IKEv2-profil definiálva, de nem csatolva: kövesse a láncot

Az IKEv2-profil ott van a mentett konfigurációban, a kulcskarika is megvan, az alagút mégsem jön fel. A Cisco IOS XE-n a profil olyan objektum, amely identitás-egyeztetési és hitelesítési választásokat hordoz, és egy objektum addig nem tesz semmit, amíg egy másik objektum nem hivatkozik rá, és egy interfész hozzá nem csatolja egy útvonalhoz. A legtöbb sikertelen 1-es fázisú hibakeresési munkamenet kihagyja e hivatkozások egyikét. Olvassa a láncot a kulcskarika felől kifelé, mielőtt bármely javaslatot vagy házirendet módosít.

Mi is valójában egy profilobjektum

Az IKEv2-profil tartalmazza a távoli identitás egyeztetését, a helyi és távoli hitelesítési módszereket, valamint egy kulcskarikára mutató hivatkozást az előre megosztott kulcsos kialakításokhoz. Leírja, hogyan ismerhető fel egy peer, és hogyan bizonyítja magát, és nem nevez meg interfészt.

A kulcskarika külön objektum, amely az előre megosztott kulcsokat tartalmazza. A crypto map vagy az IPsec-profil a harmadik objektum, amely hivatkozik az IKEv2-profilra, és szolgáltatja a védelmi beállításokat. Az interfész-csatolás a negyedik lépés, ahol crypto map kerül alkalmazásra vagy engedélyezésre kerül a tunnel protection. Minden ugrás külön hivatkozás, és egy hiányzó ugrás minden objektumot külön-külön helyesnek láttat.

Kövesse a hivatkozási láncot sorrendben

Kezdje a kulcskarikánál, amelyet a profil megnevez, majd erősítse meg a profilnevet, amelyre a crypto map vagy az IPsec-profil hivatkozik, majd keresse meg az interfészt, amely ezt az utolsó objektumot használja. Írja minden nevet annak az objektumnak a mellé, amely használja; ez a rövid lista hasznosabb, mint ellenőrizni, hogy minden várt blokk megtalálható-e valahol a konfigurációban.

A szokásos törések mechanikusak. Egy profilnév egy karakterben eltér attól, amelyre a crypto map hivatkozik. A crypto map létezik, de soha nem alkalmazták az interfészre. A tunnel protection parancs olyan IPsec-profilra mutat, amely másik IKEv2-profilra hivatkozik. A responder kifejezett csatolás nélkül dokumentált eset, de az initiator csatolás nélkül egyszerűen nincs konfigurálva az útvonalhoz.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

A részletet láncként olvassa, ne sablonként. Az interfész megnevezi az IPsec-profilt, az IPsec-profil megnevezi az IKEv2-profilt, és az IKEv2-profil megnevezi a kulcskarikát. Törje meg bármelyik nevet, és a konfiguráció mégis elemződik, ezért fogadja el az útválasztó, és marad lent az alagút.

A crypto map és a tunnel protection alternatívák

A Cisco két csatolási elrendezést dokumentál. A crypto map alkalmazható interfészre, és a set parancsával hivatkozhat az IKEv2-profilra. A tunnel protection IPsec-profilt csatol egy alagút-interfészhez. Mindkettő érvényes, és nem úgy készültek, hogy együtt telepítsék őket kétszeres biztosításként.

Az alagút forrása és célja a külső szállítási elrendezést azonosítja, és ezek elkülönülnek a védelmi csatolástól. A LAN-interfész, az alagút-interfész és a külső forrásinterfész három különböző szerepet tölt be. A LAN-interfészen lévő crypto map nem védi az alagutat, és az az alagút, amelyen a védelem engedélyezett, de nincs elérhető forráscíme, soha nem küld csomagot a peerének.

Vizsgálja a betöltött állapotot, ne csak a szöveget. A telepített kiadásban vannak parancsok, amelyek a konfigurált objektumokat a tárgyalt munkamenethez kapcsolják, és ezeket kell idézni egy ticketben. A mentett konfiguráció szándékot bizonyít; a munkamenet-tábla az útvonalat bizonyítja.

A responder kivétele nem szabály az initiatoroknak

Az IOS XE útmutató megjegyzi, hogy a kifejezett IKEv2-profil csatolás opcionális lehet egy responderen. Ez a kivétel nem távolítja el a hitelesítést vagy az identitásellenőrzéseket, és nem teszi opcionálissá a profilt azon az oldalon, amely elindítja a kapcsolatot.

Ha az útválasztója kezdeményez, tekintse a csatolást kötelezőnek, és kövesse végig. Ha az útválasztója csak válaszol, erősítse meg, melyik profil illeszkedett valóban a bejövő peerhez, mert a responder identitás alapján is választhat profilt, nem csak interfész-hivatkozás alapján.

Az útvonalat ellenőrizze, ne a mentett konfigurációt

Amikor a csatolások összeállnak, teszteljen egy engedélyezett alkalmazást, és jegyezze fel annak belső forrását, célját és útvonalát. Az útválasztó által indított kérés más forráscímet használhat, mint a LAN-ról továbbított forgalom, és a védelmi hatókör csak az egyiket fedheti.

A helyesen csatolt definíció nem bizonyítja, hogy a szelektorok, a visszatérő útvonal és az interfész-házirend lefedik a forgalmát. Küldjön valódi forgalmat, és olvassa a tárgyalt állapotot, majd ismételje meg újracsatlakozás után, hogy tudja, a lánc túlél egy új tárgyalást. Tartsa a magyarázatot az IOS XE IKEv2 keretein belül; egy történelmi IKEv1 crypto map telepítésnek más az objektummodellje, és nem ezzel a lánccal kellene hibakeresni.

Írja be a négy nevet a változásnyilvántartásba, amikor az alagút működik. A következő embernek, aki a crypto maphoz nyúl, szüksége lesz rájuk, és a lánc a tervezés azon része, amelyet a futó konfiguráció nem magyaráz meg.