कौन सा VRF VPN पीयर तक पहुँचता है और कौन सा पैकेट ले जाता है?

किसी ग्राहक के राउटिंग संदर्भ के भीतर की हर टनल को अब भी अपने दूरस्थ पीयर तक पहुँचना होता है, और वह लुकअप पूरी तरह किसी दूसरी तालिका में हो सकता है। इसे गलत करने पर VRF-सजग IPsec में सबसे भ्रमित करने वाली विफलताओं में से एक होती है: टनल ऊपर आ जाती है, रूट मौजूद दिखते हैं, और ट्रैफ़िक मर जाता है क्योंकि दोनों लुकअप में से एक ने गलत संदर्भ इस्तेमाल किया। नीचे दिए चार चरण क्रम से करें और दोनों गंतव्य अलग-अलग लिखकर रखें।

दो लुकअप, एक टनल

बाहरी एनकैप्सुलेटेड पैकेट पीयर के ट्रांसपोर्ट पते को संबोधित होता है, और कोई भी सुरक्षा होने से पहले उसे रूट किया जाता है। भीतरी पैकेट ग्राहक के सर्वर को संबोधित होता है और डीकैप्सुलेशन के बाद, ग्राहक के संदर्भ के भीतर रूट किया जाता है। ये दो गंतव्य, दो लुकअप और अकसर दो अलग तालिकाएँ हैं।

VRF-सजग IPsec के लिए Cisco का दस्तावेज़ इन्हें सामने के दरवाज़े का VRF और भीतरी VRF कहता है। सामने का दरवाज़ा एन्क्रिप्टेड ट्रांसपोर्ट ले जाता है, और भीतरी संदर्भ सुरक्षित ट्रैफ़िक ले जाता है। टनल का नाम किसी ग्राहक पर रखने से दोनों में से कोई रूट प्रकट नहीं होता।

इसलिए कॉन्फ़िगरेशन बदलने से पहले चार तथ्य सूचीबद्ध करें: पीयर का ट्रांसपोर्ट पता और उस तक पहुँचने वाला संदर्भ, फिर सर्वर का प्रीफ़िक्स और उस तक पहुँचने वाला संदर्भ। यदि आप चारों नहीं भर सकते तो आप अनुमान लगाने वाले हैं। इस क्षेत्र में अनुमान महँगा है, क्योंकि गलत तालिका में जोड़ा गया रूट एक फ़्लो को काम करा सकता है और दूसरे को चुपचाप तोड़ सकता है। चार तथ्य जुटाने में दस मिनट लगते हैं और कैप्चर विश्लेषण का एक दिन बचता है।

पीयर के लिए ट्रांसपोर्ट लुकअप की पुष्टि करें

सामने के दरवाज़े से शुरू करें, क्योंकि जो टनल अपने पीयर तक नहीं पहुँच सकती वह कभी एक भी सुरक्षित पैकेट पार नहीं कराएगी। IOS पर वैश्विक तालिका के बजाय ट्रांसपोर्ट VRF के भीतर पीयर तक का रूट माँगें।

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

पहला आदेश बताता है कि उस संदर्भ में पीयर का पता पहुँच योग्य है या नहीं, दूसरा उन VRF की सूची देता है जो वास्तव में मौजूद हैं, और तीसरा दिखाता है कि सुरक्षा संबंध बना या नहीं। जो पीयर पता केवल वैश्विक तालिका में हल होता है वही पुरानी सामने-के-दरवाज़े की गलती है, और वह ऐसी IKE बातचीत के रूप में दिखती है जो कभी शुरू नहीं होती।

इंटरफ़ेस का आवंटन भी जाँचें। प्रलेखित व्यवहार माँगता है कि टनल का सामने-के-दरवाज़े का VRF और WAN इंटरफ़ेस का VRF मेल खाएँ; बेमेल होने पर पैकेट बाहर जा सकता है और फिर भी प्रतिक्रिया सही संदर्भ में संसाधित होने से रुक सकती है।

सर्वर के लिए भीतरी लुकअप की पुष्टि करें

सामने का दरवाज़ा सिद्ध होने पर ग्राहक के संदर्भ में जाएँ और सर्वर के प्रीफ़िक्स के बारे में वही प्रश्न पूछें। यह लुकअप तय करता है कि डीकैप्सुलेटेड पैकेट आगे भेजा जा सकता है या नहीं।

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

पहला आदेश भीतरी रूट दिखाता है, और दूसरा सत्र की स्थिति के साथ वे संदर्भ दिखाता है जो प्लेटफ़ॉर्म ने उससे जोड़े। यदि रूट मौजूद है पर सत्र विवरण गलत भीतरी संदर्भ का नाम लेता है, तो टनल ऐसी तालिका में भेज रही है जो ग्राहक का प्रीफ़िक्स नहीं जानती।

वैश्विक तालिका में रूट दोनों में से किसी लुकअप का प्रमाण नहीं है। वैश्विक रूट तब उपयोग होते हैं जब पैकेट किसी VRF से संबद्ध न हो, और ग्राहक संदर्भ को आवंटित टनल इंटरफ़ेस उस संबंध को बदल देता है। यदि भीतरी रूट नहीं है, तो पैकेट डीकैप्सुलेट होकर फ़ॉरवर्डिंग प्रविष्टि के अभाव में गिरा दिया जाता है, जो राउटिंग गलती के बजाय पैकेट हानि जैसा दिखता है।

सेटिंग वहाँ रखें जहाँ मॉडल उसकी अपेक्षा करता है

यही दस्तावेज़ कॉन्फ़िगरेशन मॉडलों में अंतर करता है, और एक में आने वाली सेटिंग ज़रूरी नहीं कि दूसरे में भी आए। टनल सुरक्षा इस्तेमाल करने वाले टनल इंटरफ़ेस के लिए भीतरी VRF टनल इंटरफ़ेस पर परिभाषित होता है। crypto map आधारित डिज़ाइनों में भीतरी VRF crypto map प्रविष्टि का हिस्सा है। भूमिका जाँचे बिना मिलते-जुलते नाम का आदेश मॉडलों के बीच ले जाना वही तरीका है जिससे काम करता डिज़ाइन रुक-रुक कर चलने वाला बन जाता है।

राउटिंग और पहचान अलग मामले हैं। पहुँच योग्यता कभी उस पीयर प्रोफ़ाइल का विकल्प नहीं है जिसे उपकरण स्वीकार करेगा, और VRF का नाम बदलने से प्रस्तुत क्रेडेंशियल नहीं बदलने चाहिए। किसी भी बदलाव के बाद दोनों जाँचें, क्योंकि गलत प्रोफ़ाइल से बातचीत करने वाली टनल भी संबंध बना सकती है और कुछ भी नहीं भेज सकती।

अंत में, चार तथ्य और वे आदेश जिन्होंने उन्हें सिद्ध किया, परिवर्तन रिकॉर्ड में लिखें। अगला अभियंता टनल विरासत में पाएगा, तर्क नहीं, और दोनों संदर्भों के नाम बताने वाला छोटा नोट उस आरेख से अधिक मूल्यवान है जिसे कोई अद्यतन नहीं करता।