IKEv2-snið skilgreint en ekki tengt: fylgdu keðjunni

IKEv2-sniðið er í vistaðri uppsetningu, lyklahringurinn er þar líka, og tunnillinn kemur samt ekki upp. Á Cisco IOS XE er snið hlutur sem ber val um auðkenningarsamsvörun og sannvottun, og hlutur gerir ekkert fyrr en annar hlutur vísar í hann og viðmót tengir þann hlut við slóð. Flestar misheppnaðar kembingarlotur fasa 1 sleppa einni af þessum tilvísunum. Lestu keðjuna frá lyklahringnum út áður en þú breytir nokkru tillagi eða stefnu.

Hvað er sniðshlutur í raun

IKEv2-sniðið geymir samsvörun fjarlægrar auðkenningar, staðbundnar og fjarlægar sannvottunaraðferðir og tilvísun í lyklahring fyrir hönnun með fyrirfram deildum lykli. Það lýsir því hvernig peer er þekktur og hvernig hann sannar sig, og nefnir ekkert viðmót.

Lyklahringurinn er sérstakur hlutur sem geymir fyrirfram deildu lyklana. Crypto map eða IPsec-sniðið er þriðji hluturinn sem vísar í IKEv2-sniðið og gefur verndarstillingarnar. Tengingin við viðmótið er fjórða skrefið, þar sem crypto map er beitt eða tunnel protection er virkjað. Hvert stökk er sérstök tilvísun, og stökk sem vantar lætur hvern hlut líta rétt út einn og sér.

Fylgdu tilvísunarkeðjunni í réttri röð

Byrjaðu á lyklahringnum sem sniðið nefnir, staðfestu síðan sniðsheitið sem crypto map eða IPsec-sniðið vísar í, og finndu síðan viðmótið sem neytir þess síðasta hlutar. Skrifaðu hvert heiti við hlið hlutarins sem neytir þess; sá stutti listi er gagnlegri en að athuga að hver eiginlegur hluti sé einhvers staðar í uppsetningunni.

Venjulegu rofnin eru vélræn. Sniðsheiti er einum staf frábrugðið því sem crypto map vísar í. Crypto map er til en var aldrei beitt á viðmótið. Skipunin tunnel protection bendir á IPsec-snið sem vísar í annað IKEv2-snið. Responder án skýrrar tengingar er skjalfest tilfelli, en initiator án tengingar er einfaldlega ekki stilltur fyrir slóðina.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Lestu brotið sem keðju en ekki sem sniðmát. Viðmótið nefnir IPsec-sniðið, IPsec-sniðið nefnir IKEv2-sniðið og IKEv2-sniðið nefnir lyklahringinn. Brjóttu eitthvað af þessum heitum og uppsetningin greinist samt, sem er ástæðan fyrir því að beinirinn samþykkir hana og tunnillinn stendur kyrr.

Crypto map og tunnel protection eru valkostir

Cisco skjalfestir tvö tengingarfyrirkomulög. Crypto map má beita á viðmót og það getur visað í IKEv2-sniðið með set-skipun sinni. Tunnel protection tengir IPsec-snið við tunnilviðmót. Bæði eru gild og þau eru ekki ætluð til að setja upp saman sem tvöföld öryggisráðstöfun.

Uppruni og áfangastaður tunnilsins ákvarða ytri afhendingarfyrirkomulagið og þau eru aðskilin frá verndartengingunni. LAN-viðmót, tunnilviðmótið og ytra upprunaviðmótið gegna þremur ólíkum hlutverkum. Crypto map á LAN-viðmóti verndar ekki tunnilinn, og tunnill með virka vernd en án aðgengilegs upprunafangs sendir aldrei pakka til peers síns.

Skoðaðu hlaðið ástand, ekki bara textann. Uppsetta útgáfan hefur skipanir sem tengja stilltu hlutina við samið lotu, og það eru þær sem á að vitna í í miða. Vistuð uppsetning sannar ásetning; lotutafla sannar slóðina.

Undantekning responders er ekki regla fyrir initiatora

IOS XE-leiðbeiningin tekur fram að skýr tenging IKEv2-sniðs geti verið valfrjáls á responder. Sú undantekning fjarlægir ekki sannvottun eða auðkenningarskoðanir, og hún gerir sniðið ekki valfrjálst á þeirri hlið sem hefur sambandið.

Ef beinirinn þinn hefur sambandið skaltu líta á tenginguna sem skyldu og fylgja henni frá enda til enda. Ef beinirinn þinn svarar bara skaltu staðfesta hvaða snið passaði í raun við komandi peer, því responder getur valið snið eftir auðkenningu frekar en eftir viðmótstilvísun.

Athugaðu slóðina, ekki vistaðu uppsetninguna

Þegar tengingarnar stemma skaltu prófa eitt leyft forrit og skrá innra upprunafang, áfangastað og slóð þess. Beiðni sem beinirinn á frumkvæðið að getur notað annað upprunafang en umferð sem er framsend frá LAN-inu, og verndarsviðið gæti aðeins náð yfir annað þeirra.

Rétt tengd skilgreining sannar ekki að valarnir, bakleiðin og stefna viðmótsins nái yfir flæðið þitt. Sendu raunverulega umferð og lestu samið ástand, endurtaktu síðan eftir endurtengingu svo þú vitir að keðjan þolir nýja samningagerð. Haltu skýringunni innan IOS XE IKEv2; söguleg IKEv1 crypto map uppsetning hefur aðra hlutagerð og ætti ekki að kemba með þessari keðju.

Skrifaðu þessi fjögur heiti í breytingaskrána þegar tunnillinn virkar. Næsta manneskja sem snertir crypto map þarf þau, og keðjan er sá hluti hönnunarinnar sem keyrandi uppsetningin útskýrir ekki.