Kuris VRF pasiekia VPN partnerį, o kuris neša paketą?

Kiekvienas tunelis kliento maršrutizavimo kontekste vis tiek turi pasiekti savo nuotolinį partnerį, ir ta paieška gali vykti visiškai kitoje lentelėje. Tai padarius neteisingai atsiranda vienas iš painiausių VRF suvokiančio IPsec gedimų: tunelis pakyla, maršrutai atrodo esantys, o srautas miršta, nes viena iš dviejų paieškų panaudojo netinkamą kontekstą. Atlikite keturis toliau pateiktus veiksmus iš eilės ir užsirašykite abu tikslus atskirai.

Dvi paieškos, vienas tunelis

Išorinis inkapsuliuotas paketas adresuotas partnerio transporto adresui ir maršrutizuojamas prieš atsirandant bet kokiai apsaugai. Vidinis paketas adresuotas kliento serveriui ir maršrutizuojamas po dekapsuliavimo, kliento kontekste. Tai du tikslai, dvi paieškos ir dažnai dvi skirtingos lentelės.

Cisco dokumentacija apie VRF suvokiantį IPsec juos vadina priekinių durų VRF ir vidiniu VRF. Priekinės durys neša šifruotą transportą, o vidinis kontekstas – apsaugotą srautą. Niekas nepadarys to, kad tunelis pavadintas kliento vardu – nė vienas maršrutas nuo to neatsiras.

Taigi prieš keisdami konfigūraciją išvardykite keturis faktus: partnerio transporto adresą ir jį pasiekiantį kontekstą, tada serverio prefiksą ir jį pasiekiantį kontekstą. Jei negalite užpildyti visų keturių, tuoj spėliosite. Spėlioti šioje srityje brangu, nes į netinkamą lentelę įtrauktas maršrutas gali leisti vienam srautui veikti, tyliai sulaužydamas kitą. Keturių faktų surinkimas užtrunka dešimt minučių ir sutaupo dieną įrašų analizės.

Patvirtinkite partnerio transporto paiešką

Pradėkite nuo priekinių durų, nes tunelis, kuris negali pasiekti savo partnerio, niekada nepraleis nė vieno apsaugoto paketo. IOS aplinkoje klauskite maršruto iki partnerio transporto VRF viduje, o ne globalioje lentelėje.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Pirmoji komanda atsako, ar partnerio adresas pasiekiamas tame kontekste, antroji išvardija VRF, kurie tikrai egzistuoja, o trečioji parodo, ar susidarė saugumo asociacija. Partnerio adresas, kuris išsprendžiamas tik globalioje lentelėje, yra klasikinė priekinių durų klaida, ir ji pasireiškia kaip IKE derybos, kurios niekada neprasideda.

Patikrinkite ir sąsajos priskyrimą. Dokumentuotas elgesys reikalauja, kad tunelio priekinių durų VRF ir WAN sąsajos VRF sutaptų; neatitikimas gali leisti paketui išeiti ir vis tiek neleisti atsakymui būti apdorotam tinkamame kontekste.

Patvirtinkite vidinę serverio paiešką

Kai priekinės durys įrodytos, pereikite į kliento kontekstą ir užduokite tą patį klausimą apie serverio prefiksą. Ši paieška nusprendžia, ar dekapsuliuotą paketą galima persiųsti toliau.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Pirmoji komanda rodo vidinį maršrutą, o antroji – sesijos būseną kartu su kontekstais, kuriuos platforma su ja susiejo. Jei maršrutas egzistuoja, bet sesijos informacija nurodo netinkamą vidinį kontekstą, tunelis persiunčia į lentelę, kuri nežino kliento prefikso.

Maršrutas globalioje lentelėje nėra įrodymas nė vienai iš dviejų paieškų. Globalūs maršrutai naudojami, kai paketas nesusietas su VRF, o kliento kontekstui priskirta tunelio sąsaja pakeičia tą ryšį. Jei vidinio maršruto nėra, paketas dekapsuliuojamas ir tada išmetamas dėl peradresavimo įrašo nebuvimo, o tai atrodo kaip paketų praradimas, o ne maršrutizavimo klaida.

Padėkite nustatymą ten, kur modelis jo tikisi

Ta pati dokumentacija skiria konfigūracijos modelius, ir vienam priklausantis nustatymas nebūtinai priklauso kitam. Tunelio sąsajoms su tunelio apsauga vidinis VRF apibrėžiamas tunelio sąsajoje. Sprendimuose, pagrįstuose crypto map, vidinis VRF yra crypto map įrašo dalis. Panašiai pavadintos komandos perkėlimas tarp modelių nepatikrinus jos vaidmens yra kelias, kuriuo veikiantis sprendimas tampa periodišku.

Maršrutizavimas ir tapatybė yra atskiri dalykai. Pasiekiamumas niekada nepakeičia partnerio profilio, kurį įrenginys priims, o VRF pervadinimas neturi keisti siūlomų kredencialų. Po kiekvieno pakeitimo patikrinkite abu, nes tunelis, derantis su netinkamu profiliu, vis tiek gali sudaryti asociaciją ir nieko nepersiųsti.

Galiausiai įrašykite keturis faktus ir juos įrodžiusias komandas į pakeitimų žurnalą. Kitas inžinierius paveldės tunelį, o ne samprotavimą, ir trumpa pastaba, įvardijanti abu kontekstus, verta daugiau nei diagrama, kurios niekas neatnaujina.