IKEv2 પ્રોફાઇલ વ્યાખ્યાયિત પણ જોડાયેલ નથી: સાંકળને અનુસરો

IKEv2 પ્રોફાઇલ સાચવેલી ગોઠવણીમાં છે, કી રિંગ પણ ત્યાં છે, અને ટનલ હજી પણ ઉપર આવતી નથી. Cisco IOS XE પર પ્રોફાઇલ એ ઑબ્જેક્ટ છે જે ઓળખ મેળ અને પ્રમાણીકરણની પસંદગીઓ ધરાવે છે, અને કોઈ ઑબ્જેક્ટ ત્યાં સુધી કંઈ કરતું નથી જ્યાં સુધી બીજું ઑબ્જેક્ટ તેનો સંદર્ભ ન લે અને કોઈ ઇન્ટરફેસ તે ઑબ્જેક્ટને માર્ગ સાથે ન જોડે. મોટાભાગની નિષ્ફળ ફેઝ 1 ડિબગ સેશન આમાંથી એક સંદર્ભ ચૂકી જાય છે. કોઈ પણ પ્રસ્તાવ કે નીતિ બદલતા પહેલા કી રિંગથી બહાર તરફ સાંકળ વાંચો.

પ્રોફાઇલ ઑબ્જેક્ટ ખરેખર શું છે

IKEv2 પ્રોફાઇલ દૂરની ઓળખનો મેળ, સ્થાનિક અને દૂરના પ્રમાણીકરણની પદ્ધતિઓ અને પૂર્વ-શેર કરેલી કીવાળી રચનાઓ માટે કી રિંગનો સંદર્ભ રાખે છે. તે વર્ણવે છે કે પીઅરને કેવી રીતે ઓળખવામાં આવે છે અને તે પોતાને કેવી રીતે સાબિત કરે છે, અને તે કોઈ ઇન્ટરફેસનું નામ લેતું નથી.

કી રિંગ એ અલગ ઑબ્જેક્ટ છે જે પૂર્વ-શેર કરેલી કી રાખે છે. crypto map અથવા IPsec પ્રોફાઇલ ત્રીજું ઑબ્જેક્ટ છે જે IKEv2 પ્રોફાઇલનો સંદર્ભ લે છે અને સુરક્ષા ગોઠવણીઓ પૂરી પાડે છે. ઇન્ટરફેસ જોડાણ ચોથું પગલું છે, જ્યાં crypto map લાગુ થાય છે અથવા tunnel protection સક્ષમ થાય છે. દરેક કૂદકો એક અલગ સંદર્ભ છે, અને ખૂટતો કૂદકો દરેક ઑબ્જેક્ટને અલગથી સાચું દેખાવા દે છે.

સંદર્ભ સાંકળ ક્રમમાં અનુસરો

પ્રોફાઇલ જે કી રિંગનું નામ લે છે ત્યાંથી શરૂ કરો, પછી crypto map અથવા IPsec પ્રોફાઇલ જે પ્રોફાઇલ નામનો સંદર્ભ લે છે તેની ખાતરી કરો, અને પછી તે છેલ્લું ઑબ્જેક્ટ વાપરતું ઇન્ટરફેસ શોધો. દરેક નામ તેને વાપરતા ઑબ્જેક્ટની બાજુમાં લખો; ગોઠવણીમાં ક્યાંક દરેક અપેક્ષિત વિભાગ છે કે નહીં તે ચકાસવા કરતાં આ ટૂંકી યાદી વધુ ઉપયોગી છે.

સામાન્ય ભંગાણો યાંત્રિક છે. પ્રોફાઇલ નામ crypto map જેનો સંદર્ભ લે છે તેનાથી એક અક્ષરે અલગ છે. crypto map અસ્તિત્વમાં છે પણ ઇન્ટરફેસ પર કદી લાગુ કરાયું નથી. tunnel protection આદેશ બીજા IKEv2 પ્રોફાઇલનો સંદર્ભ લેતા IPsec પ્રોફાઇલ તરફ ઇશારો કરે છે. સ્પષ્ટ જોડાણ વગરનું responder દસ્તાવેજીકૃત કિસ્સો છે, પણ જોડાણ વગરનું initiator માત્ર તે માર્ગ માટે ગોઠવાયેલું જ નથી.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

ટુકડાને નમૂના તરીકે નહીં, સાંકળ તરીકે વાંચો. ઇન્ટરફેસ IPsec પ્રોફાઇલનું નામ લે છે, IPsec પ્રોફાઇલ IKEv2 પ્રોફાઇલનું નામ લે છે, અને IKEv2 પ્રોફાઇલ કી રિંગનું નામ લે છે. આમાંથી કોઈ પણ નામ તોડો તો પણ ગોઠવણી પાર્સ થાય છે, તેથી જ રાઉટર તેને સ્વીકારે છે અને ટનલ નીચે રહે છે.

crypto map અને tunnel protection વિકલ્પો છે

Cisco બે જોડાણ ગોઠવણીઓનું દસ્તાવેજીકરણ કરે છે. crypto map ઇન્ટરફેસ પર લાગુ કરી શકાય છે અને તેની set આદેશ દ્વારા IKEv2 પ્રોફાઇલનો સંદર્ભ લઈ શકે છે. tunnel protection IPsec પ્રોફાઇલને ટનલ ઇન્ટરફેસ સાથે જોડે છે. બંને માન્ય છે, અને તેમને વધારાની સુરક્ષા તરીકે સાથે ઇન્સ્ટોલ કરવાના હેતુથી નથી બનાવાયા.

ટનલનું સ્રોત અને લક્ષ્ય બાહ્ય વિતરણ ગોઠવણી ઓળખે છે, અને તે સુરક્ષા જોડાણથી અલગ છે. LAN ઇન્ટરફેસ, ટનલ ઇન્ટરફેસ અને બાહ્ય સ્રોત ઇન્ટરફેસ ત્રણ અલગ ભૂમિકાઓ ભજવે છે. LAN ઇન્ટરફેસ પરનું crypto map ટનલનું રક્ષણ કરતું નથી, અને સુરક્ષા સક્ષમ પણ પહોંચી શકાય તેવું સ્રોત સરનામું ન હોય તેવી ટનલ કદી તેના પીઅરને પેકેટ મોકલતી નથી.

લોડ થયેલી સ્થિતિની તપાસ કરો, ફક્ત લખાણ નહીં. ઇન્સ્ટોલ કરેલી આવૃત્તિમાં એ આદેશો છે જે ગોઠવેલા ઑબ્જેક્ટને વાટાઘાટ કરેલા સેશન સાથે જોડે છે, અને ટિકિટમાં એ જ ટાંકવા જોઈએ. સાચવેલી ગોઠવણી ઉદ્દેશ સાબિત કરે છે; સેશન કોષ્ટક માર્ગ સાબિત કરે છે.

responder અપવાદ initiator માટે નિયમ નથી

IOS XE માર્ગદર્શિકા નોંધે છે કે સ્પષ્ટ IKEv2 પ્રોફાઇલ જોડાણ responder પર વૈકલ્પિક હોઈ શકે. તે અપવાદ પ્રમાણીકરણ કે ઓળખ ચકાસણી દૂર કરતો નથી, અને જે બાજુ જોડાણ શરૂ કરે છે ત્યાં પ્રોફાઇલને વૈકલ્પિક બનાવતો નથી.

જો તમારું રાઉટર શરૂ કરે છે, તો જોડાણને ફરજિયાત ગણો અને શરૂઆતથી અંત સુધી અનુસરો. જો તમારું રાઉટર ફક્ત જવાબ આપે છે, તો ખાતરી કરો કે આવતા પીઅર સાથે ખરેખર કઈ પ્રોફાઇલ મેળ ખાધું, કારણ કે responder ઇન્ટરફેસ સંદર્ભને બદલે ઓળખ દ્વારા પ્રોફાઇલ પસંદ કરી શકે છે.

માર્ગ તપાસો, સાચવેલી ગોઠવણી નહીં

જોડાણો એકરૂપ થાય પછી, એક માન્ય એપ્લિકેશનનું પરીક્ષણ કરો અને તેનું આંતરિક સ્રોત, લક્ષ્ય અને માર્ગ નોંધો. રાઉટરથી ઉદ્ભવતી વિનંતી LAN થી ફોરવર્ડ થતા ટ્રાફિક કરતાં અલગ સ્રોત સરનામું વાપરી શકે છે, અને સુરક્ષા વ્યાપ તેમાંથી ફક્ત એકને આવરી શકે છે.

યોગ્ય રીતે જોડાયેલી વ્યાખ્યા સાબિત કરતી નથી કે સિલેક્ટર, પરત માર્ગ અને ઇન્ટરફેસ નીતિ તમારા પ્રવાહને આવરી લે છે. વાસ્તવિક ટ્રાફિક મોકલો અને વાટાઘાટ કરેલી સ્થિતિ વાંચો, પછી ફરી કનેક્ટ થયા પછી પુનરાવર્તન કરો જેથી તમે જાણો કે સાંકળ નવી વાટાઘાટ સહન કરે છે. સમજૂતીને IOS XE IKEv2 સુધી મર્યાદિત રાખો; ઐતિહાસિક IKEv1 crypto map જમાવટનું ઑબ્જેક્ટ મોડેલ અલગ છે અને તેને આ સાંકળથી ડિબગ ન કરવું જોઈએ.

ટનલ કામ કરે ત્યારે ચાર નામો ફેરફાર રેકોર્ડમાં લખો. crypto map ને સ્પર્શ કરનાર આગલી વ્યક્તિને તેની જરૂર પડશે, અને સાંકળ એ ડિઝાઇનનો ભાગ છે જે ચાલુ ગોઠવણી સમજાવતી નથી.