איזה VRF מגיע לעמית ה-VPN ואיזה נושא את החבילה?
מנהרה יכולה להשתמש בהקשר ניתוב אחד כדי להגיע לעמית שלה ובאחר כדי להעביר את החבילה המוגנת. בדקו את שתי החיפושים בנפרד לפני הוספת מסלולים.
כל מנהרה בתוך הקשר ניתוב של לקוח עדיין חייבת להגיע לעמית המרוחק שלה, והחיפוש הזה יכול להתרחש בטבלה אחרת לגמרי. טעות כאן מייצרת את אחד הכשלים המבלבלים ביותר ב-IPsec מודע ל-VRF: המנהרה עולה, המסלולים נראים קיימים, והתעבורה מתה מפני שאחד משני החיפושים השתמש בהקשר הלא נכון. בצעו את ארבעת השלבים שלהלן לפי הסדר, ורשמו את שני היעדים בנפרד.
שני חיפושים, מנהרה אחת
החבילה החיצונית המכוסה ממוענת לכתובת התעבורה של העמית, והיא מנותבת לפני שקיימת הגנה כלשהי. החבילה הפנימית ממוענת לשרת של הלקוח ומנותבת לאחר הפחתת הכיסוי, בתוך ההקשר של הלקוח. אלה שני יעדים, שני חיפושים ולעיתים קרובות שתי טבלאות שונות.
התיעוד של Cisco ל-IPsec מודע ל-VRF מכנה אותם VRF של הדלת הקדמית ו-VRF פנימי. הדלת הקדמית נושאת את התעבורה המוצפנת, וההקשר הפנימי נושא את התעבורה המוגנת. שום דבר בכך שמנהרה נקראת על שם לקוח לא גורם לאחד משני המסלולים להופיע.
לכן רשמו ארבע עובדות לפני שינוי תצורה: כתובת התעבורה של העמית וההקשר שמגיע אליה, ואז קידומת השרת וההקשר שמגיע אליה. אם אינכם יכולים למלא את כל הארבע, אתם עומדים לנחש. ניחוש בתחום הזה יקר, מפני שמסלול שנוסף לטבלה הלא נכונה יכול לגרום לזרימה אחת לעבוד ובשקט לשבור אחרת. איסוף ארבע העובדות אורך עשר דקות וחוסך יום של ניתוח לכידה.
אשרו את חיפוש התעבורה של העמית
התחילו בדלת הקדמית, מפני שמנהרה שאינה יכולה להגיע לעמית שלה לעולם לא תעביר אפילו חבילה מוגנת אחת. ב-IOS בקשו את המסלול לעמית בתוך VRF התעבורה ולא בטבלה הגלובלית.
show ip route vrf wan-blue 203.0.113.20 show ip vrf brief show crypto ikev2 sa
הפקודה הראשונה עונה אם כתובת העמית נגישה בהקשר הזה, השנייה מפרטת את ה-VRF שקיימים בפועל, והשלישית מראה אם נוצרה אסוציאציית אבטחה. כתובת עמית שנפתרת רק בטבלה הגלובלית היא טעות הדלת הקדמית הקלאסית, והיא מופיעה כמשא ומתן IKE שלעולם אינו מתחיל.
בדקו גם את הקצאת הממשק. ההתנהגות המתועדת דורשת ש-VRF הדלת הקדמית של המנהרה וה-VRF של ממשק ה-WAN יתאימו; אי-התאמה יכולה לתת לחבילה לצאת ובכל זאת למנוע מהתגובה להיות מעובדת בהקשר הנכון.
אשרו את החיפוש הפנימי של השרת
לאחר שהדלת הקדמית הוכחה, עברו להקשר של הלקוח ושאלו את אותה שאלה על קידומת השרת. החיפוש הזה קובע אם אפשר להעביר חבילה שהופחת הכיסוי שלה הלאה.
show ip route vrf customer-blue 10.60.4.0 show crypto session detail
הפקודה הראשונה מציגה את המסלול הפנימי, והשנייה מציגה את מצב הסשן יחד עם ההקשרים שהפלטפורמה שייכה לו. אם המסלול קיים אך פרטי הסשן מציינים את ההקשר הפנימי הלא נכון, המנהרה מעבירה לטבלה שאינה מכירה את קידומת הלקוח.
מסלול בטבלה הגלובלית אינו הוכחה לאף אחד משני החיפושים. מסלולים גלובליים משמשים כאשר חבילה אינה משויכת ל-VRF, וממשק מנהרה שהוקצה להקשר של לקוח משנה את השיוך הזה. אם המסלול הפנימי חסר, החבילה מופחתת מכיסוי ואז נזרקת בגלל היעדר רשומת העברה, מה שנראה כמו אובדן חבילות ולא כמו טעות ניתוב.
מקמו את ההגדרה היכן שהמודל מצפה לה
אותו תיעוד מבחין בין מודלי תצורה, והגדרה ששייכת לאחד אינה בהכרח שייכת לאחר. עבור ממשקי מנהרה שמשתמשים בהגנת מנהרה, ה-VRF הפנימי מוגדר על ממשק המנהרה. בעיצובים המבוססים על crypto map, ה-VRF הפנימי הוא חלק מרשומת ה-crypto map. העברת פקודה בשם דומה בין מודלים בלי לבדוק את תפקידה היא הדרך שבה עיצוב עובד הופך לתקופתי.
ניתוב וזהות הם עניינים נפרדים. נגישות לעולם אינה מחליפה פרופיל עמית שהמכשיר יקבל, ושינוי שם של VRF לא ישנה את האישורים המוצעים. בדקו את שניהם אחרי כל שינוי, מפני שמנהרה שמנהלת משא ומתן עם הפרופיל הלא נכון יכולה עדיין ליצור אסוציאציה ולא להעביר דבר.
לבסוף, תעדו את ארבע העובדות ואת הפקודות שהוכיחו אותן ביומן השינויים. המהנדס הבא יירש את המנהרה ולא את ההיגיון, והערה קצרה שמציינת את שני ההקשרים שווה יותר מתרשים שאיש אינו מעדכן.