IKEv2 प्रोफ़ाइल परिभाषित है पर जुड़ी नहीं: शृंखला का पता लगाएँ

IKEv2 प्रोफ़ाइल सहेजे गए कॉन्फ़िगरेशन में है, की-रिंग भी वहीं है, और टनल फिर भी ऊपर नहीं आती। Cisco IOS XE पर प्रोफ़ाइल एक ऑब्जेक्ट है जो पहचान मिलान और प्रमाणीकरण के विकल्प रखती है, और कोई ऑब्जेक्ट तब तक कुछ नहीं करता जब तक कोई दूसरा ऑब्जेक्ट उसका संदर्भ न दे और कोई इंटरफ़ेस उस ऑब्जेक्ट को किसी मार्ग से न जोड़े। ज़्यादातर असफल फ़ेज़ 1 डीबग सत्र इनमें से एक संदर्भ छोड़ देते हैं। कोई भी प्रस्ताव या नीति बदलने से पहले की-रिंग से बाहर की ओर शृंखला पढ़ें।

प्रोफ़ाइल ऑब्जेक्ट वास्तव में क्या है

IKEv2 प्रोफ़ाइल दूरस्थ पहचान का मिलान, स्थानीय और दूरस्थ प्रमाणीकरण विधियाँ, और पूर्व-साझा कुंजी वाले डिज़ाइन के लिए की-रिंग का संदर्भ रखती है। यह बताती है कि पीयर को कैसे पहचाना जाता है और वह स्वयं को कैसे सिद्ध करता है, और यह किसी इंटरफ़ेस का नाम नहीं लेती।

की-रिंग एक अलग ऑब्जेक्ट है जो पूर्व-साझा कुंजियाँ रखती है। crypto map या IPsec प्रोफ़ाइल तीसरा ऑब्जेक्ट है जो IKEv2 प्रोफ़ाइल का संदर्भ देता है और सुरक्षा सेटिंग्स प्रदान करता है। इंटरफ़ेस कनेक्शन चौथा चरण है, जहाँ crypto map लागू होता है या tunnel protection सक्षम होता है। हर कदम एक अलग संदर्भ है, और छूटा हुआ कदम हर ऑब्जेक्ट को अलग-अलग सही दिखने देता है।

संदर्भ शृंखला को क्रम में देखें

उस की-रिंग से शुरू करें जिसका नाम प्रोफ़ाइल लेती है, फिर उस प्रोफ़ाइल नाम की पुष्टि करें जिसका संदर्भ crypto map या IPsec प्रोफ़ाइल देता है, और फिर वह इंटरफ़ेस खोजें जो उस अंतिम ऑब्जेक्ट का उपयोग करता है। हर नाम को उस ऑब्जेक्ट के पास लिखें जो उसका उपयोग करता है; यह छोटी सूची यह जाँचने से ज़्यादा उपयोगी है कि हर अपेक्षित खंड कॉन्फ़िगरेशन में कहीं मौजूद है।

सामान्य टूटन यांत्रिक होती हैं। प्रोफ़ाइल नाम उस नाम से एक अक्षर अलग है जिसका संदर्भ crypto map देता है। crypto map मौजूद है पर उसे कभी इंटरफ़ेस पर लागू नहीं किया गया। tunnel protection कमांड ऐसी IPsec प्रोफ़ाइल की ओर इशारा करता है जो किसी दूसरी IKEv2 प्रोफ़ाइल का संदर्भ देती है। स्पष्ट कनेक्शन के बिना responder एक प्रलेखित मामला है, पर कनेक्शन के बिना initiator बस उस मार्ग के लिए कॉन्फ़िगर ही नहीं है।

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

स्निपेट को टेम्पलेट नहीं, शृंखला की तरह पढ़ें। इंटरफ़ेस IPsec प्रोफ़ाइल का नाम लेता है, IPsec प्रोफ़ाइल IKEv2 प्रोफ़ाइल का नाम लेती है, और IKEv2 प्रोफ़ाइल की-रिंग का नाम लेती है। इनमें से कोई भी नाम तोड़ें और कॉन्फ़िगरेशन फिर भी पार्स होता है, इसीलिए राउटर उसे स्वीकार करता है और टनल नीचे रहती है।

crypto map और tunnel protection विकल्प हैं

Cisco दो कनेक्शन व्यवस्थाओं का दस्तावेज़ीकरण करता है। crypto map को इंटरफ़ेस पर लागू किया जा सकता है और वह अपने set कमांड के ज़रिए IKEv2 प्रोफ़ाइल का संदर्भ दे सकता है। tunnel protection एक IPsec प्रोफ़ाइल को टनल इंटरफ़ेस से जोड़ता है। दोनों मान्य हैं, और इन्हें अतिरिक्त सुरक्षा के रूप में साथ इंस्टॉल करने के लिए नहीं बनाया गया है।

टनल का स्रोत और गंतव्य बाहरी डिलीवरी व्यवस्था की पहचान करते हैं, और वे सुरक्षा कनेक्शन से अलग हैं। LAN इंटरफ़ेस, टनल इंटरफ़ेस और बाहरी स्रोत इंटरफ़ेस तीन अलग भूमिकाएँ निभाते हैं। LAN इंटरफ़ेस पर crypto map टनल की सुरक्षा नहीं करता, और जिस टनल पर सुरक्षा सक्षम है पर पहुँचने योग्य स्रोत पता नहीं है वह कभी अपने पीयर को पैकेट नहीं भेजती।

लोड हुई स्थिति जाँचें, सिर्फ़ टेक्स्ट नहीं। इंस्टॉल किए गए रिलीज़ में ऐसे कमांड हैं जो कॉन्फ़िगर किए गए ऑब्जेक्ट को वार्ता किए गए सत्र से जोड़ते हैं, और टिकट में वही उद्धृत करने चाहिए। सहेजा गया कॉन्फ़िगरेशन मंशा सिद्ध करता है; सत्र तालिका मार्ग सिद्ध करती है।

responder का अपवाद initiator के लिए नियम नहीं है

IOS XE मार्गदर्शिका नोट करती है कि responder पर स्पष्ट IKEv2 प्रोफ़ाइल कनेक्शन वैकल्पिक हो सकता है। वह अपवाद प्रमाणीकरण या पहचान जाँच को नहीं हटाता, और जिस पक्ष से कनेक्शन शुरू होता है वहाँ प्रोफ़ाइल को वैकल्पिक नहीं बनाता।

अगर आपका राउटर शुरू करता है, तो कनेक्शन को अनिवार्य मानें और शुरू से अंत तक उसका पता लगाएँ। अगर आपका राउटर सिर्फ़ उत्तर देता है, तो पुष्टि करें कि आने वाले पीयर से वास्तव में कौन-सी प्रोफ़ाइल मेल खाई, क्योंकि responder इंटरफ़ेस संदर्भ के बजाय पहचान से प्रोफ़ाइल चुन सकता है।

मार्ग जाँचें, सहेजा गया कॉन्फ़िगरेशन नहीं

कनेक्शन मिलने के बाद, एक अनुमत एप्लिकेशन का परीक्षण करें और उसका आंतरिक स्रोत, गंतव्य और मार्ग दर्ज करें। राउटर से शुरू हुआ अनुरोध LAN से आगे भेजे गए ट्रैफ़िक से अलग स्रोत पता उपयोग कर सकता है, और सुरक्षा दायरा उनमें से केवल एक को कवर कर सकता है।

सही ढंग से जुड़ी परिभाषा यह सिद्ध नहीं करती कि सिलेक्टर, वापसी मार्ग और इंटरफ़ेस नीति आपके प्रवाह को कवर करते हैं। वास्तविक ट्रैफ़िक भेजें और वार्ता किए गए स्थिति को पढ़ें, फिर दोबारा कनेक्ट होने के बाद दोहराएँ ताकि आप जानें कि शृंखला नई वार्ता सहती है। व्याख्या को IOS XE IKEv2 तक सीमित रखें; पुरानी IKEv1 crypto map तैनाती का ऑब्जेक्ट मॉडल अलग है और उसे इस शृंखला से डीबग नहीं करना चाहिए।

टनल चलने पर चारों नाम परिवर्तन रिकॉर्ड में लिखें। crypto map को छूने वाले अगले व्यक्ति को इनकी ज़रूरत होगी, और शृंखला डिज़ाइन का वह हिस्सा है जिसे चालू कॉन्फ़िगरेशन नहीं समझाता।