IKEv2 პროფილი განსაზღვრულია, მაგრამ არ არის მიმაგრებული: მიჰყევით ჯაჭვს

IKEv2 პროფილი შენახულ კონფიგურაციაშია, გასაღებების რგოლიც იქ არის, და გვირაბი მაინც არ ადის. Cisco IOS XE-ზე პროფილი ობიექტია, რომელიც იდენტობის შედარებისა და ავთენტიფიკაციის არჩევანს ატარებს, და ობიექტი არაფერს აკეთებს, სანამ სხვა ობიექტი არ მიუთითებს მასზე და ინტერფეისი არ მიამაგრებს ამ ობიექტს გზას. წარუმატებელი 1-ლი ფაზის გამართვის სესიების უმეტესობა ერთ-ერთ ამ მითითებას გამოტოვებს. წაიკითხეთ ჯაჭვი გასაღებების რგოლიდან გარეთ, სანამ რომელიმე წინადადებას ან პოლიტიკას შეცვლით.

რა არის სინამდვილეში პროფილის ობიექტი

IKEv2 პროფილი ინახავს დისტანციური იდენტობის შედარებას, ლოკალური და დისტანციური ავთენტიფიკაციის მეთოდებს და მითითებას გასაღებების რგოლზე წინასწარ გაზიარებული გასაღების დიზაინებისთვის. ის აღწერს, როგორ ამოიცნობა peer და როგორ ამტკიცებს თავს, და არც ერთ ინტერფეისს არ ასახელებს.

გასაღებების რგოლი ცალკე ობიექტია, რომელიც წინასწარ გაზიარებულ გასაღებებს ინახავს. crypto map ან IPsec პროფილი მესამე ობიექტია, რომელიც IKEv2 პროფილზე მიუთითებს და დაცვის პარამეტრებს აწვდის. ინტერფეისზე მიმაგრება მეოთხე ნაბიჯია, სადაც crypto map გამოიყენება ან tunnel protection ჩაირთვება. ყოველი ნახტომი ცალკე მითითებაა, და დაკარგული ნახტომი ყოველ ობიექტს ცალკე სწორად გამოაჩენს.

მიჰყევით მითითებების ჯაჭვს თანმიმდევრობით

დაიწყეთ გასაღებების რგოლიდან, რომელსაც პროფილი ასახელებს, შემდეგ დაადასტურეთ პროფილის სახელი, რომელზეც crypto map ან IPsec პროფილი მიუთითებს, და შემდეგ იპოვეთ ინტერფეისი, რომელიც ამ უკანასკნელ ობიექტს მოიხმარს. ჩაწერეთ ყოველი სახელი იმ ობიექტის გვერდით, რომელიც მას მოიხმარს; ეს მოკლე სია უფრო სასარგებლოა, ვიდრე იმის შემოწმება, რომ ყოველი მოსალოდნელი ბლოკი სადღაც კონფიგურაციაში არსებობს.

ჩვეულებრივი წყვეტები მექანიკურია. პროფილის სახელი ერთი სიმბოლოთი განსხვავდება იმისგან, რომელზეც crypto map მიუთითებს. crypto map არსებობს, მაგრამ არასოდეს გამოყენებულა ინტერფეისზე. tunnel protection ბრძანება მიუთითებს IPsec პროფილზე, რომელიც სხვა IKEv2 პროფილზე მიუთითებს. responder გარეშე გამოკვეთილი მიმაგრებისა დოკუმენტირებული შემთხვევაა, მაგრამ initiator მიმაგრების გარეშე უბრალოდ არ არის კონფიგურირებული ამ გზისთვის.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

წაიკითხეთ ნაწყვეტი ჯაჭვად და არა შაბლონად. ინტერფეისი ასახელებს IPsec პროფილს, IPsec პროფილი ასახელებს IKEv2 პროფილს, და IKEv2 პროფილი ასახელებს გასაღებების რგოლს. გატეხეთ რომელიმე ეს სახელი და კონფიგურაცია მაინც იშლება, ამიტომ მარშრუტიზატორი იღებს მას და გვირაბი ქვემოთ რჩება.

crypto map და tunnel protection ალტერნატივებია

Cisco ადოკუმენტებს ორ მიმაგრების წყობას. crypto map შეიძლება გამოყენებულ იქნას ინტერფეისზე და შეიძლება მიუთითოს IKEv2 პროფილზე თავისი set ბრძანებით. tunnel protection IPsec პროფილს ამაგრებს გვირაბის ინტერფეისზე. ორივე ვალიდურია და ისინი არ არის განკუთვნილი ერთად დაყენებისთვის ორმაგი დაცვის ღონისძიებად.

გვირაბის წყარო და დანიშნულება განსაზღვრავს გარე მიწოდების წყობას და ისინი განცალკევებულია დაცვის მიმაგრებისგან. LAN ინტერფეისი, გვირაბის ინტერფეისი და გარე წყაროს ინტერფეისი სამ სხვადასხვა როლს თამაშობს. LAN ინტერფეისზე არსებული crypto map არ იცავს გვირაბს, და გვირაბი, რომელზეც დაცვა ჩართულია, მაგრამ ხელმისაწვდომი წყაროს მისამართი არ აქვს, არასოდეს აგზავნის პაკეტს თავის peer-თან.

შეამოწმეთ ჩატვირთული მდგომარეობა და არა მხოლოდ ტექსტი. დაყენებულ გამოშვებას აქვს ბრძანებები, რომლებიც კონფიგურირებულ ობიექტებს მოლაპარაკებულ სესიას უკავშირებს, და სწორედ ისინი უნდა ციტიროთ ტიკეტში. შენახული კონფიგურაცია განზრახვას ამტკიცებს; სესიების ცხრილი გზას ამტკიცებს.

responder-ის გამონაკლისი წესი არ არის initiator-ებისთვის

IOS XE სახელმძღვანელო აღნიშნავს, რომ IKEv2 პროფილის გამოკვეთილი მიმაგრება responder-ზე შეიძლება სურვილისამებრ იყოს. ეს გამონაკლისი არ აშორებს ავთენტიფიკაციას ან იდენტობის შემოწმებებს და პროფილს სურვილისამებრ არ ხდის იმ მხარეს, რომელიც კავშირს იწყებს.

თუ თქვენი მარშრუტიზატორი იწყებს, მიმაგრება სავალდებულოდ მიიჩნიეთ და ბოლომდე მიჰყევით. თუ თქვენი მარშრუტიზატორი მხოლოდ პასუხობს, დაადასტურეთ რომელი პროფილი რეალურად დაემთხვა შემოსულ peer-ს, რადგან responder-ს შეუძლია პროფილი იდენტობით შეარჩიოს და არა ინტერფეისის მითითებით.

შეამოწმეთ გზა და არა შენახული კონფიგურაცია

როცა მიმაგრებები დაემთხვევა, გამოსცადეთ ერთი დაშვებული აპლიკაცია და ჩაწერეთ მისი შიდა წყარო, დანიშნულება და მარშრუტი. მარშრუტიზატორის მიერ წამოწყებულმა მოთხოვნამ შეიძლება გამოიყენოს სხვა წყაროს მისამართი, ვიდრე LAN-იდან გადაგზავნილი ტრაფიკი, და დაცვის არე შეიძლება მხოლოდ ერთ მათგანს ფარავდეს.

სწორად მიმაგრებული განსაზღვრება არ ამტკიცებს, რომ სელექტორები, დაბრუნების მარშრუტი და ინტერფეისის პოლიტიკა თქვენს ნაკადს ფარავს. გაგზავნეთ რეალური ტრაფიკი და წაიკითხეთ მოლაპარაკებული მდგომარეობა, შემდეგ გაიმეორეთ ხელახალი დაკავშირების შემდეგ, რომ იცოდეთ ჯაჭვი ახალ მოლაპარაკებას უძლებს. შეინარჩუნეთ განმარტება IOS XE IKEv2-ის ფარგლებში; ისტორიულ IKEv1 crypto map განლაგებას სხვა ობიექტური მოდელი აქვს და არ უნდა გამართოთ ამ ჯაჭვით.

როცა გვირაბი იმუშავებს, ჩაწერეთ ეს ოთხი სახელი ცვლილებების ჟურნალში. crypto map-ზე შემდეგი შემხები ადამიანს ისინი დასჭირდება, და ჯაჭვი დიზაინის ის ნაწილია, რომელსაც მოქმედი კონფიგურაცია არ ხსნის.