Koji VRF doseže VPN partnera, a koji nosi paket?

Svaki tunel unutar konteksta usmjeravanja korisnika ipak mora dosegnuti svoj udaljeni partner, a to pretraživanje može se dogoditi u sasvim drugoj tabeli. Pogreška ovdje proizvodi jedan od najzbunjujućih kvarova u IPsec-u svjesnom VRF-a: tunel se podigne, rute izgledaju prisutno, a promet umre jer je jedno od dva pretraživanja koristilo pogrešan kontekst. Izvedite četiri koraka u nastavku po redu i zapišite dva odredišta odvojeno.

Dva pretraživanja, jedan tunel

Vanjski enkapsulirani paket adresiran je na transportnu adresu partnera i usmjerava se prije nego što ikakva zaštita postoji. Unutrašnji paket adresiran je na korisnički server i usmjerava se nakon dekapsulacije, unutar korisničkog konteksta. To su dva odredišta, dva pretraživanja i često dvije različite tabele.

Cisco dokumentacija za IPsec svjestan VRF-a naziva ih VRF prednjih vrata i unutrašnji VRF. Prednja vrata nose šifrirani transport, a unutrašnji kontekst nosi zaštićeni promet. Ništa u tome što tunel nazovete po korisniku ne čini da se ijedna ruta pojavi.

Zato navedite četiri činjenice prije promjene konfiguracije: transportnu adresu partnera i kontekst koji je doseže, zatim prefiks servera i kontekst koji ga doseže. Ako ne možete popuniti sve četiri, spremate se nagađati. Nagađanje je na ovom području skupo, jer ruta dodana u pogrešnu tabelu može pustiti jedan tok da radi dok tiho kvari drugi. Četiri činjenice traju deset minuta prikupljanja i štede dan analize snimke.

Potvrdite transportno pretraživanje za partnera

Počnite s prednjim vratima, jer tunel koji ne može dosegnuti partnera nikada neće propustiti ni jedan zaštićeni paket. Na IOS-u tražite rutu do partnera unutar transportnog VRF-a, a ne u globalnoj tabeli.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Prva naredba odgovara je li adresa partnera dostupna u tom kontekstu, druga navodi VRF-ove koji zaista postoje, a treća pokazuje je li se formirala sigurnosna asocijacija. Adresa partnera koja se razrješava samo u globalnoj tabeli klasična je pogreška prednjih vrata i pojavljuje se kao IKE pregovaranje koje nikada ne počne.

Provjerite i dodjelu interfejsa. Dokumentovano ponašanje zahtijeva da se VRF prednjih vrata tunela i VRF WAN interfejsa slažu; nesklad može pustiti paket da izađe, a ipak spriječiti da se odgovor obradi u ispravnom kontekstu.

Potvrdite unutrašnje pretraživanje za server

Kada su prednja vrata dokazana, prijeđite na korisnički kontekst i postavite isto pitanje o prefiksu servera. Ovo pretraživanje odlučuje može li se dekapsulirani paket dalje proslijediti.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Prva naredba prikazuje unutrašnju rutu, a druga prikazuje stanje sesije zajedno s kontekstima koje je platforma povezala s njom. Ako ruta postoji, ali detalji sesije navode pogrešan unutrašnji kontekst, tunel prosljeđuje u tabelu koja ne poznaje prefiks korisnika.

Ruta u globalnoj tabeli nije dokaz ni za jedno od dva pretraživanja. Globalne rute koriste se kada paket nije povezan s VRF-om, a interfejs tunela dodijeljen korisničkom kontekstu mijenja tu vezu. Ako unutrašnja ruta nedostaje, paket se dekapsulira i zatim odbacuje zbog nedostatka unosa za prosljeđivanje, što izgleda kao gubitak paketa, a ne kao greška usmjeravanja.

Postavite podešavanje tamo gdje ga model očekuje

Ista dokumentacija razlikuje konfiguracijske modele, a podešavanje koje pripada jednom ne pripada nužno drugom. Za interfejse tunela koji koriste zaštitu tunela, unutrašnji VRF definira se na interfejsu tunela. Za dizajne zasnovane na crypto map, unutrašnji VRF dio je unosa crypto map. Premještanje slično nazvane naredbe između modela bez provjere njene uloge način je na koji radni dizajn postaje nestalan.

Usmjeravanje i identitet odvojena su pitanja. Dostupnost nikada ne zamjenjuje profil partnera koji će uređaj prihvatiti, a preimenovanje VRF-a ne smije mijenjati ponuđene akreditive. Provjerite oboje nakon svake promjene, jer tunel koji pregovara s pogrešnim profilom ipak može formirati asocijaciju i ne proslijediti ništa.

Na kraju zapišite četiri činjenice i naredbe koje su ih dokazale u zapis promjena. Sljedeći inženjer naslijedit će tunel, a ne obrazloženje, a kratka bilješka koja imenuje oba konteksta vrijedi više od dijagrama koji nitko ne ažurira.