Modulo VPN assente sul router? Verificate quattro livelli di capacità

I messaggi di avvio segnalano un modulo VPN mancante, e la lista della spesa inizia con una nuova scheda. È una delle quattro domande sulla capacità, e non sempre è quella che ha fallito. Uno chassis può avere crittografia integrata, una funzione con licenza può essere inattiva, e una variante del prodotto può essere venduta del tutto senza crittografia del payload. Percorrete i livelli in ordine prima che qualcuno approvi un acquisto.

Livello 1: l’inventario dell’hardware

Leggete l’inventario prima di rileggere l’errore. L’inventario indica lo chassis, i moduli installati e i loro numeri di parte, che è ciò che serve per confrontare con gli slot e le parti supportate dalla piattaforma. Un modulo assente e un modulo presente ma guasto producono messaggi diversi e correzioni diverse.

show inventory
show module

Annotate i numeri di parte e verificateli con la documentazione per il modello esatto. Un modulo di servizio opzionale che non è mai stato ordinato è una configurazione normale, non un guasto, e il messaggio di avvio potrebbe semplicemente segnalarne l’assenza. Un modulo elencato ma non riconosciuto è un problema di hardware o di inserimento, che è un altro ticket. Non ordinate un ricambio finché non potete dire quale dei due casi avete.

Fermatevi se l’inventario mostra un modulo supportato che il software rifiuta di usare. È una questione di compatibilità, e l’hardware nuovo non risponderà.

Livello 2: gli altri percorsi di crittografia della piattaforma

Molti router forniscono crittografia senza il modulo opzionale, in hardware dedicato sulla scheda madre o in software sulla CPU. Chiedete alla piattaforma quale motore usa invece di dedurlo dall’elenco dei moduli. La risposta indica il motore e se è hardware o software, ed è il fatto che il messaggio di avvio non vi ha dato.

show crypto engine configuration
show crypto engine brief

Un motore software può comunque terminare un VPN; ha semplicemente meno cicli disponibili per altro lavoro. Questa distinzione conta per il dimensionamento, non per l’esistenza della funzione. Se l’output del motore mostra un motore attivo, il modulo mancante non è la ragione del fallimento di un tunnel, e l’indagine dovrebbe passare alla configurazione e alle licenze. Leggete l’output per lo stato del motore e gli algoritmi assegnati, non solo per un nome.

Tenete la conclusione sulla capacità separata da quella sulle prestazioni. Il motore vi dice cosa può girare; solo un test di carico vi dice cosa gira bene.

Livello 3: l’immagine software e l’attivazione delle funzioni

Una funzione può essere presente nell’immagine e inattiva senza licenza o chiave di attivazione. Verificate per cosa il dispositivo ritiene di avere la licenza, poi confrontate con la funzione che la configurazione cerca di usare. Il divario tra questi due elenchi è la conclusione reale.

show license
show version | include license

Sulle piattaforme più vecchie la stessa informazione si trova dietro un comando diverso, quindi usate quello documentato dalla vostra versione invece di copiare un comando da una guida più recente. Una licenza per la crittografia di gestione non è una licenza per la crittografia del payload VPN, e trattarle come intercambiabili porta a un acquisto che non risolve il problema. Annotate il nome della funzione esattamente come lo stampa il dispositivo. È quella stringa che chiederà il team delle licenze del fornitore.

Fermatevi se la funzione richiesta manca dall’elenco delle licenze. È una conversazione sui diritti, non una modifica di configurazione.

Livello 4: la variante del prodotto, dove la crittografia di gestione non è quella del payload

Alcuni apparati vengono forniti in una variante che disattiva deliberatamente la crittografia del payload VPN lasciando crittografato l’accesso di gestione, e la documentazione sulle licenze di Cisco descrive questa restrizione per la famiglia ASA 9.8. Su queste unità funzionano sia una pagina di amministrazione HTTPS sia una sessione SSH, ed è esattamente per questo che le persone concludono che la crittografia vada bene. La restrizione risiede nella variante del prodotto, non nell’elenco dei moduli né nella pagina delle licenze. Verificate lo SKU e la stringa di piattaforma nell’output della versione con la descrizione del fornitore di quella variante.

show version
show running-config | include crypto

Se l’unità è una variante senza crittografia del payload, né un download di firmware né una licenza di gestione rimuovono la restrizione. La correzione supportata è un’altra unità o una modifica approvata dal fornitore, e quella decisione spetta a chi possiede l’acquisto. Preservate la configurazione in esecuzione e un percorso di gestione prima di qualsiasi manutenzione approvata.

Il runbook termina quando potete nominare quale dei quattro livelli ha fallito, quale prova lo ha identificato e quale modifica il fornitore supporta per quella combinazione esatta. La capacità non è la velocità effettiva, e una pagina di gestione funzionante non è un VPN funzionante.