IKEv2 профили аныкталган, бирок туташтырылган эмес: чынжырды көзөмөлдөңүз

Сакталган IKEv2 профили — объект, жол эмес. 2-фазаны мүчүлүштүктөн арылтуудан мурун ачкыч шакегин, профилди, crypto map же IPsec профилин жана интерфейске туташтырууну көзөмөлдөңүз.

IKEv2 профили сакталган конфигурацияда, ачкыч шакеги да ошол жерде, бирок туннель дагы эле көтөрүлбөйт. Cisco IOS XEде профиль — идентификацияны дал келтирүү жана аутентификация тандоолорун алып жүргөн объект, ал эми объект башка объект ага шилтеме кылмайынча жана интерфейс аны жолго туташтырмайынча эч нерсе кылбайды. Ийгиликсиз 1-фазаны мүчүлүштүктөн арылтуу сеанстарынын көбү ушул шилтемелердин бирин өткөрүп жиберет. Ар кандай сунушту же саясатты өзгөртүүдөн мурун чынжырды ачкыч шакегинен сыртка карай окуңуз.

Профиль объектиси чындыгында эмне

IKEv2 профили алыскы идентификацияны дал келтирүүнү, жергиликтүү жана алыскы аутентификация ыкмаларын жана алдын ала бөлүшүлгөн ачкыч долбоорлору үчүн ачкыч шакегине шилтемени сактайт. Ал peer кантип таанылаарын жана өзүн кантип далилдей аларын сүрөттөйт жана эч бир интерфейсти атабайт.

Ачкыч шакеги — алдын ала бөлүшүлгөн ачкычтарды сактаган өзүнчө объект. Crypto map же IPsec профили — IKEv2 профилине шилтеме кылган жана коргоо жөндөөлөрүн берген үчүнчү объект. Интерфейске туташтыруу — төртүнчү кадам, анда crypto map колдонулат же tunnel protection күйгүзүлөт. Ар бир секирик өзүнчө шилтеме, ал эми жетишпеген секирик ар бир объектти өзүнчө алганда туура көрүнүшүнө жол берет.

Шилтемелер чынжырын тартиби менен көзөмөлдөңүз

Профиль атаган ачкыч шакегинен баштаңыз, андан кийин crypto map же IPsec профили шилтеме кылган профиль атын ырастаңыз, анан ошол акыркы объектти керектеген интерфейсти табыңыз. Ар бир атты аны керектеген объекттин жанына жазыңыз; бул кыска тизме конфигурацияда күтүлгөн ар бир блоктун бар-жоктугун текшерүүдөн пайдалуураак.

Кадимки үзүлүштөр механикалык. Профиль аты crypto map шилтеме кылган аттан бир белги менен айырмаланат. Crypto map бар, бирок интерфейске эч качан колдонулган эмес. Tunnel protection буйругу башка IKEv2 профилине шилтеме кылган IPsec профилин көрсөтөт. Так туташуусу жок responder — документтештирилген учур, бирок туташуусу жок initiator жөн гана бул жолго конфигурацияланбаган.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Үзүндүнү үлгү катары эмес, чынжыр катары окуңуз. Интерфейс IPsec профилин атайт, IPsec профили IKEv2 профилин атайт, IKEv2 профили ачкыч шакегин атайт. Ошол аттардын бирин үзсөңүз да конфигурация талданат, ошондуктан маршрутизатор аны кабыл алат жана туннель төмөндө калат.

Crypto map жана tunnel protection — альтернативалар

Cisco эки туташтыруу жайгашуусун документтештирет. Crypto map интерфейске колдонулушу мүмкүн жана өзүнүн set буйругу аркылуу IKEv2 профилине шилтеме кыла алат. Tunnel protection IPsec профилин туннель интерфейсине туташтырат. Экөө тең жарактуу жана алар кош кабат камсыздандыруу катары чогуу орнотууга арналган эмес.

Туннелдин булагы жана багыты тышкы жеткирүү жайгашуусун аныктайт жана алар коргоо туташуусунан өзүнчө. LAN интерфейси, туннель интерфейси жана тышкы булак интерфейси үч түрдүү ролду аткарат. LAN интерфейсиндеги crypto map туннелди коргобойт, ал эми коргоосу күйгүзүлгөн, бирок жеткиликтүү булак дареги жок туннель өз peerине эч качан пакет жибербейт.

Жүктөлгөн абалды текшериңиз, текстти гана эмес. Орнотулган чыгарылышта конфигурацияланган объектилерди келишилген сеанс менен байланыштырган буйруктар бар, жана дал ошолорду тикетте келтирүү керек. Сакталган конфигурация ниетти далилдейт; сеанстар таблицасы жолду далилдейт.

Responder эрежесиздиги initiatorлар үчүн эреже эмес

IOS XE колдонмосу responderде IKEv2 профилин так туташтыруу милдеттүү эмес болушу мүмкүн экенин белгилейт. Бул эрежесиздик аутентификацияны же идентификация текшерүүлөрүн алып салбайт жана байланышты баштаган тарапта профилди милдеттүү эмес кылбайт.

Маршрутизаторуңуз баштаса, туташтырууну милдеттүү деп эсептеңиз жана аны башынан аягына чейин көзөмөлдөңүз. Маршрутизаторуңуз жооп берсе гана, кирүүчү peerге кайсы профиль чындыгында дал келгенин ырастаңыз, анткени responder профилди интерфейс шилтемесине эмес, идентификацияга карап тандай алат.

Жолду текшериңиз, сакталган конфигурацияны эмес

Туташуулар дал келгенден кийин, уруксат берилген бир тиркемени сынап, анын ички булагын, багытын жана маршрутун жазып алыңыз. Маршрутизатор баштаган сурам LANдан өткөрүлгөн трафиктен башка булак дарегин колдонушу мүмкүн, ал эми коргоо камтылышы алардын бирин гана камтышы мүмкүн.

Туура туташтырылган аныктама селекторлор, кайтаруу маршруту жана интерфейс саясаты сиздин агымыңызды камтый турганын далилдебейт. Реалдуу трафикти жиберип, келишилген абалды окуңуз, андан кийин кайра туташкандан кийин кайталаңыз, чынжыр жаңы сүйлөшүүгө туруштук берерин билүү үчүн. Түшүндүрмөнү IOS XE IKEv2 чегинде кармаңыз; тарыхый IKEv1 crypto map жайгаштыруусунда башка объект модели бар жана аны бул чынжыр менен мүчүлүштүктөн арылтууга болбойт.

Туннель иштегенде ошол төрт атты өзгөрүүлөр журналына жазыңыз. Crypto mapке кийинки тийген адамга алар керек болот, ал эми чынжыр — иштеп жаткан конфигурация түшүндүрбөгөн долбоордун бөлүгү.

Тектеш макалалар