Кој VRF стигнува до VPN партнерот и кој го носи пакетот?

Секој тунел во контекстот за рутирање на клиентот сепак мора да стигне до својот оддалечен партнер, и тоа пребарување може да се случи во сосема друга табела. Грешката овде создава еден од најзбунувачките дефекти во IPsec свесен за VRF: тунелот се крева, рутите изгледаат присутни, а сообраќајот умира затоа што едно од двете пребарувања користело погрешен контекст. Изведете ги четирите чекори подолу по ред и запишете ги двете дестинации одделно.

Две пребарувања, еден тунел

Надворешниот инкапсулиран пакет е адресиран на транспортната адреса на партнерот и се рутира пред да постои каква било заштита. Внатрешниот пакет е адресиран на сервер на клиентот и се рутира по декапсулацијата, во контекстот на клиентот. Тоа се две дестинации, две пребарувања и често две различни табели.

Документацијата на Cisco за IPsec свесен за VRF ги нарекува VRF на предната врата и внатрешен VRF. Предната врата го носи шифрираниот транспорт, а внатрешниот контекст го носи заштитениот сообраќај. Ништо во именувањето на тунел по клиент не прави да се појави која било од двете рути.

Затоа наведете четири факти пред да смените конфигурација: транспортната адреса на партнерот и контекстот што стигнува до неа, потоа префиксот на серверот и контекстот што стигнува до него. Ако не можете да ги пополните сите четири, само што не почнавте да гаѓате. Гаѓањето во оваа област е скапо, зашто рута додадена во погрешна табела може да направи еден тек да работи додека тивко крши друг. Собирањето на четирите факти трае десет минути и штеди еден ден анализа на снимки.

Потврдете го транспортното пребарување за партнерот

Почнете од предната врата, зашто тунел што не може да стигне до партнерот никогаш нема да пропушти ниту еден заштитен пакет. На IOS побарајте рутата до партнерот во транспортниот VRF, а не во глобалната табела.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Првата команда одговара дали адресата на партнерот е достапна во тој контекст, втората ги наведува VRF што навистина постојат, а третата покажува дали се формирала безбедносна асоцијација. Адреса на партнер што се решава само во глобалната табела е класичната грешка на предната врата и се појавува како IKE преговори што никогаш не започнуваат.

Проверете го и доделувањето на интерфејсот. Документираното однесување бара VRF на предната врата на тунелот и VRF на WAN интерфејсот да се совпаѓаат; несовпаѓањето може да дозволи пакетот да излезе, а сепак да спречи одговорот да се обработи во правилниот контекст.

Потврдете го внатрешното пребарување за серверот

Кога предната врата е докажана, преминете во контекстот на клиентот и поставете го истото прашање за префиксот на серверот. Ова пребарување одлучува дали декапсулиран пакет може да се пренесе понатаму.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Првата команда ја покажува внатрешната рута, а втората ја покажува состојбата на сесијата заедно со контекстите што платформата ги поврзала со неа. Ако рутата постои, но деталите на сесијата наведуваат погрешен внатрешен контекст, тунелот пренесува во табела што не го знае префиксот на клиентот.

Рута во глобалната табела не е доказ за ниту едно од двете пребарувања. Глобалните рути се користат кога пакетот не е поврзан со VRF, а тунелски интерфејс доделен на контекст на клиент ја менува таа врска. Ако внатрешната рута недостига, пакетот се декапсулира и потоа се отфрла поради недостаток на запис за пренесување, што изгледа како загуба на пакети, а не како грешка во рутирањето.

Поставете го параметарот таму каде што моделот го очекува

Истата документација разликува конфигурациски модели, и параметар што припаѓа на едниот не мора да припаѓа на другиот. За тунелски интерфејси со заштита на тунел, внатрешниот VRF се дефинира на тунелскиот интерфејс. За решенија базирани на crypto map, внатрешниот VRF е дел од записот на crypto map. Преместувањето на слична команда меѓу модели без проверка на нејзината улога е начинот на кој работен дизајн станува нестабилен.

Рутирањето и идентитетот се одделни прашања. Достапноста никогаш не заменува профил на партнер што уредот ќе го прифати, а преименувањето на VRF не смее да ги промени понудените акредитиви. Проверете ги двете по секоја промена, зашто тунел што преговара со погрешен профил сепак може да формира асоцијација и да не пренесе ништо.

На крајот, запишете ги четирите факти и командите што ги докажаа во записот за промени. Следниот инженер ќе го наследи тунелот, а не резонирањето, и кратка белешка што ги именува двата контекста вреди повеќе од дијаграм што никој не го ажурира.