Hokker VRF berikt de VPN-peer en hokker draacht it pakket?

Elke tunnel binnen in routingkontekst fan in klant moat noch altyd syn fiere peer berikke, en dy sykopdracht kin yn in hiel oare tabel barre. Dit ferkeard dwaan jout ien fan de meast betiizjende flaters yn VRF-bewuste IPsec: de tunnel komt omheech, de rûtes lykje oanwêzich, en ferkear stjert omdat ien fan de twa sykopdrachten de ferkearde kontekst brûkte. Fier de fjouwer stappen hjirûnder yn folchoarder út en hâld de twa bestimmingen apart opskreaun.

Twa sykopdrachten, ien tunnel

It bûtenste ynkapsle pakket is rjochte oan it transportadres fan de peer, en it wurdt rûte foardat der hokker beskerming dan ek bestiet. It binnenste pakket is rjochte oan in klanttsjinner en wurdt nei dekapsulaasje rûte, binnen de kontekst fan de klant. Dat binne twa bestimmingen, twa sykopdrachten en faak twa ferskate tabellen.

De dokumintaasje fan Cisco foar VRF-bewuste IPsec neamt se de foardoar-VRF en de binnen-VRF. De foardoar draacht it fersifere transport, en de binnenkontekst draacht it beskerme ferkear. Neat oan it neamen fan in tunnel nei in klant lit ien fan beide rûtes ferskine.

Lis dus fjouwer feiten op foardat jo in konfiguraasje feroarje: it transportadres fan de peer en de kontekst dy't dêr komt, dan it foarheaksel fan de tsjinner en de kontekst dy't dêr komt. As jo net alle fjouwer ynfolje kinne, steane jo op it punt te rieden. Rieden op dit mêd is djoer, want in rûte dy't oan de ferkearde tabel tafoege wurdt, kin ien stream wurkje litte wylst er in oare stil ferbrekt. De fjouwer feiten kostje tsien minuten om te sammeljen en sparje in dei oan analyze fan opnamen.

Befêstigje de transportsykopdracht foar de peer

Begjin by de foardoar, want in tunnel dy't syn peer net berikke kin, sil nea ien beskerme pakket trochlitte. Freegje op IOS om de rûte nei de peer binnen de transport-VRF ynstee fan yn de globale tabel.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

It earste kommando beantwurdet oft it peeradres yn dy kontekst berikber is, it twadde listet de VRF's op dy't echt bestean, en it tredde lit sjen oft der in befeiligingsassosjaasje foarme is. In peeradres dat allinnich yn de globale tabel oplost wurdt, is de klassike foardoarflater, en it docht him foar as in IKE-ûnderhanneling dy't nea begjint.

Kontrolearje ek de tawizing fan de ynterface. It dokumintearre gedrach freget dat de foardoar-VRF fan de tunnel en de VRF fan de WAN-ynterface oerienkomme; in misferstân kin in pakket fuortgean litte en dochs foarkomme dat it antwurd yn de juste kontekst ferwurke wurdt.

Befêstigje de binnensykopdracht foar de tsjinner

As de foardoar bewiisd is, skeakelje oer nei de kontekst fan de klant en stel deselde fraach oer it foarheaksel fan de tsjinner. Dizze sykopdracht beslút oft in dekapsule pakket fierder stjoerd wurde kin.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

It earste kommando toant de binnenrûte, en it twadde toant de steat fan de sesje tegearre mei de konteksten dy't it platfoarm dermei ferbûn hat. As de rûte bestiet mar de sesjedetails neame de ferkearde binnenkontekst, stjoert de tunnel troch nei in tabel dy't it foarheaksel fan de klant net ken.

In rûte yn de globale tabel is gjin bewiis foar ien fan beide sykopdrachten. Globale rûtes wurde brûkt as in pakket net mei in VRF ferbûn is, en in tunnel-ynterface dy't oan in klantkontekst tawiisd is, feroaret dy ferbining. As de binnenrûte mist, wurdt it pakket dekapsule en dan weilitten by gebrek oan in trochstjoeryngsinfier, wat op pakketferlies liket ynstee fan op in rûteflater.

Set de ynstelling dêr't it model him ferwachtet

Deselde dokumintaasje ûnderskiedt konfiguraasjemodellen, en in ynstelling dy't by ien heart, heart net needsaaklik by in oar. Foar tunnel-ynterfaces dy't tunnelbeskerming brûke, wurdt de binnen-VRF op de tunnel-ynterface definiearre. Foar ûntwerpen op basis fan crypto map is de binnen-VRF diel fan de crypto map-ynfier. It ferpleatsen fan in lykneamd kommando tusken modellen sûnder syn rol te kontrolearjen is hoe't in wurkjend ûntwerp in ûnregelmjittich ien wurdt.

Rûte en identiteit binne aparte saken. Berikberens ferfangt nea in peerprofyl dat it apparaat akseptearret, en it omneamen fan in VRF mei de oanbean oanmeldgegevens net feroarje. Kontrolearje beide nei elke feroaring, want in tunnel dy't mei it ferkearde profyl ûnderhannelet, kin noch altyd in assosjaasje foarmje en neat trochstjoere.

Registrearje úteinlik de fjouwer feiten en de kommando's dy't se bewiisden yn it feroaringslogboek. De folgjende yngenieur erft de tunnel en net de redenearring, en in koarte notysje dy't beide konteksten neamt is mear wurdich as in diagram dat nimmen bywurket.