Module VPN absent sur un routeur ? Vérifiez quatre couches de capacité

Les messages de démarrage signalent un module VPN manquant, et la liste d’achat commence par une nouvelle carte. C’est l’une de quatre questions de capacité, et ce n’est pas toujours celle qui a échoué. Un châssis peut avoir un chiffrement intégré, une fonction sous licence peut être inactive, et une variante du produit peut être vendue sans aucun chiffrement de la charge utile. Parcourez les couches dans l’ordre avant que quiconque approuve un achat.

Couche 1 : l’inventaire du matériel

Lisez l’inventaire avant de relire l’erreur. L’inventaire nomme le châssis, les modules installés et leurs numéros de pièce, ce dont vous avez besoin pour comparer avec les emplacements et les pièces pris en charge par la plateforme. Un module absent et un module présent mais défaillant produisent des messages différents et des corrections différentes.

show inventory
show module

Notez les numéros de pièce et vérifiez-les dans la documentation du modèle exact. Un module de service optionnel qui n’a jamais été commandé est une configuration normale, pas un défaut, et le message de démarrage ne fait peut-être que signaler son absence. Un module listé mais non reconnu est un problème de matériel ou de positionnement, ce qui est un autre ticket. Ne commandez pas de remplacement avant de pouvoir dire lequel des deux cas vous avez.

Arrêtez-vous si l’inventaire montre un module pris en charge que le logiciel refuse d’utiliser. C’est une question de compatibilité, et du nouveau matériel n’y répondra pas.

Couche 2 : les autres chemins de chiffrement de la plateforme

De nombreux routeurs assurent le chiffrement sans le module optionnel, soit dans du matériel dédié sur la carte mère, soit dans le logiciel du processeur. Demandez à la plateforme quel moteur elle utilise plutôt que de le déduire de la liste des modules. La réponse nomme le moteur et indique s’il est matériel ou logiciel, ce qui est le fait que le message de démarrage ne vous a pas donné.

show crypto engine configuration
show crypto engine brief

Un moteur logiciel peut encore terminer un VPN ; il dispose simplement de moins de cycles pour d’autres tâches. Cette distinction compte pour le dimensionnement, pas pour l’existence de la fonction. Si la sortie du moteur montre un moteur actif, le module manquant n’est pas la raison de l’échec d’un tunnel, et l’enquête doit passer à la configuration et aux licences. Lisez la sortie pour l’état du moteur et les algorithmes attribués, pas seulement pour un nom.

Gardez la conclusion sur la capacité séparée de la conclusion sur les performances. Le moteur vous dit ce qui peut tourner ; seule une charge de travail vous dit ce qui tourne bien.

Couche 3 : l’image logicielle et l’activation des fonctions

Une fonction peut être présente dans l’image et inactive sans licence ni clé d’activation. Vérifiez ce pour quoi l’appareil croit être licencié, puis comparez cela avec la fonction que la configuration tente d’utiliser. L’écart entre ces deux listes est la conclusion réelle.

show license
show version | include license

Sur les plateformes plus anciennes, la même information se trouve derrière une autre commande, alors utilisez celle que documente votre version au lieu de copier une commande d’un guide plus récent. Une licence pour le chiffrement de gestion n’est pas une licence pour le chiffrement de la charge utile VPN, et les traiter comme interchangeables mène à un achat qui ne résout pas le problème. Notez le nom de la fonction exactement tel que l’appareil l’imprime. C’est cette chaîne que l’équipe de licences du fournisseur demandera.

Arrêtez-vous si la fonction requise est absente de la liste des licences. C’est une conversation sur les droits, pas un changement de configuration.

Couche 4 : la variante du produit, où le chiffrement de gestion n’est pas celui de la charge utile

Certains appareils sont livrés dans une variante qui désactive délibérément le chiffrement de la charge utile VPN tout en laissant l’accès de gestion chiffré, et la documentation de licences de Cisco décrit cette restriction pour la famille ASA 9.8. Sur ces unités, une page d’administration HTTPS et une session SSH fonctionnent toutes deux, et c’est exactement pourquoi les gens concluent que le chiffrement est correct. La restriction réside dans la variante du produit, pas dans la liste des modules ni sur la page de licences. Vérifiez le SKU et la chaîne de plateforme dans la sortie de version par rapport à la description de cette variante par le fournisseur.

show version
show running-config | include crypto

Si l’unité est une variante sans chiffrement de la charge utile, ni un téléchargement de firmware ni une licence de gestion n’enlèvent la restriction. La correction prise en charge est une autre unité ou un changement approuvé par le fournisseur, et cette décision appartient au propriétaire de l’achat. Préservez la configuration en cours et un chemin de gestion avant toute maintenance approuvée.

Le runbook se termine lorsque vous pouvez nommer laquelle des quatre couches a échoué, quelle preuve l’a identifiée et quel changement le fournisseur prend en charge pour cette combinaison exacte. La capacité n’est pas le débit, et une page de gestion qui fonctionne n’est pas un VPN qui fonctionne.