Kurš VRF sasniedz VPN partneri un kurš pārvadā paketi?

Katram tunelim klienta maršrutēšanas kontekstā joprojām ir jāsasniedz savs attālais partneris, un šī meklēšana var notikt pavisam citā tabulā. To izdarot nepareizi, rodas viens no mulsinošākajiem VRF apzinātā IPsec bojājumiem: tunelis paceļas, maršruti šķietami ir, un trafiks iet bojā, jo viena no divām meklēšanām izmantoja nepareizo kontekstu. Izpildiet četrus tālāk minētos soļus secīgi un pierakstiet abus galamērķus atsevišķi.

Divas meklēšanas, viens tunelis

Ārējā iekapsulētā pakete ir adresēta partnera transporta adresei, un tā tiek maršrutēta pirms jebkādas aizsardzības pastāvēšanas. Iekšējā pakete ir adresēta klienta serverim un tiek maršrutēta pēc atkapsulēšanas, klienta kontekstā. Tie ir divi galamērķi, divas meklēšanas un bieži divas dažādas tabulas.

Cisco dokumentācija par VRF apzināto IPsec tos sauc par priekšējo durvju VRF un iekšējo VRF. Priekšējās durvis pārvadā šifrēto transportu, un iekšējais konteksts pārvadā aizsargāto trafiku. Nekas no tunela nosaukšanas klienta vārdā neļauj parādīties nevienam no diviem maršrutiem.

Tāpēc pirms konfigurācijas maiņas uzskaitiet četrus faktus: partnera transporta adresi un kontekstu, kas to sasniedz, tad servera prefiksu un kontekstu, kas to sasniedz. Ja nevarat aizpildīt visus četrus, jūs tūlīt minēsit. Minēšana šajā jomā ir dārga, jo nepareizajā tabulā pievienots maršruts var ļaut vienai plūsmai strādāt, klusi salaužot otru. Četru faktu apkopošana aizņem desmit minūtes un ietaupa dienu uzņemšanas analīzes.

Apstipriniet partnera transporta meklēšanu

Sāciet ar priekšējām durvīm, jo tunelis, kas nevar sasniegt savu partneri, nekad nepalaidīs garām nevienu aizsargāto paketi. IOS vidē pieprasiet maršrutu uz partneri transporta VRF iekšienē, nevis globālajā tabulā.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Pirmā komanda atbild, vai partnera adrese ir sasniedzama tajā kontekstā, otrā uzskaita VRF, kas patiešām pastāv, un trešā parāda, vai izveidojās drošības asociācija. Partnera adrese, kas atrisinās tikai globālajā tabulā, ir klasiskā priekšējo durvju kļūda, un tā izpaužas kā IKE sarunas, kas nekad nesākas.

Pārbaudiet arī saskarnes piešķiršanu. Dokumentētā uzvedība prasa, lai tuneļa priekšējo durvju VRF un WAN saskarnes VRF sakristu; neatbilstība var ļaut paketei iziet un tomēr neļaut atbildi apstrādāt pareizajā kontekstā.

Apstipriniet iekšējo servera meklēšanu

Kad priekšējās durvis ir pierādītas, pārejiet uz klienta kontekstu un uzdodiet to pašu jautājumu par servera prefiksu. Šī meklēšana izlemj, vai atkapsulēto paketi var pārsūtīt tālāk.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Pirmā komanda parāda iekšējo maršrutu, un otrā parāda sesijas stāvokli kopā ar kontekstiem, ko platforma ar to saistīja. Ja maršruts pastāv, bet sesijas informācija nosauc nepareizo iekšējo kontekstu, tunelis pārsūta uz tabulu, kas nezina klienta prefiksu.

Maršruts globālajā tabulā nav pierādījums nevienai no divām meklēšanām. Globālie maršruti tiek izmantoti, kad pakete nav saistīta ar VRF, un klienta kontekstam piešķirta tuneļa saskarne maina šo saistību. Ja iekšējā maršruta nav, pakete tiek atkapsulēta un pēc tam izmesta pārsūtīšanas ieraksta trūkuma dēļ, kas izskatās pēc pakešu zuduma, nevis maršrutēšanas kļūdas.

Novietojiet iestatījumu tur, kur modelis to gaida

Tā pati dokumentācija izšķir konfigurācijas modeļus, un iestatījums, kas pieder vienam, ne vienmēr pieder otram. Tuneļa saskarnēm ar tuneļa aizsardzību iekšējais VRF tiek definēts uz tuneļa saskarnes. Risinājumos, kas balstīti uz crypto map, iekšējais VRF ir crypto map ieraksta daļa. Līdzīgi nosauktas komandas pārvietošana starp modeļiem, nepārbaudot tās lomu, ir ceļš, kā strādājošs risinājums kļūst periodisks.

Maršrutēšana un identitāte ir atsevišķi jautājumi. Sasniedzamība nekad neaizstāj partnera profilu, ko ierīce pieņems, un VRF pārdēvēšana nedrīkst mainīt piedāvātos akreditācijas datus. Pēc katras izmaiņas pārbaudiet abus, jo tunelis, kas sarunājas ar nepareizo profilu, joprojām var izveidot asociāciju un neko nepārsūtīt.

Visbeidzot, ierakstiet četrus faktus un komandas, kas tos pierādīja, izmaiņu žurnālā. Nākamais inženieris mantos tuneli, nevis argumentāciju, un īsa piezīme, kas nosauc abus kontekstus, ir vērtīgāka par diagrammu, ko neviens neatjaunina.