IKEv2 профилот е дефиниран, но не е поврзан: следете го синџирот

Зачуваниот IKEv2 профил е објект, а не патека. Следете го прстенот со клучеви, профилот, crypto map или IPsec профилот и поврзувањето со интерфејсот пред да ја дебагирате фазата 2.

IKEv2 профилот е во зачуваната конфигурација, прстенот со клучеви е исто таму, а тунелот сѐ уште не се крева. На Cisco IOS XE профилот е објект што носи избори за совпаѓање на идентитетот и автентикација, а објектот не прави ништо додека друг објект не го референцира и интерфејс не го поврзе тој објект со патека. Повеќето неуспешни сесии за дебагирање на фазата 1 прескокнуваат една од тие референци. Прочитајте го синџирот од прстенот со клучеви кон надвор пред да смените каков било предлог или политика.

Што е всушност профилниот објект

IKEv2 профилот го чува совпаѓањето на далечниот идентитет, локалните и далечните методи на автентикација и референца до прстен со клучеви за дизајни со однапред споделен клуч. Тој опишува како се препознава peer и како се докажува себеси, и не именува ниту еден интерфејс.

Прстенот со клучеви е одделен објект што ги чува однапред споделените клучеви. Crypto map или IPsec профилот е трет објект што го референцира IKEv2 профилот и ги дава поставките за заштита. Поврзувањето со интерфејсот е четвртиот чекор, каде што се применува crypto map или се вклучува tunnel protection. Секој скок е одделна референца, а скок што недостасува остава секој објект да изгледа точен сам за себе.

Следете го синџирот референци по ред

Започнете од прстенот со клучеви што го именува профилот, потоа потврдете го името на профилот кон кој референцира crypto map или IPsec профилот, и потоа најдете го интерфејсот што го троши тој последен објект. Запишете го секое име до објектот што го троши; таа кратка листа е покорисна од проверката дека секој очекуван блок постои некаде во конфигурацијата.

Вообичаените прекини се механички. Името на профилот се разликува во еден знак од она кон кое референцира crypto map. Crypto map постои, но никогаш не бил применет на интерфејсот. Командата tunnel protection покажува кон IPsec профил што референцира друг IKEv2 профил. Responder без експлицитно поврзување е документиран случај, но initiator без поврзување едноставно не е конфигуриран за таа патека.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Читајте го исечокот како синџир, а не како шаблон. Интерфејсот го именува IPsec профилот, IPsec профилот го именува IKEv2 профилот, а IKEv2 профилот го именува прстенот со клучеви. Скршете кое било од тие имиња и конфигурацијата сѐ уште се парсира, затоа рутерот ја прифаќа и тунелот останува долу.

Crypto map и tunnel protection се алтернативи

Cisco документира две поставки за поврзување. Crypto map може да се примени на интерфејс и може да референцира IKEv2 профил преку својата команда set. Tunnel protection поврзува IPsec профил со тунелски интерфејс. И двете се валидни, и не се наменети да се инсталираат заедно како двојна заштита.

Изворот и одредиштето на тунелот го одредуваат надворешното доставување и се одделени од заштитното поврзување. LAN интерфејсот, тунелскиот интерфејс и надворешниот изворен интерфејс играат три различни улоги. Crypto map на LAN интерфејсот не го штити тунелот, а тунел со вклучена заштита но без достапна изворна адреса никогаш не испраќа пакет до својот peer.

Проверете ја вчитаната состојба, не само текстот. Инсталираната верзија има команди што ги поврзуваат конфигурираните објекти со преговараната сесија, и токму нив треба да ги цитирате во тикет. Зачуваната конфигурација го докажува намерата; табелата со сесии ја докажува патеката.

Исклучокот за responder не е правило за initiator

Водичот за IOS XE забележува дека експлицитното поврзување на IKEv2 профил може да биде опционално кај responder. Тој исклучок не ги отстранува проверките на автентикација или идентитет, и не го прави профилот опционален на страната што ја започнува врската.

Ако вашиот рутер започнува, третирајте го поврзувањето како задолжително и следете го од почеток до крај. Ако вашиот рутер само одговара, потврдете кој профил навистина одговарал на дојдовниот peer, бидејќи responder може да избере профил според идентитет, а не според референца на интерфејс.

Проверете ја патеката, не зачуваната конфигурација

Кога поврзувањата ќе се поклопат, тестирајте една дозволена апликација и запишете ги нејзиниот внатрешен извор, одредиште и рута. Барањето што го започнува рутерот може да користи друга изворна адреса од сообраќајот пренесен од LAN, а опфатот на заштита може да покрива само едно од двете.

Правилно поврзана дефиниција не докажува дека селекторите, повратната рута и политиката на интерфејсот го покриваат вашиот тек. Испратете вистински сообраќај и прочитајте ја преговараната состојба, потоа повторете по повторно поврзување за да знаете дека синџирот издржува нова прегратка. Држете го објаснувањето во рамки на IOS XE IKEv2; историското распоредување на IKEv1 crypto map има друг модел на објекти и не треба да се дебагира со овој синџир.

Запишете ги тие четири имиња во записот за промени кога тунелот ќе проработи. Следниот човек што ќе го допре crypto map ќе ги потребува, а синџирот е делот од дизајнот што не го објаснува конфигурацијата во работа.

Поврзани статии