Кайсы VRF VPN өнөктөшүнө жетет жана кайсысы пакетти ташыйт?

Кардардын маршруттоо контекстинин ичиндеги ар бир туннель дагы эле өзүнүн алыскы өнөктөшүнө жетиши керек, жана бул издөө таптакыр башка таблицада болушу мүмкүн. Муну туура эмес кылуу VRF-ти билген IPsec ичиндеги эң татаал бузулуулардын бирин жаратат: туннель көтөрүлөт, маршруттар бар болуп көрүнөт, ал эми трафик өлөт, анткени эки издөөнүн бири туура эмес контекстти колдонгон. Төмөнкү төрт кадамды ирети менен аткарыңыз жана эки багытты өз-өзүнчө жазып алыңыз.

Эки издөө, бир туннель

Сырткы капсулага салынган пакет өнөктөштүн транспорттук дарегине багытталган жана ал кандайдыр бир коргоо пайда боло электе эле маршрутталат. Ички пакет кардардын серверине багытталган жана декапсуляциядан кийин, кардардын контекстинин ичинде маршрутталат. Бул эки багыт, эки издөө жана көбүнчө эки башка таблица.

VRF-ти билген IPsec үчүн Cisco документтери аларды алдыңкы эшик VRF жана ички VRF деп атайт. Алдыңкы эшик шифрленген транспортту, ал эми ички контекст корголгон трафикти ташыйт. Туннелди кардардын аты менен атоо эки маршруттун бирин да көрсөтпөйт.

Ошондуктан конфигурацияны өзгөртүүдөн мурун төрт фактыны тизмелеңиз: өнөктөштүн транспорттук дареги жана ага жетүүчү контекст, андан кийин сервердин префикси жана ага жетүүчү контекст. Эгерде төртөөнү тең толтура албасаңыз, сиз божомолдоого жакындап калдыңыз. Бул тармакта божомолдоо кымбат, анткени туура эмес таблицага кошулган маршрут бир агымды иштетип, экинчисин унчукпай бузушу мүмкүн. Төрт фактыны жыйноо он мүнөт алат жана бир күндүк жазууну талдоону үнөмдөйт.

Өнөктөш үчүн транспорттук издөөнү ырастаңыз

Алдыңкы эшиктен баштаңыз, анткени өнөктөшүнө жете албаган туннель бир да корголгон пакетти өткөрбөйт. IOS-то өнөктөшкө бара турган маршрутты глобалдык таблицадан эмес, транспорттук VRFдин ичинен сураңыз.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Биринчи буйрук өнөктөштүн дареги ошол контекстте жеткиликтүүбү дегенге жооп берет, экинчиси чындап бар VRFтерди тизмелейт, ал эми үчүнчүсү коопсуздук ассоциациясы түзүлгөнүн көрсөтөт. Глобалдык таблицада гана чечилген өнөктөштүн дареги алдыңкы эшиктин классикалык катасы жана ал эч качан башталбаган IKE сүйлөшүүсү катары көрүнөт.

Интерфейс ыйгарууну да текшериңиз. Документтелген жүрүм-турум туннелдин алдыңкы эшик VRFи менен WAN интерфейсинин VRFи дал келишин талап кылат; дал келбестик пакеттин чыгышына жол берип, жооптун туура контекстте иштетилишине тоскоол болушу мүмкүн.

Сервер үчүн ички издөөнү ырастаңыз

Алдыңкы эшик далилденгенден кийин кардардын контекстине өтүп, сервердин префикси жөнүндө ошол эле суроону бериңиз. Бул издөө декапсуляцияланган пакетти андан ары жөнөтүүгө болобу деп чечет.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Биринчи буйрук ички маршрутту көрсөтөт, ал эми экинчиси сессиянын абалын платформа ага байлаган контексттер менен кошо көрсөтөт. Эгерде маршрут бар болсо, бирок сессиянын чоо-жайы туура эмес ички контекстти атаса, туннель кардардын префиксин билбеген таблицага жөнөтүп жатат.

Глобалдык таблицадагы маршрут эки издөөнүн бири үчүн да далил эмес. Глобалдык маршруттар пакет VRF менен байланышпаган учурда колдонулат, ал эми кардардын контекстине ыйгарылган туннель интерфейси бул байланышты өзгөртөт. Эгерде ички маршрут жок болсо, пакет декапсуляцияланып, андан кийин жөнөтүү жазуусу жоктугунан ыргытылат, бул маршруттоо катасы эмес, пакет жоготуусуна окшош.

Жөндөөнү модел күткөн жерге коюңуз

Ошол эле документтер конфигурация моделдерин ажыратат жана бирине тиешелүү жөндөө сөзсүз түрдө экинчисине тиешелүү эмес. Туннель коргоосун колдонгон туннель интерфейстери үчүн ички VRF туннель интерфейсинде аныкталат. crypto map негизиндеги чечимдерде ички VRF crypto map жазуусунун бөлүгү болуп саналат. Ролун текшербестен окшош аттуу буйрукту моделдердин ортосунда которуу иштеген чечимдин үзгүлтүктүү болушунун жолу.

Маршруттоо жана инсандык өзүнчө маселелер. Жеткиликтүүлүк түзмөк кабыл ала турган өнөктөш профилин эч качан алмаштырбайт, ал эми VRF атын өзгөртүү сунушталган ыйгарым укуктарды өзгөртпөшү керек. Ар кандай өзгөртүүдөн кийин экөөнү тең текшериңиз, анткени туура эмес профиль менен сүйлөшкөн туннель дагы эле ассоциация түзүп, эч нерсе жөнөтпөшү мүмкүн.

Акырында, төрт фактыны жана аларды далилдеген буйруктарды өзгөртүүлөр журналына жазыңыз. Кийинки инженер туннелди мураска алат, ой жүгүртүүнү эмес, жана эки контекстти атаган кыска жазуу эч ким жаңыртпаган диаграммадан кымбат.