Қай VRF VPN серіктесіне жетеді және қайсысы пакетті тасымалдайды?

Тұтынушының маршруттау контекстінің ішіндегі әрбір туннель әлі де өзінің қашықтағы серіктесіне жетуі керек, және бұл іздеу мүлдем басқа кестеде орындалуы мүмкін. Мұны қате жасау VRF-ті білетін IPsec-тегі ең түсініксіз ақаулардың бірін тудырады: туннель көтеріледі, маршруттар бар болып көрінеді, ал трафик өледі, өйткені екі іздеудің біреуі қате контексті пайдаланған. Төмендегі төрт қадамды ретімен орындап, екі межені бөлек жазып алыңыз.

Екі іздеу, бір туннель

Сыртқы капсулаланған пакет серіктестің тасымалдау мекенжайына бағытталған және ол кез келген қорғаныс пайда болмай тұрып маршрутталады. Ішкі пакет тұтынушы серверіне бағытталған және декапсуляциядан кейін, тұтынушы контекстінің ішінде маршрутталады. Бұл екі меже, екі іздеу және көбіне екі түрлі кесте.

VRF-ті білетін IPsec үшін Cisco құжаттамасы оларды алдыңғы есік VRF және ішкі VRF деп атайды. Алдыңғы есік шифрланған тасымалды, ал ішкі контекст қорғалған трафикті тасымалдайды. Туннельді тұтынушының атымен атау екі маршруттың ешқайсысын да көрсетпейді.

Сондықтан конфигурацияны өзгертудің алдында төрт фактіні тізіп шығыңыз: серіктестің тасымалдау мекенжайы және оған жететін контекст, содан кейін сервер префиксі және оған жететін контекст. Егер төртеуін де толтыра алмасаңыз, сіз болжауға жақындап қалдыңыз. Бұл салада болжау қымбат, өйткені қате кестеге қосылған маршрут бір ағынды жұмыс істетіп, екіншісін үнсіз бұзуы мүмкін. Төрт фактіні жинау он минут алады және бір күндік түсірілім талдауын үнемдейді.

Серіктес үшін тасымалдау іздеуін растаңыз

Алдыңғы есіктен бастаңыз, өйткені серіктесіне жете алмайтын туннель ешбір қорғалған пакетті өткізбейді. IOS-те серіктеске барар маршрутты ғаламдық кестеден емес, тасымалдау VRF-інің ішінен сұраңыз.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Бірінші команда серіктес мекенжайы сол контексте қолжетімді ме, соған жауап береді, екіншісі нақты бар VRF-терді тізімдейді, ал үшіншісі қауіпсіздік ассоциациясы құрылғанын көрсетеді. Тек ғаламдық кестеде шешілетін серіктес мекенжайы алдыңғы есіктің классикалық қатесі, және ол ешқашан басталмайтын IKE келіссөзі ретінде көрінеді.

Интерфейс тағайындауын да тексеріңіз. Құжатталған мінез-құлық туннельдің алдыңғы есік VRF-і мен WAN интерфейсінің VRF-і сәйкес келуін талап етеді; сәйкессіздік пакеттің шығуына жол беріп, жауаптың дұрыс контексте өңделуіне кедергі келтіруі мүмкін.

Сервер үшін ішкі іздеуді растаңыз

Алдыңғы есік дәлелденгеннен кейін тұтынушы контекстіне өтіп, сервер префиксі туралы сол сұрақты қойыңыз. Бұл іздеу декапсуляцияланған пакетті одан әрі жіберуге болатынын шешеді.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Бірінші команда ішкі маршрутты көрсетеді, ал екіншісі сессия күйін платформа онымен байланыстырған контекстермен бірге көрсетеді. Егер маршрут бар болса, бірақ сессия мәліметтері қате ішкі контексті атаса, туннель тұтынушы префиксін білмейтін кестеге жібереді.

Ғаламдық кестедегі маршрут екі іздеудің ешқайсысы үшін дәлел емес. Ғаламдық маршруттар пакет VRF-пен байланысты болмаған кезде пайдаланылады, ал тұтынушы контекстіне тағайындалған туннель интерфейсі бұл байланысты өзгертеді. Егер ішкі маршрут жоқ болса, пакет декапсуляцияланады да, жіберу жазбасы жоқтығынан тасталады, бұл маршруттау қатесі емес, пакет жоғалтуына ұқсайды.

Параметрді модель күтетін жерге қойыңыз

Сол құжаттама конфигурация модельдерін ажыратады, және біреуіне жататын параметр міндетті түрде екіншісіне жатпайды. Туннель қорғанысын пайдаланатын туннель интерфейстері үшін ішкі VRF туннель интерфейсінде анықталады. crypto map негізіндегі шешімдерде ішкі VRF crypto map жазбасының бөлігі болып табылады. Рөлін тексермей ұқсас атаулы команданы модельдер арасында көшіру жұмыс істейтін шешімнің үзілісті болып кету жолы.

Маршруттау мен сәйкестік бөлек мәселелер. Қолжетімділік құрылғы қабылдайтын серіктес профилін ешқашан алмастырмайды, ал VRF атауын өзгерту ұсынылатын тіркелгі деректерін өзгертпеуі керек. Кез келген өзгерістен кейін екеуін де тексеріңіз, өйткені қате профильмен келіссөз жүргізетін туннель әлі де ассоциация құрып, ештеңе жібермеуі мүмкін.

Соңында, төрт фактіні және оларды дәлелдеген командаларды өзгерістер журналына жазыңыз. Келесі инженер туннельді мұра етеді, пайымдауды емес, және екі контексті атайтын қысқа жазба ешкім жаңартпайтын диаграммадан құндырақ.