VPN ピアに到達するのはどの VRF で、パケットを運ぶのはどちらか

顧客のルーティングコンテキスト内の各トンネルも、依然として遠隔ピアに到達しなければならず、その検索はまったく別のテーブルで行われることがあります。ここを誤ると、トンネルは起動し、ルートは存在して見えても二つの検索のどちらかが誤ったコンテキストを使えば通信が止まるという、VRF 対応 IPsec で最も混乱しやすい障害の一つが生じます。以下の四つの手順を順番に実行し、二つの宛先を別々に書き留めてください。

二つの検索、一つのトンネル

外側のカプセル化パケットはピアのトランスポートアドレス宛てで、保護が存在する前にルーティングされます。内側のパケットは顧客サーバー宛てで、カプセル化解除の後に顧客のコンテキスト内でルーティングされます。これは二つの宛先、二つの検索、そして多くの場合二つの異なるテーブルです。

Cisco の VRF 対応 IPsec のドキュメントは、これらをフロントドア VRF とインサイド VRF と呼んでいます。フロントドアは暗号化されたトランスポートを運び、インサイドのコンテキストは保護された通信を運びます。トンネルに顧客の名前を付けても、どちらのルートも現れません。

したがって、設定を変更する前に四つの事実を列挙してください: ピアのトランスポートアドレスとそれに到達するコンテキスト、次にサーバーのプレフィックスとそれに到達するコンテキストです。四つすべてを埋められないなら、これから推測しようとしています。この領域での推測は高くつきます、誤ったテーブルに追加したルートは一方のフローを動かしながら他方を静かに壊すことがあるからです。四つの事実の収集には十分かかり、キャプチャ解析の一日を節約します。

ピアのトランスポート検索を確認する

フロントドアから始めてください、ピアに到達できないトンネルは保護されたパケットを一つも通さないからです。IOS では、グローバルテーブルではなくトランスポート VRF の内部でピアへのルートを問い合わせます。

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

最初のコマンドはそのコンテキストでピアアドレスに到達できるかを答え、二番目は実際に存在する VRF を列挙し、三番目はセキュリティアソシエーションが形成されたかを示します。グローバルテーブルでのみ解決されるピアアドレスが典型的なフロントドアの誤りで、これは決して始まらない IKE ネゴシエーションとして現れます。

インターフェースの割り当ても確認してください、文書化された動作ではトンネルのフロントドア VRF と WAN インターフェースの VRF が一致する必要があります。不一致があると、パケットは出ても応答が正しいコンテキストで処理されないことがあります。

サーバーのインサイド検索を確認する

フロントドアが証明できたら、顧客のコンテキストに切り替え、サーバーのプレフィックスについて同じ問いを立てます。この検索が、カプセル化を解除したパケットを先へ転送できるかを決めます。

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

最初のコマンドはインサイドのルートを示し、二番目はセッション状態と、プラットフォームがそれに関連付けたコンテキストを示します。ルートが存在するのにセッションの詳細が誤ったインサイドコンテキストを示しているなら、トンネルは顧客のプレフィックスを知らないテーブルへ転送しています。

グローバルテーブルのルートは、どちらの検索の証拠にもなりません。グローバルルートはパケットが VRF に関連付けられていないときに使われ、顧客コンテキストに割り当てられたトンネルインターフェースはその関連付けを変えます。インサイドのルートがない場合、パケットはカプセル化を解除された後に転送エントリがないため破棄され、ルーティングの誤りではなくパケット損失のように見えます。

設定をモデルが期待する場所に置く

同じドキュメントは設定モデルを区別しており、一方に属する設定が他方にも属するとは限りません。トンネル保護を使うトンネルインターフェースでは、インサイド VRF はトンネルインターフェース上で定義されます。crypto map ベースの設計では、インサイド VRF は crypto map エントリの一部です。役割を確認せずに似た名前のコマンドをモデル間で移すことが、動作する設計を不安定にする道です。

ルーティングとアイデンティティは別の関心事です。到達性が、装置が受け入れるピアプロファイルの代わりになることは決してなく、VRF の名前変更は提示する資格情報を変えてはなりません。変更のたびに両方を確認してください、誤ったプロファイルで交渉するトンネルはそれでもアソシエーションを形成して何も転送しないことがあるからです。

最後に、四つの事実とそれを証明したコマンドを変更記録に残してください、次のエンジニアが引き継ぐのはトンネルであり推論ではありませんから。両方のコンテキストを名指す短いメモは、誰も更新しない図よりも価値があります。