IKEv2 프로필이 정의되었지만 연결되지 않음: 연쇄를 추적하라

IKEv2 프로필은 저장된 구성에 있고 키 링도 거기 있지만 터널은 여전히 올라오지 않습니다. Cisco IOS XE에서 프로필은 ID 매칭과 인증 선택을 담는 객체이며, 다른 객체가 그것을 참조하고 인터페이스가 그 객체를 경로에 붙이기 전까지 객체는 아무것도 하지 않습니다. 실패한 1단계 디버깅 세션의 대부분은 이 참조 중 하나를 건너뜁니다. 제안이나 정책을 바꾸기 전에 키 링에서 바깥쪽으로 연쇄를 읽으세요.

프로필 객체란 실제로 무엇인가

IKEv2 프로필은 원격 ID 매칭, 로컬 및 원격 인증 방법, 사전 공유 키 설계를 위한 키 링 참조를 담습니다. 피어가 어떻게 인식되고 스스로를 어떻게 증명하는지 설명하며, 어떤 인터페이스도 지목하지 않습니다.

키 링은 사전 공유 키를 담는 별도 객체입니다. crypto map 또는 IPsec 프로필은 IKEv2 프로필을 참조하고 보호 설정을 제공하는 세 번째 객체입니다. 인터페이스 연결은 네 번째 단계로, 여기서 crypto map이 적용되거나 tunnel protection이 활성화됩니다. 각 홉은 별개의 참조이며, 빠진 홉은 모든 객체를 따로 볼 때는 올바르게 보이게 합니다.

참조 연쇄를 순서대로 따라가라

프로필이 지목하는 키 링에서 시작하고, 다음으로 crypto map 또는 IPsec 프로필이 참조하는 프로필 이름을 확인하고, 마지막으로 그 객체를 소비하는 인터페이스를 찾으세요. 각 이름을 그것을 소비하는 객체 옆에 적으세요. 이 짧은 목록은 구성 어딘가에 기대하는 블록이 있는지 확인하는 것보다 유용합니다.

흔한 단절은 기계적입니다. 프로필 이름이 crypto map이 참조하는 이름과 한 글자 다릅니다. crypto map은 있지만 인터페이스에 적용된 적이 없습니다. tunnel protection 명령이 다른 IKEv2 프로필을 참조하는 IPsec 프로필을 가리킵니다. 명시적 연결이 없는 responder는 문서화된 사례이지만, 연결이 없는 initiator는 그 경로에 구성되지 않은 것뿐입니다.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

이 스니펫을 템플릿이 아니라 연쇄로 읽으세요. 인터페이스가 IPsec 프로필을 지목하고, IPsec 프로필이 IKEv2 프로필을 지목하며, IKEv2 프로필이 키 링을 지목합니다. 그 이름 중 하나를 끊어도 구성은 여전히 파싱되므로 라우터는 받아들이고 터널은 내려간 채로 있습니다.

crypto map과 tunnel protection은 대안이다

Cisco는 두 가지 연결 방식을 문서화합니다. crypto map은 인터페이스에 적용할 수 있고 set 명령으로 IKEv2 프로필을 참조할 수 있습니다. tunnel protection은 IPsec 프로필을 터널 인터페이스에 연결합니다. 둘 다 유효하며, 이중 안전장치로 함께 설치하도록 만들어진 것이 아닙니다.

터널의 소스와 목적지는 외부 전달 방식을 규정하며 보호 연결과는 별개입니다. LAN 인터페이스, 터널 인터페이스, 외부 소스 인터페이스는 서로 다른 세 가지 역할을 합니다. LAN 인터페이스의 crypto map은 터널을 보호하지 않으며, 보호가 켜져 있어도 도달 가능한 소스 주소가 없는 터널은 피어에 패킷을 보내지 않습니다.

텍스트만이 아니라 로드된 상태를 확인하세요. 설치된 릴리스에는 구성된 객체를 협상된 세션에 연결하는 명령이 있으며, 티켓에는 바로 그것을 인용해야 합니다. 저장된 구성은 의도를 증명한다; 세션 테이블은 경로를 증명한다.

responder 예외는 initiator에 대한 규칙이 아니다

IOS XE 안내서는 responder에서 명시적 IKEv2 프로필 연결이 선택 사항일 수 있다고 언급합니다. 그 예외는 인증이나 ID 검사를 없애지 않으며, 연결을 시작하는 쪽에서 프로필을 선택 사항으로 만들지도 않습니다.

라우터가 시작한다면 연결을 필수로 보고 끝까지 추적하세요. 라우터가 응답만 한다면 들어오는 피어와 실제로 어떤 프로필이 일치했는지 확인하세요. responder는 인터페이스 참조가 아니라 ID로 프로필을 선택할 수 있기 때문입니다.

경로를 확인하라, 저장된 구성이 아니라

연결이 맞춰지면 허용된 애플리케이션 하나를 시험하고 그 내부 소스, 목적지, 경로를 기록하세요. 라우터가 시작한 요청은 LAN에서 전달되는 트래픽과 다른 소스 주소를 쓸 수 있고, 보호 범위는 둘 중 하나만 덮을 수 있습니다.

올바르게 연결된 정의는 셀렉터, 반환 경로, 인터페이스 정책이 당신의 흐름을 덮는다는 것을 증명하지 않습니다. 실제 트래픽을 보내고 협상된 상태를 읽은 뒤, 재연결 후에 다시 반복해 연쇄가 새 협상을 견디는지 확인하세요. 설명은 IOS XE IKEv2 범위로 한정하세요. 과거의 IKEv1 crypto map 배포는 객체 모델이 다르므로 이 연쇄로 디버그해서는 안 됩니다.

터널이 동작하면 그 네 이름을 변경 기록에 적으세요. 다음에 crypto map을 만지는 사람이 그것을 필요로 하며, 연쇄는 실행 중인 구성이 설명하지 않는 설계의 일부입니다.