કયું VRF VPN પીઅર સુધી પહોંચે છે અને કયું પેકેટ વહન કરે છે?

ગ્રાહકના રાઉટિંગ સંદર્ભની અંદરની દરેક ટનલે હજી પણ તેના દૂરના પીઅર સુધી પહોંચવું પડે છે, અને એ શોધ સંપૂર્ણપણે અલગ ટેબલમાં થઈ શકે છે. આ ખોટું કરવાથી VRF-જાણકાર IPsecમાં સૌથી મૂંઝવણભરી નિષ્ફળતાઓમાંની એક થાય છે: ટનલ ઉપર આવે છે, રૂટ હાજર દેખાય છે, અને ટ્રાફિક મરી જાય છે કારણ કે બેમાંથી એક શોધે ખોટો સંદર્ભ વાપર્યો. નીચેના ચાર પગલાં ક્રમમાં કરો અને બે ગંતવ્યો અલગથી લખી રાખો.

બે શોધ, એક ટનલ

બહારનું એન્કેપ્સ્યુલેટેડ પેકેટ પીઅરના ટ્રાન્સપોર્ટ સરનામાંને સંબોધાય છે, અને કોઈપણ સુરક્ષા હોવા પહેલાં તે રાઉટ થાય છે. અંદરનું પેકેટ ગ્રાહક સર્વરને સંબોધાય છે અને ડિકેપ્સ્યુલેશન પછી, ગ્રાહકના સંદર્ભની અંદર રાઉટ થાય છે. આ બે ગંતવ્યો, બે શોધ અને ઘણી વાર બે અલગ ટેબલ છે.

VRF-જાણકાર IPsec માટે Ciscoનું દસ્તાવેજીકરણ તેમને આગળના દરવાજાનું VRF અને અંદરનું VRF કહે છે. આગળનો દરવાજો એન્ક્રિપ્ટેડ ટ્રાન્સપોર્ટ વહન કરે છે, અને અંદરનો સંદર્ભ સુરક્ષિત ટ્રાફિક વહન કરે છે. ગ્રાહકના નામ પર ટનલનું નામ રાખવાથી બંનેમાંથી કોઈ રૂટ દેખાતો નથી.

તેથી કન્ફિગરેશન બદલતા પહેલાં ચાર હકીકતોની યાદી બનાવો: પીઅરનું ટ્રાન્સપોર્ટ સરનામું અને તે સુધી પહોંચતો સંદર્ભ, પછી સર્વરનું પ્રીફિક્સ અને તે સુધી પહોંચતો સંદર્ભ. જો તમે ચારેય ભરી ન શકો, તો તમે અનુમાન કરવા જઈ રહ્યા છો. આ ક્ષેત્રમાં અનુમાન મોંઘું છે, કારણ કે ખોટા ટેબલમાં ઉમેરાયેલો રૂટ એક ફ્લો કામ કરાવી શકે છે અને બીજાને શાંતિથી તોડી શકે છે. ચાર હકીકતો એકઠી કરવામાં દસ મિનિટ લાગે છે અને એક દિવસનું કેપ્ચર વિશ્લેષણ બચાવે છે.

પીઅર માટે ટ્રાન્સપોર્ટ શોધની પુષ્ટિ કરો

આગળના દરવાજાથી શરૂ કરો, કારણ કે જે ટનલ તેના પીઅર સુધી પહોંચી શકતી નથી તે ક્યારેય એક પણ સુરક્ષિત પેકેટ પસાર થવા દેશે નહીં. IOS પર ગ્લોબલ ટેબલને બદલે ટ્રાન્સપોર્ટ VRFની અંદર પીઅર તરફનો રૂટ માંગો.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

પ્રથમ આદેશ જવાબ આપે છે કે તે સંદર્ભમાં પીઅરનું સરનામું પહોંચી શકાય તેવું છે કે નહીં, બીજો ખરેખર અસ્તિત્વમાં રહેલા VRFની યાદી આપે છે, અને ત્રીજો બતાવે છે કે સુરક્ષા સંગઠન બન્યું છે કે નહીં. જે પીઅર સરનામું ફક્ત ગ્લોબલ ટેબલમાં ઉકેલાય છે તે જાણીતી આગળના-દરવાજાની ભૂલ છે, અને તે ક્યારેય શરૂ ન થતી IKE વાટાઘાટ તરીકે દેખાય છે.

ઇન્ટરફેસની ફાળવણી પણ ચકાસો. દસ્તાવેજી વર્તન માગે છે કે ટનલનું આગળના-દરવાજાનું VRF અને WAN ઇન્ટરફેસનું VRF મળે; અસંગતિ પેકેટને બહાર જવા દઈ શકે છે અને છતાં જવાબ સાચા સંદર્ભમાં પ્રક્રિયા થવાથી રોકી શકે છે.

સર્વર માટે અંદરની શોધની પુષ્ટિ કરો

આગળનો દરવાજો સાબિત થયા પછી ગ્રાહકના સંદર્ભમાં જાઓ અને સર્વરના પ્રીફિક્સ વિશે એ જ પ્રશ્ન પૂછો. આ શોધ નક્કી કરે છે કે ડિકેપ્સ્યુલેટેડ પેકેટ આગળ મોકલી શકાય છે કે નહીં.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

પ્રથમ આદેશ અંદરનો રૂટ બતાવે છે, અને બીજો સત્રની સ્થિતિ સાથે પ્લેટફોર્મે તેની સાથે સાંકળેલા સંદર્ભો બતાવે છે. જો રૂટ અસ્તિત્વમાં છે પણ સત્રની વિગતો ખોટા અંદરના સંદર્ભનું નામ આપે છે, તો ટનલ એવા ટેબલમાં મોકલી રહી છે જે ગ્રાહકનું પ્રીફિક્સ જાણતું નથી.

ગ્લોબલ ટેબલમાંનો રૂટ બંનેમાંથી કોઈપણ શોધ માટે પુરાવો નથી. જ્યારે પેકેટ કોઈ VRF સાથે સંકળાયેલું ન હોય ત્યારે ગ્લોબલ રૂટ વપરાય છે, અને ગ્રાહક સંદર્ભને ફાળવેલો ટનલ ઇન્ટરફેસ એ સંબંધ બદલે છે. જો અંદરનો રૂટ ખૂટે, તો પેકેટ ડિકેપ્સ્યુલેટ થાય અને પછી ફોરવર્ડિંગ એન્ટ્રીના અભાવે ફેંકી દેવાય, જે રાઉટિંગ ભૂલને બદલે પેકેટ નુકસાન જેવું લાગે છે.

સેટિંગને ત્યાં મૂકો જ્યાં મોડેલ તેની અપેક્ષા રાખે છે

એ જ દસ્તાવેજીકરણ કન્ફિગરેશન મોડેલોને અલગ પાડે છે, અને એકમાં આવતું સેટિંગ બીજામાં આવે તે જરૂરી નથી. ટનલ સુરક્ષા વાપરતા ટનલ ઇન્ટરફેસ માટે અંદરનું VRF ટનલ ઇન્ટરફેસ પર વ્યાખ્યાયિત થાય છે. crypto map આધારિત ડિઝાઇનમાં અંદરનું VRF crypto map એન્ટ્રીનો ભાગ છે. ભૂમિકા ચકાસ્યા વિના સમાન નામનો આદેશ મોડેલો વચ્ચે ખસેડવો એ જ રીતે કામ કરતી ડિઝાઇન અનિયમિત બને છે.

રાઉટિંગ અને ઓળખ અલગ બાબતો છે. પહોંચવાની ક્ષમતા ક્યારેય એ પીઅર પ્રોફાઇલનો વિકલ્પ નથી જે ઉપકરણ સ્વીકારશે, અને VRFનું નામ બદલવાથી આપવામાં આવતા ઓળખપત્રો બદલાવવા જોઈએ નહીં. કોઈપણ ફેરફાર પછી બંને ચકાસો, કારણ કે ખોટા પ્રોફાઇલ સાથે વાટાઘાટ કરતી ટનલ પણ સંગઠન બનાવી શકે છે અને કંઈ મોકલતી નથી.

છેલ્લે, ચાર હકીકતો અને જે આદેશોએ તેમને સાબિત કર્યા તે ફેરફાર રેકોર્ડમાં લખો. આગલા ઇજનેરને ટનલ વારસામાં મળશે, તર્ક નહીં, અને બંને સંદર્ભોનાં નામ આપતી ટૂંકી નોંધ કોઈ હાલની ન રાખે તેવા ડાયાગ્રામ કરતાં વધુ કિંમતી છે.