Որ VRF-ն է հասնում VPN գործընկերոջը, և որը կրում է փաթեթը։
Թունելը կարող է օգտագործել մեկ երթուղավորման համատեքստ՝ իր գործընկերոջը հասնելու համար, և մեկ այլ՝ պաշտպանված փաթեթը փոխանցելու համար։ Ստուգեք երկու որոնումներն առանձին՝ երթուղիներ ավելացնելուց առաջ։
Յուրաքանչյուր թունել հաճախորդի երթուղավորման համատեքստի ներսում դեռ պետք է հասնի իր հեռավոր գործընկերոջը, և այդ որոնումը կարող է տեղի ունենալ բոլորովին այլ աղյուսակում։ Սա սխալ անելը ստեղծում է VRF-ին տեղյակ IPsec-ի ամենաշփոթեցնող խափանումներից մեկը՝ թունելը բարձրանում է, երթուղիները կարծես թե կան, և երթևեկությունը մահանում է, որովհետև երկու որոնումներից մեկը օգտագործել է սխալ համատեքստ։ Կատարեք ստորև նշված չորս քայլերը հերթականությամբ և գրի առեք երկու նպատակակետերն առանձին։
Երկու որոնում, մեկ թունել
Արտաքին կապսուլավորված փաթեթը հասցեագրված է գործընկերոջ տրանսպորտային հասցեին, և այն երթուղավորվում է մինչև որևէ պաշտպանության գոյությունը։ Ներքին փաթեթը հասցեագրված է հաճախորդի սերվերին և երթուղավորվում է ապակապսուլավորումից հետո՝ հաճախորդի համատեքստի ներսում։ Դրանք երկու նպատակակետ են, երկու որոնում և հաճախ երկու տարբեր աղյուսակ։
Cisco-ի փաստաթղթերը VRF-ին տեղյակ IPsec-ի համար դրանք անվանում են առաջի դռան VRF և ներքին VRF։ Առաջի դուռը կրում է գաղտնագրված տրանսպորտը, իսկ ներքին համատեքստը կրում է պաշտպանված երթևեկությունը։ Թունելը հաճախորդի անունով անվանելը չի ստիպում երկու երթուղիներից ոչ մեկին հայտնվել։
Այսպիսով, նախքան կարգավորումը փոխելը թվարկեք չորս փաստ՝ գործընկերոջ տրանսպորտային հասցեն և այն համատեքստը, որը հասնում է դրան, ապա սերվերի նախածանցը և այն համատեքստը, որը հասնում է դրան։ Եթե չեք կարող լրացնել բոլոր չորսը, դուք պատրաստվում եք գուշակել։ Այս ոլորտում գուշակելը թանկ է, որովհետև սխալ աղյուսակում ավելացված երթուղին կարող է մեկ հոսք աշխատեցնել՝ միաժամանակ լուռ կոտրելով մյուսը։ Չորս փաստերի հավաքումը տևում է տասը րոպե և խնայում է մեկ օր գրավման վերլուծություն։
Հաստատեք գործընկերոջ տրանսպորտային որոնումը
Սկսեք առաջի դռնից, որովհետև թունելը, որը չի կարող հասնել իր գործընկերոջը, երբեք չի անցկացնի ոչ մի պաշտպանված փաթեթ։ IOS-ում հարցրեք դեպի գործընկեր տանող երթուղին տրանսպորտային VRF-ի ներսում, այլ ոչ թե գլոբալ աղյուսակում։
show ip route vrf wan-blue 203.0.113.20 show ip vrf brief show crypto ikev2 sa
Առաջին հրամանը պատասխանում է՝ արդյոք գործընկերոջ հասցեն հասանելի է այդ համատեքստում, երկրորդը թվարկում է իրականում գոյություն ունեցող VRF-ները, իսկ երրորդը ցույց է տալիս՝ արդյոք ձևավորվել է անվտանգության ասոցիացիա։ Գործընկերոջ հասցեն, որը լուծվում է միայն գլոբալ աղյուսակում, առաջի դռան դասական սխալն է, և այն դրսևորվում է որպես IKE բանակցություն, որը երբեք չի սկսվում։
Ստուգեք նաև ինտերֆեյսի նշանակումը։ Փաստաթղթավորված վարքագիծը պահանջում է, որ թունելի առաջի դռան VRF-ը և WAN ինտերֆեյսի VRF-ը համընկնեն, և անհամապատասխանությունը կարող է թույլ տալ փաթեթին դուրս գալ և միևնույն ժամանակ խանգարել պատասխանի մշակմանը ճիշտ համատեքստում։
Հաստատեք սերվերի ներքին որոնումը
Երբ առաջի դուռը ապացուցված է, անցեք հաճախորդի համատեքստին և տվեք նույն հարցը սերվերի նախածանցի մասին։ Այս որոնումը որոշում է՝ արդյոք ապակապսուլավորված փաթեթը կարող է առաջ փոխանցվել։
show ip route vrf customer-blue 10.60.4.0 show crypto session detail
Առաջին հրամանը ցույց է տալիս ներքին երթուղին, իսկ երկրորդը՝ նստաշրջանի վիճակը՝ հարթակի հետ կապած համատեքստերի հետ միասին։ Եթե երթուղին կա, բայց նստաշրջանի մանրամասները նշում են սխալ ներքին համատեքստ, թունելը փոխանցում է աղյուսակ, որը չգիտի հաճախորդի նախածանցը։
Գլոբալ աղյուսակում եղած երթուղին ապացույց չէ երկու որոնումներից ոչ մեկի համար։ Գլոբալ երթուղիները օգտագործվում են, երբ փաթեթը կապված չէ VRF-ի հետ, և հաճախորդի համատեքստին նշանակված թունելային ինտերֆեյսը փոխում է այդ կապը։ Եթե ներքին երթուղին բացակայում է, փաթեթը ապակապսուլավորվում է, ապա դեն նետվում փոխանցման գրառման բացակայության պատճառով, ինչը նման է փաթեթի կորստի, այլ ոչ թե երթուղավորման սխալի։
Տեղադրեք կարգավորումը այնտեղ, որտեղ մոդելն է սպասում
Նույն փաստաթղթերը տարբերում են կարգավորման մոդելներ, և մեկին պատկանող կարգավորումը պարտադիր չէ, որ պատկանի մյուսին։ Թունելային պաշտպանություն օգտագործող թունելային ինտերֆեյսների համար ներքին VRF-ը սահմանվում է թունելային ինտերֆեյսի վրա։ crypto map-ի վրա հիմնված լուծումներում ներքին VRF-ը crypto map գրառման մաս է։ Նմանանուն հրամանը մոդելների միջև տեղափոխելը՝ առանց դրա դերը ստուգելու, այն ճանապարհն է, որով աշխատող լուծումը դառնում է ընդհատվող։
Երթուղավորումը և ինքնությունը առանձին հարցեր են։ Հասանելիությունը երբեք չի փոխարինում այն գործընկերոջ պրոֆիլին, որը սարքը կընդունի, և VRF-ի վերանվանումը չպետք է փոխի առաջարկվող հավատարմագրերը։ Ստուգեք երկուսն էլ ցանկացած փոփոխությունից հետո, որովհետև սխալ պրոֆիլի հետ բանակցող թունելը դեռ կարող է ասոցիացիա ձևավորել և ոչինչ չփոխանցել։
Վերջապես, գրանցեք չորս փաստերը և դրանք ապացուցած հրամանները փոփոխությունների մատյանում։ Հաջորդ ինժեները կժառանգի թունելը, ոչ թե պատճառաբանությունը, և երկու համատեքստերն անվանող կարճ նշումը արժե ավելի, քան դիագրամը, որը ոչ ոք չի թարմացնում։