IKEv2-profyl definiearre mar net keppele: folgje de keatling

It IKEv2-profyl stiet yn de bewarre konfiguraasje, de kaairing is der ek, en de tunnel komt dochs net omheech. Op Cisco IOS XE is in profyl in objekt dat identiteitsôfstimming en autentikaasjekeuzes draacht, en in objekt docht neat oant in oar objekt dernei ferwiist en in ynterface dat objekt oan in paad keppele. De measte mislearre ûntbughingssesjes fan faze 1 slaan ien fan dy ferwizings oer. Lês de keatling fan de kaairing nei bûten foardat jo in foarstel of belied feroarje.

Wat in profylobjekt eins is

It IKEv2-profyl hâldt de ôfstimming fan de fiere identiteit, de lokale en fiere autentikaasjemetoaden en in ferwizing nei in kaairing foar ûntwerpen mei foarôf dielde kaai. It beskriuwt hoe in peer werkend wurdt en hoe dy himsels bewissiget, en it neamt gjin ynterface.

De kaairing is in apart objekt dat de foarôf dielde kaaien hâldt. De crypto map of it IPsec-profyl is in tredde objekt dat nei it IKEv2-profyl ferwiist en de beskermingsynstellingen leveret. De oansluting op de ynterface is de fjirde stap, wêrby in crypto map tapast wurdt of tunnel protection ynskeakele wurdt. Elke sprong is in aparte ferwizing, en in ûntbrekkende sprong lit elk objekt op himsels korrekt lykje.

Folgje de ferwizingskeatling yn oarder

Begjin by de kaairing dy't it profyl neamt, befêstigje dan de profylnamme dêr't de crypto map of it IPsec-profyl nei ferwiist, en sykje dan de ynterface op dy't dat lêste objekt brûkt. Skriuw elke namme njonken it objekt dat him brûkt; dy koarte list is nuttiger as kontrolearje dat elk ferwachte blok earne yn de konfiguraasje stiet.

De gewoane brekken binne meganysk. In profylnamme ferskilt ien teken fan dy dêr't de crypto map nei ferwiist. De crypto map bestiet mar waard nea op de ynterface tapast. It tunnel protection-kommando wiist nei in IPsec-profyl dat nei in oar IKEv2-profyl ferwiist. In responder sûnder eksplisite oansluting is in dokumintearre gefal, mar in initiator sûnder oansluting is gewoan net konfigurearre foar it paad.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Lês it fragmint as in keatling en net as in sjabloan. De ynterface neamt it IPsec-profyl, it IPsec-profyl neamt it IKEv2-profyl, en it IKEv2-profyl neamt de kaairing. Brek ien fan dy nammen en de konfiguraasje wurdt dochs noch parse, dêrom akseptearret de router it en bliuwt de tunnel del.

Crypto map en tunnel protection binne alternativen

Cisco dokumintearret twa oanslutingsopfettings. In crypto map kin op in ynterface tapast wurde en kin fia syn set-kommando nei it IKEv2-profyl ferwize. Tunnel protection keppelt in IPsec-profyl oan in tunnel-ynterface. Beide binne jildich, en se binne net bedoeld om tegearre as dûbele befeiliging ynstallearre te wurden.

De boarne en bestimming fan de tunnel bepale de bûtenste leveringsopfetting, en se binne los fan de beskermingsoansluting. In LAN-ynterface, de tunnel-ynterface en de bûtenste boarne-ynterface spylje trije ferskillende rollen. In crypto map op de LAN-ynterface beskermet de tunnel net, en in tunnel mei beskerming oan mar sûnder berikbere boarneadres stjoert nea in pakket nei syn peer.

Besjoch de laden tastân, net allinnich de tekst. De ynstallearre ferzje hat kommando's dy't de konfigurearre objekten oan de ûnderhannele sesje ferbine, en dy moatte jo yn in ticket sitearje. In bewarre konfiguraasje bewissiget de bedoeling; in sesjetabel bewissiget it paad.

De responder-útsûndering is gjin regel foar initiators

De IOS XE-gids merkt op dat in eksplisite oansluting fan it IKEv2-profyl op in responder opsjoneel wêze kin. Dy útsûndering hellet autentikaasje of identiteitskontrôles net fuort, en makket it profyl net opsjoneel oan de kant dy't de ferbining begjint.

As jo router begjint, behannelje de oansluting as ferplicht en folgje him fan ein oant ein. As jo router allinnich antwurdet, befêstigje hokker profyl eins by de ynkommende peer paste, want in responder kin in profyl op identiteit selektearje yn stee fan op in ynterfaceferwizing.

Kontrolearje it paad, net de bewarre konfiguraasje

As de oanslutings oerienkomme, test dan ien tastiene applikaasje en registrearje de binnenste boarne, bestimming en rûte. In oanfraach fan de router sels kin in oar boarneadres brûke as ferkear dat fan it LAN trochstjoerd wurdt, en it beskermingsberik kin mar ien fan beide dekke.

In korrekt oansletten definysje bewissiget net dat de selektors, de weromrûte en it ynterfacebelied jo stream dekke. Stjoer echt ferkear en lês de ûnderhannele tastân, werhelje dat nei in werferbining sadat jo witte dat de keatling in nije ûnderhanneling oerlibbet. Hâld de útlis beheind ta IOS XE IKEv2; in histoaryske IKEv1 crypto map-ynset hat in oar objekttmodel en moat net mei dizze keatling ûntbuge wurde.

Skriuw de fjouwer nammen yn it feroaringsregister as de tunnel wurket. De folgjende persoan dy't de crypto map oanrekket hat se nedich, en de keatling is it diel fan it ûntwerp dat de rinnende konfiguraasje net ferklearret.