Perfil IKEv2 definido pero non asociado: seguir a cadea

O perfil IKEv2 está na configuración gardada, o chaveiro tamén está alí, e o túnel segue sen levantarse. En Cisco IOS XE un perfil é un obxecto que leva opcións de coincidencia de identidade e autenticación, e un obxecto non fai nada ata que outro obxecto o referencia e unha interface o asocia a unha ruta. A maioría das sesións de depuración falladas da fase 1 omiten unha desas referencias. Lea a cadea desde o chaveiro cara a fóra antes de cambiar calquera proposta ou política.

Que é realmente un obxecto de perfil

O perfil IKEv2 contén a coincidencia de identidade remota, os métodos de autenticación local e remota e unha referencia a un chaveiro para deseños con clave precompartida. Describe como se recoñece un par e como se proba a si mesmo, e non nomea ningunha interface.

O chaveiro é un obxecto aparte que contén as claves precompartidas. O mapa criptográfico ou o perfil IPsec é un terceiro obxecto que referencia o perfil IKEv2 e fornece os axustes de protección. A asociación á interface é o cuarto paso, onde se aplica un mapa criptográfico ou se activa a protección de túnel. Cada salto é unha referencia distinta, e un salto ausente deixa cada obxecto con aspecto correcto de forma illada.

Seguir a cadea de referencias en orde

Comece polo chaveiro que nomea o perfil, logo confirme o nome de perfil ao que fai referencia o mapa criptográfico ou o perfil IPsec, e despois busque a interface que consome ese último obxecto. Escriba cada nome xunto ao obxecto que o consome; esa lista curta é máis útil que comprobar que cada bloque esperado existe nalgún lugar da configuración.

As roturas habituais son mecánicas. Un nome de perfil difire nun carácter do que referencia o mapa criptográfico. O mapa criptográfico existe pero nunca se aplicou á interface. O comando de protección de túnel apunta a un perfil IPsec que referencia un perfil IKEv2 distinto. Un respondedor sen asociación explícita é un caso documentado, pero un iniciador sen asociación simplemente non está configurado para a ruta.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Lea o fragmento como unha cadea e non como un modelo. A interface nomea o perfil IPsec, o perfil IPsec nomea o perfil IKEv2, e o perfil IKEv2 nomea o chaveiro. Rompa calquera deses nomes e a configuración segue analizándose, que é por iso que o router a acepta e o túnel permanece caído.

O mapa criptográfico e a protección de túnel son alternativas

Cisco documenta dúas disposicións de asociación. Un mapa criptográfico pode aplicarse a unha interface e pode referenciar o perfil IKEv2 mediante o seu comando set. A protección de túnel asocia un perfil IPsec a unha interface de túnel. Ambas son válidas e non están pensadas para instalarse xuntas como medida de dobre seguridade.

A orixe e o destino do túnel identifican a disposición exterior de entrega e son independentes da asociación de protección. Unha interface LAN, a interface de túnel e a interface de orixe exterior desempeñan tres papeis distintos. Un mapa criptográfico na interface LAN non protexe o túnel, e un túnel con protección activada pero sen enderezo de orixe alcanzable nunca envía un paquete ao seu par.

Inspeccione o estado cargado, non só o texto. A versión instalada ten comandos que conectan os obxectos configurados coa sesión negociada, e eses son os que hai que citar nun ticket. Unha configuración gardada demostra a intención; unha táboa de sesións demostra a ruta.

A excepción do respondedor non é unha regra para os iniciadores

A guía de IOS XE sinala que unha asociación explícita de perfil IKEv2 pode ser opcional nun respondedor. Esa excepción non elimina as comprobacións de autenticación nin de identidade, e non fai opcional o perfil no lado que inicia a conexión.

Se o seu router inicia, trate a asociación como obrigatoria e siga a cadea de extremo a extremo. Se o seu router só responde, confirme que perfil coincidiu realmente co par entrante, porque un respondedor pode seleccionar un perfil por identidade en lugar de por referencia de interface.

Comprobe a ruta, non a configuración gardada

Cando as asociacións encaixen, probe unha aplicación permitida e rexistre a súa orixe, destino e ruta internos. Unha solicitude orixinada polo router pode usar un enderezo de orixe distinto do tráfico reenviado desde a LAN, e o alcance de protección pode cubrir só unha delas.

Unha definición ben asociada non demostra que os selectores, a ruta de retorno e a política de interface cubran o seu fluxo. Envíe tráfico real e lea o estado negociado, logo repita tras unha reconexión para saber que a cadea sobrevive a unha negociación nova. Manteña a explicación limitada a IOS XE IKEv2; un despregamento histórico de mapa criptográfico IKEv1 ten outro modelo de obxectos e non debe depurarse con esta cadea.

Escriba os catro nomes no rexistro de cambios cando o túnel funcione. A seguinte persoa que toque o mapa criptográfico necesitaraos, e a cadea é a parte do deseño que a configuración en execución non explica.