IKEv2 profilis apibrėžtas, bet neprijungtas: sekite grandinę

Išsaugotas IKEv2 profilis yra objektas, o ne kelias. Sekite raktų žiedą, profilį, crypto map arba IPsec profilį ir sąsajos prijungimą prieš derindami 2 fazę.

IKEv2 profilis yra išsaugotoje konfigūracijoje, raktų žiedas taip pat ten, o tunelis vis tiek nekeliamas. Cisco IOS XE profilis yra objektas, kuris neša tapatybės sutapatinimo ir autentifikavimo pasirinkimus, ir objektas nieko nedaro, kol kitas objektas į jį nenurodo, o sąsaja neprijungia to objekto prie kelio. Dauguma nepavykusių 1 fazės derinimo sesijų praleidžia vieną iš tų nuorodų. Skaitykite grandinę nuo raktų žiedo į išorę prieš keisdami bet kokį pasiūlymą ar taisyklę.

Kas iš tikrųjų yra profilio objektas

IKEv2 profilis laiko nuotolinės tapatybės sutapatinimą, vietinius ir nuotolinius autentifikavimo metodus bei nuorodą į raktų žiedą dizainams su iš anksto bendrinamu raktu. Jis aprašo, kaip atpažįstamas peer ir kaip jis įrodo save, ir neįvardija jokios sąsajos.

Raktų žiedas yra atskiras objektas, laikantis iš anksto bendrinamus raktus. Crypto map arba IPsec profilis yra trečias objektas, kuris nurodo į IKEv2 profilį ir pateikia apsaugos nuostatas. Sąsajos prijungimas yra ketvirtas žingsnis, kuriame pritaikoma crypto map arba įjungiama tunnel protection. Kiekvienas šuolis yra atskira nuoroda, o trūkstamas šuolis palieka kiekvieną objektą atskirai atrodantį teisingai.

Sekite nuorodų grandinę iš eilės

Pradėkite nuo raktų žiedo, kurį įvardija profilis, tada patvirtinkite profilio pavadinimą, į kurį nurodo crypto map arba IPsec profilis, ir tada raskite sąsają, kuri naudoja tą paskutinį objektą. Užrašykite kiekvieną pavadinimą šalia objekto, kuris jį naudoja; šis trumpas sąrašas naudingesnis nei tikrinimas, ar kiekvienas laukiamas blokas yra kažkur konfigūracijoje.

Įprasti lūžiai yra mechaniniai. Profilio pavadinimas vienu simboliu skiriasi nuo to, į kurį nurodo crypto map. Crypto map egzistuoja, bet niekada nebuvo pritaikyta sąsajai. Komanda tunnel protection nurodo į IPsec profilį, kuris nurodo į kitą IKEv2 profilį. Responder be aiškaus prijungimo yra dokumentuotas atvejis, tačiau initiator be prijungimo tiesiog nėra sukonfigūruotas tam keliui.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Skaitykite ištrauką kaip grandinę, o ne kaip šabloną. Sąsaja įvardija IPsec profilį, IPsec profilis įvardija IKEv2 profilį, o IKEv2 profilis įvardija raktų žiedą. Nutraukite bet kurį iš tų pavadinimų ir konfigūracija vis tiek išanalizuojama, todėl maršrutizatorius ją priima, o tunelis lieka žemai.

Crypto map ir tunnel protection yra alternatyvos

Cisco dokumentuoja du prijungimo išdėstymus. Crypto map galima pritaikyti sąsajai ir ji gali nurodyti į IKEv2 profilį savo set komanda. Tunnel protection prijungia IPsec profilį prie tunelio sąsajos. Abu galioja, ir jie nėra skirti įdiegti kartu kaip dviguba apsaugos priemonė.

Tunelio šaltinis ir paskirties vieta nustato išorinį pristatymo išdėstymą, ir jie yra atskiri nuo apsaugos prijungimo. LAN sąsaja, tunelio sąsaja ir išorinė šaltinio sąsaja atlieka tris skirtingus vaidmenis. Crypto map LAN sąsajoje neapsaugo tunelio, o tunelis, kuriame apsauga įjungta, bet nėra pasiekiamo šaltinio adreso, niekada nesiunčia paketo savo peer.

Tikrinkite įkeltą būseną, o ne tik tekstą. Įdiegtoje versijoje yra komandų, kurios sujungia sukonfigūruotus objektus su suderėta sesija, ir būtent jas reikia cituoti biliete. Išsaugota konfigūracija įrodo ketinimą; sesijų lentelė įrodo kelią.

Responder išimtis nėra taisyklė initiatoriams

IOS XE vadovas pažymi, kad aiškus IKEv2 profilio prijungimas responderyje gali būti neprivalomas. Ta išimtis nepanaikina autentifikavimo ar tapatybės patikrinimų ir nepadaro profilio neprivalomo toje pusėje, kuri pradeda ryšį.

Jei jūsų maršrutizatorius pradeda, laikykite prijungimą privalomu ir sekite jį nuo pradžios iki pabaigos. Jei jūsų maršrutizatorius tik atsako, patvirtinkite, kuris profilis iš tikrųjų atitiko gaunamą peer, nes responder gali pasirinkti profilį pagal tapatybę, o ne pagal sąsajos nuorodą.

Tikrinkite kelią, o ne išsaugotą konfigūraciją

Kai prijungimai sutampa, išbandykite vieną leidžiamą programą ir užrašykite jos vidinį šaltinį, paskirties vietą ir maršrutą. Maršrutizatoriaus inicijuota užklausa gali naudoti kitą šaltinio adresą nei srautas, perduodamas iš LAN, o apsaugos apimtis gali apimti tik vieną iš jų.

Teisingai prijungtas apibrėžimas neįrodo, kad selektoriai, grįžimo maršrutas ir sąsajos taisyklė apima jūsų srautą. Siųskite tikrą srautą ir skaitykite suderėtą būseną, tada pakartokite po pakartotinio prisijungimo, kad žinotumėte, jog grandinė atlaiko naują derinimą. Laikykite paaiškinimą IOS XE IKEv2 ribose; istorinis IKEv1 crypto map diegimas turi kitą objektų modelį ir neturėtų būti derinamas šia grandine.

Kai tunelis veikia, įrašykite tuos keturis pavadinimus į pakeitimų žurnalą. Kitas žmogus, kuris palies crypto map, jų prireiks, o grandinė yra ta dizaino dalis, kurios veikianti konfigūracija nepaaiškina.

Susiję straipsniai