel attache un profil IPsec à une interface de tunnel. Les deux sont valides, et elles ne sont pas destinées à être installées ensemble comme une mesure de ceinture et bretelles.

La source et la destination du tunnel identifient la disposition de livraison externe, et elles sont distinctes de l’attachement de protection. Une interface LAN, l’interface de tunnel et l’interface source externe jouent trois rôles différents. Une crypto map sur l’interface LAN ne protège pas le tunnel, et un tunnel dont la protection est activée mais dont l’adresse source n’est pas joignable n’envoie jamais de paquet à son pair.

Inspectez l’état chargé, pas seulement le texte. La version installée possède des commandes qui relient les objets configurés à la session négociée, et ce sont celles à citer dans un ticket. Une configuration enregistrée prouve l’intention ; une table de sessions prouve le chemin.

L’exception du responder n’est pas une règle pour les initiators

Le guide IOS XE note qu’un attachement explicite de profil IKEv2 peut être facultatif sur un responder. Cette exception ne supprime ni l’authentification ni les contrôles d’identité, et elle ne rend pas le profil facultatif du côté qui lance la connexion.

Si votre routeur est initiateur, considérez l’attachement comme obligatoire et suivez-le de bout en bout. Si votre routeur ne fait que répondre, confirmez quel profil a réellement correspondu au pair entrant, car un responder peut sélectionner un profil par identité plutôt que par référence d’interface.

Vérifier le chemin, pas la configuration enregistrée

Une fois les attachements alignés, testez une application autorisée et notez sa source, sa destination et sa route internes. Une requête émise par le routeur peut utiliser une adresse source différente de celle du trafic transféré depuis le LAN, et la portée de protection peut n’en couvrir qu’une.

Une définition correctement attachée ne prouve pas que les sélecteurs, la route de retour et la politique d’interface couvrent votre flux. Envoyez du trafic réel et lisez l’état négocié, puis répétez après une reconnexion pour savoir que la chaîne survit à une nouvelle négociation. Gardez l’explication limitée à IOS XE IKEv2 ; un déploiement historique de crypto map IKEv1 a un autre modèle d’objets et ne doit pas être débogué avec cette chaîne.

Écrivez les quatre noms dans le registre des changements quand le tunnel fonctionne. La personne suivante qui touchera à la crypto map en aura besoin, et la chaîne est la partie de la conception que la configuration en cours n’explique pas.