IKEv2 profils definēts, bet nav piesaistīts: izsekojiet ķēdi

IKEv2 profils ir saglabātajā konfigurācijā, atslēgu gredzens arī tur ir, un tunelis tomēr neceļas. Cisco IOS XE profils ir objekts, kas nes identitātes saskaņošanas un autentifikācijas izvēles, un objekts neko nedara, kamēr cits objekts uz to neatsaucas un saskarne nepievieno šo objektu ceļam. Lielākā daļa neveiksmīgo 1-fāzes atkļūdošanas sesiju izlaiž kādu no šīm atsaucēm. Lasiet ķēdi no atslēgu gredzena uz āru, pirms maināt jebkuru priekšlikumu vai politiku.

Kas īsti ir profila objekts

IKEv2 profils satur attālās identitātes saskaņošanu, vietējās un attālās autentifikācijas metodes un atsauci uz atslēgu gredzenu dizainiem ar iepriekš koplietotu atslēgu. Tas apraksta, kā tiek atpazīts peer un kā tas pierāda sevi, un nenosauc nevienu saskarni.

Atslēgu gredzens ir atsevišķs objekts, kas satur iepriekš koplietotās atslēgas. Crypto map vai IPsec profils ir trešais objekts, kas atsaucas uz IKEv2 profilu un nodrošina aizsardzības iestatījumus. Saskarnes piesaiste ir ceturtais solis, kur tiek lietots crypto map vai iespējota tunnel protection. Katrs lēciens ir atsevišķa atsauce, un trūkstošs lēciens liek katram objektam izskatīties pareizam atsevišķi.

Izsekojiet atsauču ķēdei secībā

Sāciet ar atslēgu gredzenu, ko nosauc profils, pēc tam apstipriniet profila nosaukumu, uz kuru atsaucas crypto map vai IPsec profils, un pēc tam atrodiet saskarni, kas patērē šo pēdējo objektu. Pierakstiet katru nosaukumu blakus objektam, kas to patērē; šis īsais saraksts ir noderīgāks par pārbaudi, vai katrs gaidītais bloks kaut kur konfigurācijā pastāv.

Ierastie pārrāvumi ir mehāniski. Profila nosaukums atšķiras ar vienu rakstzīmi no tā, uz kuru atsaucas crypto map. Crypto map pastāv, bet nekad netika lietots saskarnē. Komanda tunnel protection norāda uz IPsec profilu, kas atsaucas uz citu IKEv2 profilu. Responder bez skaidras piesaistes ir dokumentēts gadījums, bet initiator bez piesaistes vienkārši nav konfigurēts šim ceļam.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Lasiet fragmentu kā ķēdi, nevis kā veidni. Saskarne nosauc IPsec profilu, IPsec profils nosauc IKEv2 profilu, un IKEv2 profils nosauc atslēgu gredzenu. Pārtrauciet jebkuru no šiem nosaukumiem, un konfigurācija joprojām tiek parsēta, tāpēc maršrutētājs to pieņem un tunelis paliek lejā.

Crypto map un tunnel protection ir alternatīvas

Cisco dokumentē divus piesaistes izkārtojumus. Crypto map var lietot saskarnē, un tas var atsaukties uz IKEv2 profilu ar savu set komandu. Tunnel protection piesaista IPsec profilu tuneļa saskarnei. Abi ir derīgi, un tie nav paredzēti uzstādīšanai kopā kā dubultas drošības pasākums.

Tuneļa avots un galamērķis nosaka ārējo piegādes izkārtojumu, un tie ir atdalīti no aizsardzības piesaistes. LAN saskarne, tuneļa saskarne un ārējā avota saskarne pilda trīs dažādas lomas. Crypto map LAN saskarnē neaizsargā tuneli, un tunelis ar iespējotu aizsardzību, bet bez sasniedzamas avota adreses nekad nesūta paketi savam peer.

Pārbaudiet ielādēto stāvokli, ne tikai tekstu. Instalētajā laidienā ir komandas, kas savieno konfigurētos objektus ar sarunāto sesiju, un tieši tās jācitē pieteikumā. Saglabātā konfigurācija pierāda nodomu; sesiju tabula pierāda ceļu.

Responder izņēmums nav noteikums initiatoriem

IOS XE rokasgrāmata norāda, ka skaidra IKEv2 profila piesaiste responder var būt neobligāta. Šis izņēmums neatceļ autentifikāciju vai identitātes pārbaudes un nepadara profilu neobligātu tajā pusē, kas sāk savienojumu.

Ja jūsu maršrutētājs sāk, uzskatiet piesaisti par obligātu un izsekojiet tai no sākuma līdz beigām. Ja jūsu maršrutētājs tikai atbild, apstipriniet, kurš profils patiešām atbilda ienākošajam peer, jo responder var izvēlēties profilu pēc identitātes, nevis pēc saskarnes atsauces.

Pārbaudiet ceļu, nevis saglabāto konfigurāciju

Kad piesaistes sakrīt, pārbaudiet vienu atļautu lietojumprogrammu un pierakstiet tās iekšējo avotu, galamērķi un maršrutu. Maršrutētāja uzsākts pieprasījums var izmantot citu avota adresi nekā no LAN pārsūtītais trafiks, un aizsardzības tvērums var aptvert tikai vienu no tiem.

Pareizi piesaistīta definīcija nepierāda, ka selektori, atgriešanās maršruts un saskarnes politika aptver jūsu plūsmu. Sūtiet reālu trafiku un lasiet sarunāto stāvokli, pēc tam atkārtojiet pēc atkārtotas savienošanas, lai zinātu, ka ķēde pārdzīvo jaunu sarunu. Turiet skaidrojumu IOS XE IKEv2 ietvaros; vēsturiskam IKEv1 crypto map izvietojumam ir cits objektu modelis, un to nevajadzētu atkļūdot ar šo ķēdi.

Kad tunelis darbojas, ierakstiet šos četrus nosaukumus izmaiņu žurnālā. Nākamajam cilvēkam, kas aizskars crypto map, tie būs vajadzīgi, un ķēde ir tā dizaina daļa, ko darbības konfigurācija neizskaidro.