Սահմանված, բայց չկցված IKEv2 պրոֆիլ․ հետևեք շղթային

IKEv2 պրոֆիլը պահված կոնֆիգուրացիայում է, բանալիների օղակը նույնպես այնտեղ է, և թունելը դեռ չի բարձրանում։ Cisco IOS XE-ում պրոֆիլը օբյեկտ է, որը կրում է ինքնության համապատասխանեցման և նույնականացման ընտրանքներ, և օբյեկտը ոչինչ չի անում, քանի դեռ մեկ այլ օբյեկտ չի հղում դրան, և ինտերֆեյսը չի կցում այդ օբյեկտը ուղուն։ Ձախողված 1-ին փուլի վրիպազերծման նստաշրջանների մեծ մասը բաց է թողնում այդ հղումներից մեկը։ Կարդացեք շղթան բանալիների օղակից դեպի դուրս՝ նախքան որևէ առաջարկ կամ քաղաքականություն փոխելը։

Ինչ է իրականում պրոֆիլ օբյեկտը

IKEv2 պրոֆիլը պարունակում է հեռավոր ինքնության համապատասխանեցումը, տեղական և հեռավոր նույնականացման մեթոդները և հղում բանալիների օղակին՝ նախապես համօգտագործված բանալիներով նախագծերի համար։ Այն նկարագրում է, թե ինչպես է ճանաչվում peer-ը և ինչպես է ինքն իրեն ապացուցում, և ոչ մի ինտերֆեյս չի անվանում։

Բանալիների օղակը առանձին օբյեկտ է, որը պահում է նախապես համօգտագործված բանալիները։ Crypto map-ը կամ IPsec պրոֆիլը երրորդ օբյեկտն է, որը հղում է IKEv2 պրոֆիլին և տրամադրում պաշտպանության կարգավորումները։ Ինտերֆեյսի կցումը չորրորդ քայլն է, որտեղ կիրառվում է crypto map կամ միացվում է tunnel protection-ը։ Յուրաքանչյուր թռիչք առանձին հղում է, և բացակայող թռիչքը թողնում է յուրաքանչյուր օբյեկտ առանձին վերցված ճիշտ տեսք ունենալ։

Հետևեք հղումների շղթային հերթականությամբ

Սկսեք բանալիների օղակից, որը նշում է պրոֆիլը, ապա հաստատեք պրոֆիլի անունը, որին հղում է crypto map-ը կամ IPsec պրոֆիլը, ապա գտեք ինտերֆեյսը, որը սպառում է այդ վերջին օբյեկտը։ Գրեք յուրաքանչյուր անուն այն օբյեկտի կողքին, որը սպառում է այն․ այդ կարճ ցանկն ավելի օգտակար է, քան ստուգելը, որ յուրաքանչյուր սպասվող բլոկ կա ինչ-որ տեղ կոնֆիգուրացիայում։

Սովորական խափանումները մեխանիկական են։ Պրոֆիլի անունը մեկ նշանով տարբերվում է նրանից, որին հղում է crypto map-ը։ Crypto map-ը գոյություն ունի, բայց երբեք չի կիրառվել ինտերֆեյսի վրա։ Tunnel protection հրամանը ցույց է տալիս IPsec պրոֆիլի, որը հղում է մեկ այլ IKEv2 պրոֆիլի։ Responder-ը՝ առանց բացահայտ կցման, փաստաթղթավորված դեպք է, բայց initiator-ը՝ առանց կցման, պարզապես կազմաձևված չէ այդ ուղու համար։

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Կարդացեք հատվածը որպես շղթա, ոչ որպես ձևանմուշ։ Ինտերֆեյսը նշում է IPsec պրոֆիլը, IPsec պրոֆիլը նշում է IKEv2 պրոֆիլը, և IKEv2 պրոֆիլը նշում է բանալիների օղակը։ Կոտրեք այդ անուններից որևէ մեկը, և կոնֆիգուրացիան դեռ վերլուծվում է, ինչի պատճառով երթուղիչն այն ընդունում է, և թունելը մնում է ներքևում։

Crypto map-ը և tunnel protection-ը այլընտրանքներ են

Cisco-ն փաստաթղթավորում է կցման երկու դասավորություն։ Crypto map-ը կարող է կիրառվել ինտերֆեյսի վրա և կարող է հղում IKEv2 պրոֆիլին իր set հրամանի միջոցով։ Tunnel protection-ը IPsec պրոֆիլը կցում է թունելային ինտերֆեյսին։ Երկուսն էլ վավեր են, և դրանք նախատեսված չեն միասին տեղադրվելու որպես կրկնակի ապահովագրության միջոց։

Թունելի աղբյուրը և նպատակակետը որոշում են արտաքին առաքման դասավորությունը, և դրանք առանձին են պաշտպանության կցումից։ LAN ինտերֆեյսը, թունելային ինտերֆեյսը և արտաքին աղբյուրի ինտերֆեյսը կատարում են երեք տարբեր դերեր։ LAN ինտերֆեյսի վրա գտնվող crypto map-ը չի պաշտպանում թունելը, և պաշտպանությունը միացված, բայց հասանելի աղբյուրի հասցե չունեցող թունելը երբեք փաթեթ չի ուղարկում իր peer-ին։

Ուսումնասիրեք բեռնված վիճակը, ոչ միայն տեքստը։ Տեղադրված թողարկումն ունի հրամաններ, որոնք կապում են կազմաձևված օբյեկտները բանակցված նստաշրջանին, և հենց դրանք պետք է մեջբերել տոմսում։ Պահված կոնֆիգուրացիան ապացուցում է մտադրությունը․ նստաշրջանների աղյուսակն ապացուցում է ուղին։

Responder-ի բացառությունը կանոն չէ initiator-ների համար

IOS XE ուղեցույցը նշում է, որ IKEv2 պրոֆիլի բացահայտ կցումը responder-ի վրա կարող է լինել կամընտիր։ Այդ բացառությունը չի հեռացնում նույնականացման կամ ինքնության ստուգումները, և պրոֆիլը կամընտիր չի դարձնում այն կողմում, որը սկսում է կապը։

Եթե ձեր երթուղիչը սկսում է, կցումը համարեք պարտադիր և հետևեք այն սկզբից մինչև վերջ։ Եթե ձեր երթուղիչը միայն պատասխանում է, հաստատեք, թե որ պրոֆիլն իրականում համապատասխանեց մուտքային peer-ին, քանի որ responder-ը կարող է պրոֆիլ ընտրել ըստ ինքնության, այլ ոչ թե ինտերֆեյսի հղման։

Ստուգեք ուղին, ոչ թե պահված կոնֆիգուրացիան

Երբ կցումները համապատասխանեն, փորձարկեք մեկ թույլատրված հավելված և գրանցեք դրա ներքին աղբյուրը, նպատակակետը և ուղին։ Երթուղիչի սկսած հարցումը կարող է օգտագործել այլ աղբյուրի հասցե, քան LAN-ից փոխանցվող երթևեկությունը, և պաշտպանության շրջանակը կարող է ծածկել դրանցից միայն մեկը։

Ճիշտ կցված սահմանումը չի ապացուցում, որ ընտրիչները, վերադարձի ուղին և ինտերֆեյսի քաղաքականությունը ծածկում են ձեր հոսքը։ Ուղարկեք իրական երթևեկություն և կարդացեք բանակցված վիճակը, ապա կրկնեք վերակապակցումից հետո, որպեսզի իմանաք, որ շղթան դիմանում է նոր բանակցությանը։ Սահմանափակեք բացատրությունը IOS XE IKEv2-ով․ IKEv1 crypto map-ի պատմական տեղակայումն ունի այլ օբյեկտային մոդել և չպետք է վրիպազերծվի այս շղթայով։

Երբ թունելն աշխատի, գրեք այդ չորս անունները փոփոխությունների մատյանում։ Crypto map-ին հաջորդը դիպչող մարդուն դրանք պետք կգան, և շղթան նախագծի այն մասն է, որը գործող կոնֆիգուրացիան չի բացատրում։