IKEv2-Profil definéiert, awer net ugeschloss: der Kette nogoen

Den IKEv2-Profil steet an der gespäicherter Konfiguratioun, de Schlësselring ass och do, an den Tunnel kënnt trotzdem net erop. Op Cisco IOS XE ass en Profil en Objekt, deen Identitéits-Auswiel an Autorisatiouns-Auswiel dréit, an en Objekt mécht näischt, bis en anert Objekt drop verweist an eng Interface d'Objekt un e Wee uschléisst. Déi meescht feelgeschloe Phase 1 Debug-Sessiounen iwwersprangen eng vun dëse Referenzen. Liest d'Kette vum Schlësselring no baussen, ier Dir eng Propositioun oder eng Policy ännert.

Wat en Profilobjekt tatsächlech ass

Den IKEv2-Profil hält d'Ugräifung vun der wäiter Identitéit, déi lokal an déi wäit Autorisatiounsmethoden an eng Referenz op e Schlësselring fir Designe mat virugedeelte Schlësselen. En beschreift, wéi e Peer erkannt gëtt a wéi en sech bewisen, an en nennt keng Interface.

De Schlësselring ass en eegene Objekt, deen déi virugedeelte Schlësselen hält. D'crypto map oder den IPsec-Profil ass en drëtten Objekt, deen op den IKEv2-Profil verweist an d'Schutzaastellungen liwwert. D'Interface-Uschloss ass de véierte Schrëtt, wou eng crypto map ugewannt oder tunnel protection ageschalt gëtt. All Sprong ass eng eege Referenz, an e fehlende Sprong léisst all Objekt eleng richteg ausgesinn.

Verfollegt d'Referenzkette an der Rei

Fänkt beim Schlësselring un, deen de Profil nennt, bestätegt duerno den Profilnumm, op deen d'crypto map oder den IPsec-Profil verweist, an fannt duerno d'Interface, déi dee leschten Objekt verbraucht. Schreift all Numm niewent den Objekt, deen en verbraucht; déi kuerz Lëscht ass méi nëtzlech wéi ze préiwen, ob all erwaarte Block iergendwou an der Konfiguratioun existéiert.

Déi üblech Bréch sinn mechanesch. En Profilnumm ënnerscheet sech an engem Zeechen vun deem, op deen d'crypto map verweist. D'crypto map existéiert, gouf awer ni op d'Interface ugewannt. D'Kommando tunnel protection weist op en IPsec-Profil, deen op en aneren IKEv2-Profil verweist. E Responder ouni explizit Uschloss ass en dokumentéierte Fall, awer en Initiator ouni Uschloss ass einfach net fir de Wee konfiguréiert.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Liest den Auszuch als Kette an net als Schabloun. D'Interface nennt den IPsec-Profil, den IPsec-Profil nennt den IKEv2-Profil, an den IKEv2-Profil nennt de Schlësselring. Brécht ee vun dësen Nimm an d'Konfiguratioun gëtt trotzdem geparst, dofir akzeptéiert den Router se an den Tunnel bleift ënnen.

Crypto map an tunnel protection sinn Alternativen

Cisco dokumentéiert zwou Uschlossvariante. Eng crypto map ka op eng Interface ugewannt ginn an ka iwwer hire set-Kommando op den IKEv2-Profil verweisen. Tunnel protection schléisst en IPsec-Profil un eng Tunnel-Interface. Béid si valabel, an se sinn net dofir geduecht, zesummen als Duebel-sécherheetsmoossnam installéiert ze ginn.

D'Quell an d'Zil vum Tunnel bestëmmen d'baussenzeg Liwwerung an se si vum Schutz-Uschloss getrennt. Eng LAN-Interface, d'Tunnel-Interface an d'baussenzeg Quell-Interface spillen dräi verschidde Rollen. Eng crypto map op der LAN-Interface schützt den Tunnel net, an en Tunnel mat ageschaltem Schutz awer ouni erreechbar Quelladress schéckt ni e Paket un säi Peer.

Kuckt de geluedenen Zoustand un, net just den Text. Déi installéiert Versioun huet Kommandoen, déi déi konfiguréiert Objeten un déi ausgemaach Sessioun verbannen, an déi sollt Dir an engem Ticket zitéieren. Eng gespäichert Konfiguratioun beweist d'Absicht; eng Sessionstabelle beweist de Wee.

D'Responder-Ausnam ass keng Regel fir Initiatoren

Den IOS XE-Guide bemierkt, datt en expliziten IKEv2-Profil-Uschloss bei engem Responder optional ka sinn. Déi Ausnam hëlt weder Autorisatioun nach Identitéitspréiwen ewech, an se mécht den Profil op der Säit, déi d'Verbindung ufänkt, net optional.

Wann Äre Router ufänkt, behandelt den Uschloss als obligatoresch a verfollegt en vum Ufank bis zum Enn. Wann Äre Router nëmmen äntwert, bestätegt wéi en Profil tatsächlech zum erakommende Peer gepasst huet, well e Responder e Profil iwwer d'Identitéit an net iwwer eng Interface-Referenz auswielen kann.

Préift de Wee, net déi gespäichert Konfiguratioun

Wann d'Uschléiss passen, test eng erlaabte Applikatioun a notéiert hir bannenzeg Quell, hiert Zil an hire Wee. Eng Ufro, déi vum Router ausgeléist gëtt, kann eng aner Quelladress benotzen wéi den Traffic, dee vum LAN weidergeleet gëtt, an de Schutzberäich deckt vläicht nëmmen eng vun deenen zwee of.

Eng richteg ugeschloss Definitioun beweist net, datt d'Selektoren, de Retourwee an d'Interface-Policy Äre Floss decken. Schéckt richtegen Traffic a liest den ausgemaachen Zoustand, widderhëlt dat no enger Neiverbindung, fir ze wëssen, datt d'Kette eng nei Verhandlung iwwersteet. Hält d'Erklärung am Kader vun IOS XE IKEv2; eng historesch IKEv1 crypto map-Installatioun huet en anert Objektmodell a sollt net mat dëser Kette gedebuggt ginn.

Schreift déi véier Nimm an de Verännerungsregistratur, wann den Tunnel funktionéiert. Déi nächst Persoun, déi d'crypto map ufässt, brauch se, an d'Kette ass deen Deel vum Design, deen d'lafend Konfiguratioun net erkläert.