Melyik VRF éri el a VPN-partnert, és melyik szállítja a csomagot?

Minden alagútnak az ügyfél útválasztási kontextusán belül továbbra is el kell érnie a távoli partnerét, és ez a keresés teljesen más táblában történhet. Ha ezt elrontja, a VRF-tudatos IPsec egyik legzavaróbb hibája jelenik meg: az alagút feljön, az útvonalak létezőnek tűnnek, és a forgalom meghal, mert a két keresés egyike rossz kontextust használt. Hajtsa végre az alábbi négy lépést sorrendben, és jegyezze fel a két célállomást külön.

Két keresés, egy alagút

A külső, beburkolt csomag a partner átviteli címére van címezve, és még bármilyen védelem léte előtt útválasztásra kerül. A belső csomag az ügyfél egyik kiszolgálójára van címezve, és a kicsomagolás után, az ügyfél kontextusán belül kerül útválasztásra. Ez két célállomás, két keresés és gyakran két különböző tábla.

A Cisco VRF-tudatos IPsecről szóló dokumentációja előtéri VRF-nek és belső VRF-nek nevezi őket. Az előtér szállítja a titkosított átvitelt, a belső kontextus pedig a védett forgalmat. Az, hogy egy alagutat egy ügyfélről nevezünk el, egyik útvonalat sem hozza létre.

Soroljon fel tehát négy tényt, mielőtt módosít egy konfigurációt: a partner átviteli címét és az őt elérő kontextust, majd a kiszolgáló előtagját és az őt elérő kontextust. Ha nem tudja mind a négyet kitölteni, éppen találgatni készül. A találgatás ezen a területen drága, mert a rossz táblába felvett útvonal az egyik folyamot működésre bírhatja, miközben csendben elront egy másikat. A négy tény összegyűjtése tíz percet vesz igénybe, és megspórol egy nap csomagrögzítés-elemzést.

Erősítse meg a partner átviteli keresését

Kezdje az előtérrel, mert egy alagút, amely nem éri el a partnerét, soha nem enged át egyetlen védett csomagot sem. Az IOS-en az átviteli VRF-en belül kérdezze le a partner felé vezető útvonalat, ne a globális táblában.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Az első parancs megválaszolja, hogy a partner címe elérhető-e abban a kontextusban, a második felsorolja a valóban létező VRF-eket, a harmadik pedig megmutatja, létrejött-e biztonsági társítás. Az a partner-cím, amely csak a globális táblában oldódik fel, a klasszikus előtéri hiba, és úgy jelenik meg, mint egy soha el nem induló IKE-tárgyalás.

Ellenőrizze az interfész-hozzárendelést is. A dokumentált viselkedés megköveteli, hogy az alagút előtéri VRF-je és a WAN-interfész VRF-je megegyezzen; az eltérés engedheti a csomagot kifelé menni, és mégis megakadályozhatja, hogy a válasz a megfelelő kontextusban feldolgozódjon.

Erősítse meg a kiszolgáló belső keresését

Miután az előtér bizonyított, váltson át az ügyfél kontextusára, és tegye fel ugyanazt a kérdést a kiszolgáló előtagjáról. Ez a keresés dönti el, hogy egy kicsomagolt csomag továbbítható-e.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Az első parancs a belső útvonalat mutatja, a második pedig a munkamenet állapotát azokkal a kontextusokkal együtt, amelyeket a platform hozzá társított. Ha az útvonal létezik, de a munkamenet részletei rossz belső kontextust neveznek meg, az alagút olyan táblába továbbít, amely nem ismeri az ügyfél előtagját.

A globális táblában lévő útvonal nem bizonyíték egyik kereséshez sem. A globális útvonalakat akkor használják, amikor egy csomag nincs VRF-hez rendelve, és az ügyfél kontextusához rendelt alagút-interfész megváltoztatja ezt a hozzárendelést. Ha a belső útvonal hiányzik, a csomag kicsomagolásra, majd továbbítási bejegyzés hiányában eldobásra kerül, ami csomagvesztésnek tűnik, nem útválasztási hibának.

Helyezze a beállítást oda, ahol a modell várja

Ugyanez a dokumentáció megkülönbözteti a konfigurációs modelleket, és az egyikhez tartozó beállítás nem feltétlenül tartozik a másikhoz. Az alagútvédelmet használó alagút-interfészeknél a belső VRF az alagút-interfészen van megadva. A crypto map-alapú terveknél a belső VRF a crypto map bejegyzés része. Egy hasonló nevű parancs szerepének ellenőrzése nélküli átmozgatása a modellek között az az út, amelyen egy működő terv időszakossá válik.

Az útválasztás és az identitás külön kérdés. Az elérhetőség soha nem helyettesíti azt a partnerprofilt, amelyet az eszköz elfogad, és egy VRF átnevezése nem változtathatja meg a felkínált hitelesítő adatokat. Mindkettőt ellenőrizze minden változtatás után, mert egy rossz profillal tárgyaló alagút még létrehozhat társítást, és semmit nem továbbít.

Végül jegyezze fel a négy tényt és az azokat bizonyító parancsokat a változási naplóba. A következő mérnök az alagutat örökli, nem az érvelést, és egy rövid feljegyzés, amely mindkét kontextust megnevezi, többet ér, mint egy diagram, amelyet senki nem frissít.