IKEv2 профилі анықталған, бірақ тіркелмеген: тізбекті қадағалаңыз

Сақталған IKEv2 профилі — нысан, жол емес. 2-фазаны жөндеу алдында кілттер сақинасын, профильді, crypto map немесе IPsec профилін және интерфейске тіркелуді қадағалаңыз.

IKEv2 профилі сақталған конфигурацияда, кілттер сақинасы да сол жерде, бірақ туннель әлі көтерілмейді. Cisco IOS XE-де профиль — сәйкестікті сәйкестендіру мен аутентификация таңдауларын таситын нысан, ал нысан басқа нысан оған сілтеме жасап, интерфейс оны жолға тіркегенге дейін ештеңе істемейді. Сәтсіз 1-фазаны жөндеу сеанстарының көбісі осы сілтемелердің бірін өткізіп жібереді. Кез келген ұсынысты немесе саясатты өзгертуден бұрын тізбекті кілттер сақинасынан сыртқа қарай оқыңыз.

Профиль нысаны шын мәнінде не

IKEv2 профилі қашықтағы сәйкестікті сәйкестендіруді, жергілікті және қашықтағы аутентификация әдістерін және алдын ала ортақ кілтті жобалар үшін кілттер сақинасына сілтемені ұстайды. Ол peer қалай танылатынын және өзін қалай дәлелдейтінін сипаттайды және ешбір интерфейсті атамайды.

Кілттер сақинасы — алдын ала ортақ кілттерді ұстайтын бөлек нысан. Crypto map немесе IPsec профилі — IKEv2 профиліне сілтеме жасайтын және қорғаныс параметрлерін беретін үшінші нысан. Интерфейске тіркелу — төртінші қадам, онда crypto map қолданылады немесе tunnel protection қосылады. Әр секіріс — жеке сілтеме, ал жетіспейтін секіріс әр нысанды жеке алғанда дұрыс көрінетін етеді.

Сілтемелер тізбегін ретімен қадағалаңыз

Профиль атайтын кілттер сақинасынан бастаңыз, содан кейін crypto map немесе IPsec профилі сілтеме жасайтын профиль атауын растаңыз, содан кейін сол соңғы нысанды тұтынатын интерфейсті табыңыз. Әр атауды оны тұтынатын нысанның қасына жазыңыз; бұл қысқа тізім конфигурацияда күтілетін әр блоктың бар-жоғын тексеруден гөрі пайдалырақ.

Әдеттегі үзілістер механикалық. Профиль атауы crypto map сілтеме жасайтын атаудан бір таңбаға өзгеше. Crypto map бар, бірақ интерфейске ешқашан қолданылмаған. Tunnel protection командасы басқа IKEv2 профиліне сілтеме жасайтын IPsec профиліне нұсқайды. Айқын тіркелусіз responder — құжатталған жағдай, бірақ тіркелусіз initiator жай ғана бұл жолға конфигурацияланбаған.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Үзіндіні үлгі ретінде емес, тізбек ретінде оқыңыз. Интерфейс IPsec профилін атайды, IPsec профилі IKEv2 профилін атайды, IKEv2 профилі кілттер сақинасын атайды. Осы атаулардың кез келгенін үзсеңіз де конфигурация талданады, сондықтан маршрутизатор оны қабылдайды және туннель төменде қалады.

Crypto map және tunnel protection — баламалар

Cisco екі тіркелу үлгісін құжаттайды. Crypto map интерфейске қолданылуы мүмкін және өзінің set командасы арқылы IKEv2 профиліне сілтеме жасай алады. Tunnel protection IPsec профилін туннель интерфейсіне тіркейді. Екеуі де жарамды және олар қосарланған сақтандыру ретінде бірге орнатылуға арналмаған.

Туннельдің көзі мен межелі жері сыртқы жеткізу үлгісін анықтайды және олар қорғаныс тіркелуінен бөлек. LAN интерфейсі, туннель интерфейсі және сыртқы көз интерфейсі үш түрлі рөл атқарады. LAN интерфейсіндегі crypto map туннельді қорғамайды, ал қорғанысы қосылған, бірақ қолжетімді көз мекенжайы жоқ туннель өз peer-іне ешқашан пакет жібермейді.

Жүктелген күйді тексеріңіз, тек мәтінді ғана емес. Орнатылған шығарылымда конфигурацияланған нысандарды келісілген сеанспен байланыстыратын командалар бар, және дәл соларды тикетте келтіру керек. Сақталған конфигурация ниетті дәлелдейді; сеанстар кестесі жолды дәлелдейді.

Responder ерекшелігі initiator-лар үшін ереже емес

IOS XE нұсқаулығы responder-де IKEv2 профилінің айқын тіркелуі міндетті емес болуы мүмкін екенін атап өтеді. Бұл ерекшелік аутентификацияны немесе сәйкестік тексерулерін жоймайды және қосылымды бастайтын жақта профильді міндетті емес етпейді.

Маршрутизаторыңыз бастаса, тіркелуді міндетті деп қарастырып, оны басынан аяғына дейін қадағалаңыз. Маршрутизаторыңыз тек жауап берсе, кіріс peer-ге қай профиль шын мәнінде сәйкес келгенін растаңыз, өйткені responder профильді интерфейс сілтемесіне емес, сәйкестікке қарай таңдай алады.

Жолды тексеріңіз, сақталған конфигурацияны емес

Тіркелулер сәйкес келген соң, рұқсат етілген бір қосымшаны сынап, оның ішкі көзін, межелі жерін және маршрутын жазып алыңыз. Маршрутизатор бастаған сұраныс LAN-нан жіберілетін трафиктен өзгеше көз мекенжайын пайдалануы мүмкін, ал қорғаныс аясы тек біреуін қамтуы мүмкін.

Дұрыс тіркелген анықтама селекторлар, қайтару маршруты және интерфейс саясаты сіздің ағыныңызды қамтитынын дәлелдемейді. Нақты трафикті жіберіп, келісілген күйді оқыңыз, содан кейін қайта қосылғаннан кейін қайталаңыз, тізбек жаңа келіссөзге төтеп беретінін білу үшін. Түсіндірмені IOS XE IKEv2 шеңберінде ұстаңыз; тарихи IKEv1 crypto map орналастыруында басқа нысан моделі бар және оны бұл тізбекпен жөндеуге болмайды.

Туннель жұмыс істегенде сол төрт атауды өзгерістер журналына жазыңыз. Crypto map-қа келесі тиетін адамға олар қажет болады, ал тізбек — жұмыс істеп тұрған конфигурация түсіндірмейтін дизайн бөлігі.

Қатысты мақалалар