Profil IKEv2 didefinisikan tetapi tidak terpasang: telusuri rantainya

Profil IKEv2 ada di konfigurasi tersimpan, key ring juga ada, tetapi tunnel tetap tidak naik. Di Cisco IOS XE profil adalah objek yang membawa pilihan pencocokan identitas dan autentikasi, dan sebuah objek tidak melakukan apa pun sampai objek lain merujuknya dan antarmuka memasang objek itu ke sebuah jalur. Sebagian besar sesi debug fase 1 yang gagal melewatkan salah satu rujukan itu. Baca rantai dari key ring ke arah luar sebelum Anda mengubah proposal atau kebijakan apa pun.

Apa sebenarnya objek profil itu

Profil IKEv2 menyimpan pencocokan identitas jarak jauh, metode autentikasi lokal dan jarak jauh, serta rujukan ke key ring untuk desain dengan kunci yang dibagikan sebelumnya. Profil ini menjelaskan bagaimana peer dikenali dan bagaimana ia membuktikan dirinya, dan tidak menyebutkan antarmuka apa pun.

Key ring adalah objek terpisah yang menyimpan kunci yang dibagikan sebelumnya. Crypto map atau profil IPsec adalah objek ketiga yang merujuk profil IKEv2 dan menyediakan pengaturan perlindungan. Pemasangan antarmuka adalah langkah keempat, tempat crypto map diterapkan atau tunnel protection diaktifkan. Setiap lompatan adalah rujukan tersendiri, dan lompatan yang hilang membuat setiap objek tampak benar saat dilihat sendiri.

Ikuti rantai rujukan secara berurutan

Mulailah dari key ring yang disebut profil, lalu pastikan nama profil yang dirujuk crypto map atau profil IPsec, lalu temukan antarmuka yang memakai objek terakhir itu. Tulis setiap nama di samping objek yang memakainya; daftar pendek itu lebih berguna daripada memeriksa bahwa setiap blok yang diharapkan ada di suatu tempat dalam konfigurasi.

Kerusakan yang biasa bersifat mekanis. Nama profil berbeda satu karakter dari yang dirujuk crypto map. Crypto map ada tetapi tidak pernah diterapkan ke antarmuka. Perintah tunnel protection menunjuk ke profil IPsec yang merujuk profil IKEv2 lain. Responder tanpa pemasangan eksplisit adalah kasus yang didokumentasikan, tetapi initiator tanpa pemasangan sama sekali tidak dikonfigurasi untuk jalur itu.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Bacalah cuplikan itu sebagai rantai, bukan sebagai templat. Antarmuka menyebut profil IPsec, profil IPsec menyebut profil IKEv2, dan profil IKEv2 menyebut key ring. Putuskan salah satu nama itu dan konfigurasi tetap terurai, itulah sebabnya router menerimanya dan tunnel tetap turun.

Crypto map dan tunnel protection adalah alternatif

Cisco mendokumentasikan dua susunan pemasangan. Crypto map dapat diterapkan ke antarmuka dan dapat merujuk profil IKEv2 melalui perintah set-nya. Tunnel protection memasang profil IPsec ke antarmuka tunnel. Keduanya sah, dan keduanya tidak dimaksudkan untuk dipasang bersama sebagai langkah pengamanan ganda.

Sumber dan tujuan tunnel mengidentifikasi susunan pengiriman luar, dan keduanya terpisah dari pemasangan perlindungan. Antarmuka LAN, antarmuka tunnel, dan antarmuka sumber luar memainkan tiga peran berbeda. Crypto map pada antarmuka LAN tidak melindungi tunnel, dan tunnel dengan perlindungan aktif tetapi tanpa alamat sumber yang dapat dijangkau tidak pernah mengirim paket ke peer-nya.

Periksa keadaan yang dimuat, bukan hanya teksnya. Rilis yang terpasang memiliki perintah yang menghubungkan objek terkonfigurasi ke sesi yang dinegosiasikan, dan itulah yang harus dikutip dalam tiket. Konfigurasi tersimpan membuktikan niat; tabel sesi membuktikan jalurnya.

Pengecualian responder bukan aturan untuk initiator

Panduan IOS XE mencatat bahwa pemasangan profil IKEv2 yang eksplisit bisa bersifat opsional pada responder. Pengecualian itu tidak menghapus pemeriksaan autentikasi atau identitas, dan tidak membuat profil menjadi opsional di sisi yang memulai koneksi.

Jika router Anda memulai, perlakukan pemasangan sebagai wajib dan telusuri dari ujung ke ujung. Jika router Anda hanya menjawab, pastikan profil mana yang benar-benar cocok dengan peer yang masuk, karena responder dapat memilih profil berdasarkan identitas, bukan berdasarkan rujukan antarmuka.

Periksa jalurnya, bukan konfigurasi tersimpan

Setelah pemasangan sejajar, uji satu aplikasi yang diizinkan dan catat sumber, tujuan, serta rute dalamnya. Permintaan yang berasal dari router dapat memakai alamat sumber berbeda dari lalu lintas yang diteruskan dari LAN, dan cakupan perlindungan mungkin hanya mencakup salah satunya.

Definisi yang terpasang dengan benar tidak membuktikan bahwa selektor, rute balik, dan kebijakan antarmuka mencakup alur Anda. Kirim lalu lintas nyata dan baca keadaan yang dinegosiasikan, lalu ulangi setelah menyambung ulang agar Anda tahu rantai itu bertahan pada negosiasi baru. Batasi penjelasan pada IOS XE IKEv2; penerapan crypto map IKEv1 historis memiliki model objek berbeda dan tidak boleh di-debug dengan rantai ini.

Tulis keempat nama itu ke catatan perubahan saat tunnel bekerja. Orang berikutnya yang menyentuh crypto map akan membutuhkannya, dan rantai adalah bagian desain yang tidak dijelaskan oleh konfigurasi yang berjalan.