Wéi eng VRF erreecht de VPN-Peer a wéi eng dréit de Pak?

Jeden Tunnel bannent engem Routingkontext vum Client muss nach ëmmer säin entfernte Peer erreechen, an déi Recherche kann an enger ganz anerer Tabell geschéien. Dëst falsch ze maachen erzeugt ee vun de verwierrendsten Ausfäll an VRF-bewossten IPsec: den Tunnel kënnt erop, d'Route schéngen do ze sinn, an den Trafic stierft well eng vun den zwou Recherchen de falschen Kontext benotzt huet. Féiert déi véier Schrëtt hei drënner der Rei no aus a schreift déi zwou Destinatiounen getrennt op.

Zwou Recherchen, een Tunnel

De baussenzege verkapselte Pak ass un d'Transportadress vum Peer adresséiert, an en gëtt gerout ier iergendeng Schutz existéiert. De bannenzege Pak ass un e Client-Server adresséiert an en gëtt no der Dekapselung gerout, bannent dem Kontext vum Client. Dat sinn zwou Destinatiounen, zwou Recherchen an dacks zwou verschidden Tabellen.

D'Dokumentatioun vun Cisco fir VRF-bewossten IPsec nennt se Frontdier-VRF an Innen-VRF. D'Frontdier dréit den verschlësselten Transport, an den Innenkontext dréit den geschützten Trafic. Näischt dovun, en Tunnel no engem Client ze nennen, léisst eng vun den zwou Route erschéngen.

Also lëscht véier Fakten op ier Dir eng Konfiguratioun ännert: d'Transportadress vum Peer an de Kontext deen derbäi kënnt, dann de Prefix vum Server an de Kontext deen derbäi kënnt. Wann Dir net all véier kënnt ausfëllen, sidd Dir amgaangs ze roden. Roden op dësem Gebitt ass deier, well eng Route déi an déi falsch Tabell bäigefüügt gëtt, ee Floss ka schaffe loossen an en aneren onopfälleg briechen. Déi véier Fakte brauchen zéng Minutte fir ze sammelen a spuere vun engem Dag Capture-Analyse.

Bestätegt d'Transportrecherche fir de Peer

Fänkt mat der Frontdier un, well en Tunnel deen säi Peer net erreeche kann, ni ee geschützte Pak duerchléisst. Op IOS frot d'Route zum Peer bannent dem Transport-VRF an net an der globaler Tabell.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Déi éischt Kommando äntwert ob d'Peeradress an deem Kontext erreechbar ass, déi zweet lëscht d'VRF'en op déi tatsächlech existéieren, an déi drëtt weist ob eng Sécherheetsassociatioun entstanen ass. Eng Peeradress déi nëmmen an der globaler Tabell opgeléist gëtt ass de klassesche Frontdierfehler, an en trëtt als IKE-Verhandlung op déi ni ufänkt.

Kontrolléiert och d'Zouweisung vum Interface. Dat dokumentéiert Verhalen verlaangt datt den Frontdier-VRF vum Tunnel an den VRF vum WAN-Interface iwwereneestëmmen; eng Onstëmmegkeet kann e Pak erausgoen loossen an awer verhënneren datt d'Äntwert am richtege Kontext verschafft gëtt.

Bestätegt d'Innenrecherche fir de Server

Wann d'Frontdier bewisen ass, wiesselt an de Kontext vum Client a stellt déiselwecht Fro iwwer de Prefix vum Server. Dës Recherche entscheet ob e dekapselte Pak ka viru geschéckt ginn.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Déi éischt Kommando weist déi bannescht Route, an déi zweet weist den Zoustand vun der Sessioun zesumme mat de Kontexter déi d'Plattform domat verbonnen huet. Wann d'Route existéiert awer d'Sessiounsdetailer den falschen Innenkontext nennen, schéckt den Tunnel an eng Tabell déi de Prefix vum Client net kennt.

Eng Route an der globaler Tabell ass kee Beweis fir eng vun den zwou Recherchen. Global Route ginn benotzt wann e Pak net mat engem VRF verbonnen ass, an en Tunnel-Interface deen engem Clientkontext zougewisen ass ännert déi Verbindung. Wann déi bannescht Route feelt, gëtt de Pak dekapselt an duerno wéinst fehlendem Weiderleedungsandrock verworf, wat wéi Pakverloscht ausgesäit an net wéi e Routingfehler.

Setzt d'Astellung do wou de Modell se erwaart

Déiselwecht Dokumentatioun ënnerscheet Konfiguratiounsmodeller, an eng Astellung déi zu engem gehéiert gehéiert net onbedéngt zu engem aneren. Fir Tunnel-Interface mat Tunnelschutz gëtt den Innen-VRF um Tunnel-Interface definéiert. Fir Konzepter op Basis vu crypto map ass den Innen-VRF Deel vum crypto map-Androck. Eng ähnlech genannte Kommando tëscht Modeller ze verréckelen ouni hir Roll ze kontrolléieren ass de Wee wéi en funktionéierend Konzept onreegelméisseg gëtt.

Routing an Identitéit sinn getrennt Saachen. Erreechbarkeet ersetzt ni e Peerprofil deen d'Apparat akzeptéiert, an eng Ëmbenennung vum VRF däerf d'ugebuede Umeldungsdaten net änneren. Kontrolléiert béid no all Ännerung, well en Tunnel dee mam falsche Profil verhandelt kann nach ëmmer eng Associatioun bilde an näischt weiderleeden.

Zum Schluss notéiert déi véier Fakten an d'Kommandos déi se bewisen hunn am Ännerungsprotokoll. Den nächsten Ingenieur ierft den Tunnel an net d'Begrënnung, an eng kuerz Notiz déi béid Kontexter nennt ass méi wäert wéi en Diagramm deen keen aktualiséiert.