რომელი VRF აღწევს VPN პარტნიორამდე და რომელი ატარებს პაკეტს?

მომხმარებლის მარშრუტიზაციის კონტექსტში მყოფმა ყოველმა გვირაბმა მაინც უნდა მიაღწიოს თავის დისტანციურ პარტნიორამდე და ეს ძიება შეიძლება სრულიად სხვა ცხრილში მოხდეს. ამის არასწორად გაკეთება წარმოქმნის VRF-ის მცოდნე IPsec-ის ერთ-ერთ ყველაზე დამაბნეველ ხარვეზს: გვირაბი ადის, მარშრუტები თითქოს არსებობს და ტრაფიკი იღუპება, რადგან ორი ძიებიდან ერთმა არასწორი კონტექსტი გამოიყენა. შეასრულეთ ქვემოთ მოცემული ოთხი ნაბიჯი რიგითად და ორი დანიშნულება ცალკე ჩაიწერეთ.

ორი ძიება, ერთი გვირაბი

გარე დაკაფსულებული პაკეტი მიმართულია პარტნიორის ტრანსპორტის მისამართზე და ის მარშრუტიზდება ნებისმიერი დაცვის არსებობამდე. შიდა პაკეტი მიმართულია მომხმარებლის სერვერზე და მარშრუტიზდება დეკაფსულაციის შემდეგ, მომხმარებლის კონტექსტის შიგნით. ეს არის ორი დანიშნულება, ორი ძიება და ხშირად ორი სხვადასხვა ცხრილი.

Cisco-ს დოკუმენტაცია VRF-ის მცოდნე IPsec-ის შესახებ მათ წინა კარის VRF და შიდა VRF-ს უწოდებს. წინა კარი ატარებს დაშიფრულ ტრანსპორტს, ხოლო შიდა კონტექსტი ატარებს დაცულ ტრაფიკს. გვირაბის მომხმარებლის სახელზე დარქმევა არც ერთ მარშრუტს არ აჩენს.

ამიტომ კონფიგურაციის შეცვლამდე ჩამოთვალეთ ოთხი ფაქტი: პარტნიორის ტრანსპორტის მისამართი და კონტექსტი, რომელიც მას აღწევს, შემდეგ სერვერის პრეფიქსი და კონტექსტი, რომელიც მას აღწევს. თუ ოთხივეს ვერ შეავსებთ, თქვენ ხართ გამოცნობის წინ. ამ სფეროში გამოცნობა ძვირია, რადგან არასწორ ცხრილში დამატებულმა მარშრუტმა შეიძლება ერთი ნაკადი ამუშაოს და მეორე ჩუმად გატეხოს. ოთხი ფაქტის შეგროვებას ათი წუთი სჭირდება და ერთ დღეს ზოგავს ამოღების ანალიზში.

დაადასტურეთ პარტნიორის ტრანსპორტის ძიება

დაიწყეთ წინა კარიდან, რადგან გვირაბი, რომელიც თავის პარტნიორამდე ვერ აღწევს, არასოდეს გაატარებს ერთ დაცულ პაკეტს. IOS-ზე მოითხოვეთ მარშრუტი პარტნიორამდე ტრანსპორტის VRF-ის შიგნით და არა გლობალურ ცხრილში.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

პირველი ბრძანება პასუხობს, არის თუ არა პარტნიორის მისამართი ხელმისაწვდომი ამ კონტექსტში, მეორე ჩამოთვლის რეალურად არსებულ VRF-ებს, ხოლო მესამე აჩვენებს, ჩამოყალიბდა თუ არა უსაფრთხოების ასოციაცია. პარტნიორის მისამართი, რომელიც მხოლოდ გლობალურ ცხრილში იხსნება, წინა კარის კლასიკური შეცდომაა და ის ისე ვლინდება, როგორც IKE მოლაპარაკება, რომელიც არასოდეს იწყება.

შეამოწმეთ ინტერფეისის მინიჭებაც. დოკუმენტირებული ქცევა მოითხოვს, რომ გვირაბის წინა კარის VRF და WAN ინტერფეისის VRF შეესაბამებოდეს; შეუსაბამობამ შეიძლება პაკეტი გაატაროს და მაინც ხელი შეუშალოს პასუხის სწორ კონტექსტში დამუშავებას.

დაადასტურეთ სერვერის შიდა ძიება

წინა კარის დამტკიცების შემდეგ გადადით მომხმარებლის კონტექსტზე და დასვით იგივე კითხვა სერვერის პრეფიქსზე. ეს ძიება წყვეტს, შეიძლება თუ არა დეკაფსულირებული პაკეტის შემდგომი გაგზავნა.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

პირველი ბრძანება აჩვენებს შიდა მარშრუტს, ხოლო მეორე სესიის მდგომარეობას პლატფორმის მიერ მასზე მიბმულ კონტექსტებთან ერთად. თუ მარშრუტი არსებობს, მაგრამ სესიის დეტალები არასწორ შიდა კონტექსტს ასახელებს, გვირაბი აგზავნის ცხრილში, რომელმაც მომხმარებლის პრეფიქსი არ იცის.

გლობალურ ცხრილში არსებული მარშრუტი არც ერთი ძიებისთვის მტკიცებულება არ არის. გლობალური მარშრუტები გამოიყენება, როცა პაკეტი VRF-თან დაკავშირებული არ არის, ხოლო მომხმარებლის კონტექსტზე მინიჭებული გვირაბის ინტერფეისი ცვლის ამ კავშირს. თუ შიდა მარშრუტი აკლია, პაკეტი დეკაფსულირდება და შემდეგ იშლება გადაგზავნის ჩანაწერის არარსებობის გამო, რაც პაკეტის დაკარგვას ჰგავს და არა მარშრუტიზაციის შეცდომას.

მოათავსეთ პარამეტრი იქ, სადაც მოდელი მას ელის

იგივე დოკუმენტაცია განასხვავებს კონფიგურაციის მოდელებს და ერთს რომ მიეკუთვნება, პარამეტრი სულაც არ ეკუთვნის მეორეს. გვირაბის დაცვას იყენებს გვირაბის ინტერფეისებზე შიდა VRF განისაზღვრება გვირაბის ინტერფეისზე. crypto map-ზე დაფუძნებულ გადაწყვეტებში შიდა VRF crypto map-ის ჩანაწერის ნაწილია. მსგავსად დარქმეული ბრძანების მოდელებს შორის გადატანა მისი როლის შემოწმების გარეშე ის გზაა, რომლითაც მომუშავე გადაწყვეტა შეწყვეტილი ხდება.

მარშრუტიზაცია და იდენტობა ცალკეული საკითხებია. ხელმისაწვდომობა არასოდეს ცვლის იმ პარტნიორის პროფილს, რომელსაც მოწყობილობა მიიღებს და VRF-ის გადარქმევამ არ უნდა შეცვალოს შემოთავაზებული რწმუნებათა სიგელები. შეამოწმეთ ორივე ყოველი ცვლილების შემდეგ, რადგან არასწორ პროფილთან მოლაპარაკე გვირაბს მაინც შეუძლია ასოციაცია ჩამოაყალიბოს და არაფერი გადასცეს.

და ბოლოს, ჩაწერეთ ოთხი ფაქტი და ის ბრძანებები, რომლებმაც ისინი დაამტკიცეს, ცვლილებების ჟურნალში. შემდეგი ინჟინერი მემკვიდრეობით მიიღებს გვირაბს და არა მსჯელობას, და მოკლე ჩანაწერი, რომელიც ორივე კონტექსტს ასახელებს, უფრო ღირებულია, ვიდრე დიაგრამა, რომელსაც არავინ აახლებს.