ルーターにVPNモジュールがない？4つの能力レイヤーを確認

起動メッセージがVPNモジュールの欠落を報告し、購入リストは新しいカードから始まります。それは四つの能力の問いの一つであり、失敗した問いとは限りません。筐体に組み込み暗号が搭載されている場合も、ライセンス機能が無効になっている場合も、ペイロード暗号をまったく備えずに販売される製品バリアントもあります。誰かが購入を承認する前に、レイヤーを順に確認してください。

レイヤー 1：ハードウェア構成

エラーを読み直す前に構成情報を読みます。構成情報には筐体、搭載モジュール、その部品番号が示されており、プラットフォームがサポートするスロットと部品と比較するために必要です。存在しないモジュールと、存在するが故障しているモジュールでは、メッセージも修正方法も異なります。

show inventory
show module

部品番号を書き留め、正確なモデルのドキュメントと照合します。一度も発注されていないオプションのサービスモジュールは正常な構成であり、故障ではなく、起動メッセージは単にその不在を報告しているだけかもしれません。一覧にあるが認識されないモジュールはハードウェアまたは装着の問題であり、別のチケットです。二つのうちどちらなのかを言えるようになるまで、交換品を発注しないでください。

サポート対象のモジュールをソフトウェアが使おうとしない場合は、そこで止まります。それは互換性の問いであり、新しいハードウェアでは答えられません。

レイヤー 2：プラットフォームの他の暗号経路

多くのルーターは、オプションモジュールなしでも、メインボード上の専用ハードウェアまたはCPU上のソフトウェアで暗号を提供します。モジュール一覧から推測するのではなく、プラットフォームにどのエンジンを使っているかを尋ねてください。答えはエンジン名と、それがハードウェアかソフトウェアかを示し、起動メッセージが与えなかった事実はこれです。

show crypto engine configuration
show crypto engine brief

ソフトウェアエンジンでもVPNを終端できますが、他の処理に使えるサイクルが少ないだけです。この違いは、機能の有無ではなく、サイズ設計に関わります。エンジンの出力に有効なエンジンが示されていれば、モジュールの欠落はトンネル障害の原因ではなく、調査は構成とライセンスに移るべきです。出力は名前だけでなく、エンジンの状態と割り当てられたアルゴリズムについて読みます。

能力の所見と性能の所見は分けておきます。エンジンは何が動けるかを示し、実際に何が快適に動くかは負荷テストだけが示します。

レイヤー 3：ソフトウェアイメージと機能の有効化

機能はイメージに含まれていても、ライセンスや有効化キーがなければ無効です。デバイスが何に対してライセンスを持っていると認識しているかを確認し、構成が使おうとしている機能と比較します。二つの一覧の差が実際の所見です。

show license
show version | include license

古いプラットフォームでは同じ情報が別のコマンドの背後にあるので、新しいガイドからコマンドをコピーするのではなく、お使いのリリースのドキュメントにあるコマンドを使ってください。管理用暗号のライセンスはVPNペイロード暗号のライセンスではなく、同じものとして扱うと問題を解決しない購入につながります。機能名はデバイスが表示するとおりに正確に記録してください。ベンダーのライセンスチームが求めるのはその文字列です。

必要な機能がライセンス一覧にない場合は、そこで止まります。それは権利の話であり、構成の変更ではありません。

レイヤー 4：製品バリアント、管理暗号はペイロード暗号ではない

一部のアプライアンスは、管理アクセスを暗号化したままVPNペイロード暗号を意図的に無効にするバリアントで出荷されており、CiscoのライセンスドキュメントがASA 9.8ファミリーについてその制限を説明しています。そうした装置ではHTTPS管理ページもSSHセッションも動作するため、暗号は問題ないと人々が結論づけるのはまさにこのためです。制限は製品バリアントにあり、モジュール一覧やライセンスページにはありません。バージョン出力のSKUとプラットフォーム文字列を、そのバリアントについてのベンダーの説明と照合してください。

show version
show running-config | include crypto

ユニットがペイロード暗号なしのバリアントである場合、ファームウェアのダウンロードでも管理ライセンスでも制限は解除されません。サポートされる修正は別のユニットか、ベンダーが承認した変更であり、その判断は購入の所有者に属します。承認された保守の前に、実行中の構成と管理経路を保存してください。

ランブックは、四つのレイヤーのどれが失敗したか、どの証拠がそれを特定したか、その正確な組み合わせに対してベンダーがどの変更をサポートするかを言えるときに終わります。能力はスループットではなく、動作する管理ページは動作するVPNではありません。