Profilo IKEv2 definito ma non collegato: seguire la catena

Il profilo IKEv2 è nella configurazione salvata, il portachiavi c’è pure, e il tunnel continua a non salire. Su Cisco IOS XE un profilo è un oggetto che porta scelte di corrispondenza dell’identità e di autenticazione, e un oggetto non fa nulla finché un altro oggetto non lo referenzia e un’interfaccia non lo collega a un percorso. La maggior parte delle sessioni di debug della fase 1 fallite salta uno di quei riferimenti. Leggi la catena dal portachiavi verso l’esterno prima di cambiare qualsiasi proposta o politica.

Che cos’è davvero un oggetto profilo

Il profilo IKEv2 contiene la corrispondenza dell’identità remota, i metodi di autenticazione locale e remota e un riferimento a un portachiavi per le configurazioni con chiave precondivisa. Descrive come un peer viene riconosciuto e come dimostra la propria identità, e non nomina alcuna interfaccia.

Il portachiavi è un oggetto separato che contiene le chiavi precondivise. La crypto map o il profilo IPsec è un terzo oggetto che referenzia il profilo IKEv2 e fornisce le impostazioni di protezione. Il collegamento all’interfaccia è il quarto passo, dove si applica una crypto map o si abilita la tunnel protection. Ogni salto è un riferimento distinto, e un salto mancante lascia ogni oggetto corretto se guardato da solo.

Seguire la catena di riferimenti in ordine

Parti dal portachiavi che il profilo nomina, poi conferma il nome del profilo a cui fa riferimento la crypto map o il profilo IPsec, poi trova l’interfaccia che consuma quell’ultimo oggetto. Scrivi ogni nome accanto all’oggetto che lo consuma; quell’elenco breve è più utile che verificare che ogni blocco atteso esista da qualche parte nella configurazione.

Le rotture abituali sono meccaniche. Un nome di profilo differisce di un carattere da quello a cui fa riferimento la crypto map. La crypto map esiste ma non è mai stata applicata all’interfaccia. Il comando tunnel protection punta a un profilo IPsec che referenzia un altro profilo IKEv2. Un responder senza collegamento esplicito è un caso documentato, ma un initiator senza collegamento semplicemente non è configurato per il percorso.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Leggi lo snippet come una catena e non come un modello. L’interfaccia nomina il profilo IPsec, il profilo IPsec nomina il profilo IKEv2, e il profilo IKEv2 nomina il portachiavi. Rompi uno di quei nomi e la configurazione viene comunque analizzata, ed è per questo che il router la accetta e il tunnel resta giù.

Crypto map e tunnel protection sono alternative

Cisco documenta due disposizioni di collegamento. Una crypto map può essere applicata a un’interfaccia e può referenziare il profilo IKEv2 tramite il suo comando set. La tunnel protection collega un profilo IPsec a un’interfaccia tunnel. Entrambe sono valide, e non sono pensate per essere installate insieme come misura di doppia sicurezza.

L’origine e la destinazione del tunnel identificano la disposizione di consegna esterna, e sono separate dal collegamento di protezione. Un’interfaccia LAN, l’interfaccia tunnel e l’interfaccia di origine esterna svolgono tre ruoli diversi. Una crypto map sull’interfaccia LAN non protegge il tunnel, e un tunnel con protezione abilitata ma senza indirizzo di origine raggiungibile non invia mai un pacchetto al suo peer.

Ispeziona lo stato caricato, non solo il testo. La release installata ha comandi che collegano gli oggetti configurati alla sessione negoziata, e sono quelli da citare in un ticket. Una configurazione salvata dimostra l’intenzione; una tabella delle sessioni dimostra il percorso.

L’eccezione del responder non è una regola per gli initiator

La guida di IOS XE osserva che un collegamento esplicito del profilo IKEv2 può essere facoltativo su un responder. Quell’eccezione non rimuove i controlli di autenticazione o di identità, e non rende facoltativo il profilo sul lato che avvia la connessione.

Se il tuo router avvia, considera il collegamento obbligatorio e seguilo da un capo all’altro. Se il tuo router risponde soltanto, conferma quale profilo ha realmente corrisposto al peer in ingresso, perché un responder può selezionare un profilo per identità invece che per riferimento all’interfaccia.

Controlla il percorso, non la configurazione salvata

Quando i collegamenti combaciano, prova un’applicazione consentita e registra la sua origine, destinazione e route interne. Una richiesta originata dal router può usare un indirizzo di origine diverso da quello del traffico inoltrato dalla LAN, e l’ambito di protezione può coprire solo uno dei due.

Una definizione collegata correttamente non dimostra che i selettori, la route di ritorno e la politica dell’interfaccia coprano il tuo flusso. Invia traffico reale e leggi lo stato negoziato, poi ripeti dopo una riconnessione per sapere che la catena sopravvive a una nuova negoziazione. Mantieni la spiegazione entro IOS XE IKEv2; un dispiegamento storico di crypto map IKEv1 ha un altro modello di oggetti e non va diagnosticato con questa catena.

Scrivi i quattro nomi nel registro delle modifiche quando il tunnel funziona. La prossima persona che toccherà la crypto map ne avrà bisogno, e la catena è la parte del progetto che la configurazione in esecuzione non spiega.