Próifíl IKEv2 sainithe ach gan cheangal: lean an tslabhra

Tá an phróifíl IKEv2 sa chumraíocht shábháilte, tá an fháinne eochrach ann freisin, agus ní thagann an tollán aníos fós. Ar Cisco IOS XE is réad í próifíl a iompraíonn roghanna meaitseála aitheantais agus fíordheimhnithe, agus ní dhéanann réad aon rud go dtí go ndéanann réad eile tagairt dó agus go gceanglaíonn comhéadan an réad sin le conair. Fágann formhór na seisiún dífhabhtaithe teipthe de chéim 1 ceann de na tagairtí sin ar lár. Léigh an tslabhra ón bhfáinne eochrach amach sula n-athraíonn tú aon togra nó polasaí.

Cad is réad próifíle ann i ndáiríre

Coinníonn an phróifíl IKEv2 meaitseáil an aitheantais chianda, na modhanna fíordheimhnithe áitiúla agus cianda, agus tagairt d’fháinne eochrach le haghaidh dearaí le heochair réamhroinnte. Déanann sí cur síos ar conas a aithnítear piara agus conas a chruthaíonn sé é féin, agus ní ainmníonn sí aon chomhéadan.

Is réad ar leithligh í an fháinne eochrach a choinníonn na heochracha réamhroinnte. Is tríú réad é an crypto map nó an phróifíl IPsec a dhéanann tagairt don phróifíl IKEv2 agus a sholáthraíonn na socruithe cosanta. Is é an ceangal leis an gcomhéadan an ceathrú céim, áit a gcuirtear crypto map i bhfeidhm nó a gcumasófar tunnel protection. Is tagairt ar leithligh gach léim, agus fágann léim ar iarraidh gach réad ag breathnú ceart ina aonar.

Lean an tslabhra tagairtí in ord

Tosaigh ag an bhfáinne eochrach a ainmníonn an phróifíl, ansin deimhnigh an t-ainm próifíle a dtagraíonn an crypto map nó an phróifíl IPsec dó, agus ansin aimsigh an comhéadan a ídíonn an réad deireanach sin. Scríobh gach ainm in aice an réid a ídíonn é; tá an liosta ghearr sin níos úsáidí ná a sheiceáil go bhfuil gach bloc a bhfuiltear ag súil leis ann áit éigin sa chumraíocht.

Is meicniúla na bristeacha is gnáth. Tá ainm próifíle difriúil le carachtar amháin ón gceann a dtagraíonn an crypto map dó. Tá an crypto map ann ach níor cuireadh i bhfeidhm ar an gcomhéadan riamh é. Díríonn an t-ordú tunnel protection ar phróifíl IPsec a dhéanann tagairt do phróifíl IKEv2 eile. Is cás doiciméadaithe é responder gan cheangal sainráite, ach níl initiator gan cheangal cumraithe don chonair ar chor ar bith.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Léigh an sliocht mar shlabhra seachas mar theimpléad. Ainmníonn an comhéadan an phróifíl IPsec, ainmníonn an phróifíl IPsec an phróifíl IKEv2, agus ainmníonn an phróifíl IKEv2 an fháinne eochrach. Bris aon cheann de na hainmneacha sin agus déantar an chumraíocht a pharsáil fós, agus sin an fáth a nglacann an ródaire léi agus a bhfanann an tollán síos.

Is roghanna malartacha iad crypto map agus tunnel protection

Déanann Cisco cur síos ar dhá shocrú ceangail. Is féidir crypto map a chur i bhfeidhm ar chomhéadan agus is féidir leis tagairt a dhéanamh don phróifíl IKEv2 trína ordú set. Ceanglaíonn tunnel protection próifíl IPsec le comhéadan tolláin. Tá an dá cheann bailí, agus ní bheartáiltear iad a shuiteáil le chéile mar bheart breise slándála.

Sainaithníonn foinse agus ceann scríbe an tolláin an socrú seachadta seachtrach, agus tá siad scartha ón gceangal cosanta. Tá trí ról éagsúla ag comhéadan LAN, ag comhéadan an tolláin agus ag an gcomhéadan foinse seachtrach. Ní chosnaíonn crypto map ar chomhéadan LAN an tollán, agus ní sheolann tollán a bhfuil cosaint cumasaithe air ach nach bhfuil seoladh foinse inrochtana aige aon phaicéad chuig a phiara.

Scrúdaigh an staid luchtaithe, ní an téacs amháin. Tá orduithe sa scaoileadh suiteáilte a nascann na réada cumraithe leis an seisiún idirbheartaithe, agus sin iad na cinn is ceart a lua i dticéad. Cruthaíonn cumraíocht shábháilte an rún; cruthaíonn tábla seisiún an chonair.

Ní riail do initiators í eisceacht an responder

Tugann treoir IOS XE faoi deara gur féidir le ceangal sainráite próifíle IKEv2 a bheith roghnach ar responder. Ní bhaineann an eisceacht sin fíordheimhniú ná seiceálacha aitheantais, agus ní dhéanann sí an phróifíl a bheith roghnach ar an taobh a thosaíonn an nasc.

Má thosaíonn do ródaire, meas an ceangal mar éigeantach agus lean é ó cheann go ceann. Mura ndéanann do ródaire ach freagairt, deimhnigh cé acu próifíl a mheaitseáil go hiarbhír an piara isteach, mar is féidir le responder próifíl a roghnú de réir aitheantais seachas de réir tagairt comhéadain.

Seiceáil an chonair, ní an chumraíocht shábháilte

Nuair a thagann na ceangail le chéile, tástáil feidhmchlár amháin a cheadaítear agus taifead a fhoinse, a cheann scríbe agus a chonair inmheánacha. Is féidir le hiarratas a thionscnaíonn an ródaire seoladh foinse difriúil a úsáid ón trácht a sheolfar ar aghaidh ón LAN, agus b’fhéidir nach gcumhdóidh an raon cosanta ach ceann acu.

Ní chruthaíonn sainmhíniú atá ceangailte i gceart go gcumhdaíonn na roghnóirí, an chonair fillte agus polasaí an chomhéadain do shreabhadh. Seol fíortrácht agus léigh an staid idirbheartaithe, ansin déan arís tar éis athnascadh ionas go mbeidh a fhios agat go maireann an tslabhra idirbheartú nua. Coinnigh an míniú teoranta do IOS XE IKEv2; tá múnla réad difriúil ag imscaradh stairiúil crypto map IKEv1 agus níor cheart é a dhífhabhtú leis an tslabhra seo.

Scríobh na ceithre ainm sa taifead athraithe nuair a oibríonn an tollán. Beidh siad ag teastáil ón gcéad duine eile a dhéanfaidh teagmháil leis an crypto map, agus is é an tslabhra an chuid den dearadh nach mínionn an chumraíocht atá ag rith.