IKEv2 പ്രൊഫൈൽ നിർവചിച്ചിട്ടുണ്ടെങ്കിലും ബന്ധിപ്പിച്ചിട്ടില്ല: ശൃംഖല പിന്തുടരുക

IKEv2 പ്രൊഫൈൽ സംരക്ഷിച്ച കോൺഫിഗറേഷനിലുണ്ട്, കീ റിംഗും അവിടെയുണ്ട്, എന്നിട്ടും ടണൽ ഉയരുന്നില്ല. Cisco IOS XE-യിൽ പ്രൊഫൈൽ ഐഡന്റിറ്റി പൊരുത്തപ്പെടുത്തലും പ്രാമാണീകരണ തിരഞ്ഞെടുപ്പുകളും വഹിക്കുന്ന ഒരു ഒബ്ജക്ടാണ്, മറ്റൊരു ഒബ്ജക്ട് അതിനെ റഫർ ചെയ്ത് ഒരു ഇന്റർഫേസ് ആ ഒബ്ജക്ടിനെ ഒരു പാതയോട് ബന്ധിപ്പിക്കുന്നതുവരെ ഒബ്ജക്ട് ഒന്നും ചെയ്യുന്നില്ല. പരാജയപ്പെട്ട ഘട്ടം 1 ഡീബഗ് സെഷനുകളിൽ മിക്കതും ഈ റഫറൻസുകളിൽ ഒന്ന് ഒഴിവാക്കുന്നു. ഏതെങ്കിലും നിർദ്ദേശമോ നയമോ മാറ്റുന്നതിന് മുമ്പ് കീ റിംഗിൽ നിന്ന് പുറത്തേക്ക് ശൃംഖല വായിക്കുക.

പ്രൊഫൈൽ ഒബ്ജക്ട് യഥാർത്ഥത്തിൽ എന്താണ്

IKEv2 പ്രൊഫൈൽ ദൂര ഐഡന്റിറ്റി പൊരുത്തപ്പെടുത്തൽ, പ്രാദേശികവും ദൂരവുമായ പ്രാമാണീകരണ രീതികൾ, മുൻകൂട്ടി പങ്കിട്ട കീ രൂപകൽപ്പനകൾക്കുള്ള കീ റിംഗിലേക്കുള്ള റഫറൻസ് എന്നിവ സൂക്ഷിക്കുന്നു. ഒരു പിയർ എങ്ങനെ തിരിച്ചറിയപ്പെടുന്നു, എങ്ങനെ സ്വയം തെളിയിക്കുന്നു എന്നിവ ഇത് വിവരിക്കുന്നു, ഒരു ഇന്റർഫേസിനെയും പേരെടുത്ത് പറയുന്നില്ല.

കീ റിംഗ് മുൻകൂട്ടി പങ്കിട്ട കീകൾ സൂക്ഷിക്കുന്ന വേറിട്ട ഒബ്ജക്ടാണ്. Crypto map അല്ലെങ്കിൽ IPsec പ്രൊഫൈൽ IKEv2 പ്രൊഫൈലിനെ റഫർ ചെയ്ത് സംരക്ഷണ ക്രമീകരണങ്ങൾ നൽകുന്ന മൂന്നാമത്തെ ഒബ്ജക്ടാണ്. ഇന്റർഫേസ് ബന്ധിപ്പിക്കൽ നാലാമത്തെ ഘട്ടമാണ്, അവിടെ crypto map പ്രയോഗിക്കുന്നു അല്ലെങ്കിൽ tunnel protection പ്രവർത്തനക്ഷമമാക്കുന്നു. ഓരോ ചാട്ടവും വേറിട്ട റഫറൻസാണ്, വിട്ടുപോയ ചാട്ടം ഓരോ ഒബ്ജക്ടിനെയും ഒറ്റയ്ക്ക് നോക്കുമ്പോൾ ശരിയെന്ന് തോന്നിപ്പിക്കുന്നു.

റഫറൻസ് ശൃംഖല ക്രമത്തിൽ പിന്തുടരുക

പ്രൊഫൈൽ പേരെടുത്ത് പറയുന്ന കീ റിംഗിൽ നിന്ന് തുടങ്ങുക, തുടർന്ന് crypto map അല്ലെങ്കിൽ IPsec പ്രൊഫൈൽ റഫർ ചെയ്യുന്ന പ്രൊഫൈൽ നാമം സ്ഥിരീകരിക്കുക, തുടർന്ന് ആ അവസാന ഒബ്ജക്ട് ഉപയോഗിക്കുന്ന ഇന്റർഫേസ് കണ്ടെത്തുക. ഓരോ പേരും അത് ഉപയോഗിക്കുന്ന ഒബ്ജക്ടിന് അരികിൽ എഴുതുക; ഈ ചെറിയ പട്ടിക കോൺഫിഗറേഷനിൽ എവിടെയോ ഓരോ പ്രതീക്ഷിത ബ്ലോക്കും ഉണ്ടോ എന്ന് പരിശോധിക്കുന്നതിനേക്കാൾ ഉപയോഗപ്രദമാണ്.

സാധാരണ വിള്ളലുകൾ യാന്ത്രികമാണ്. പ്രൊഫൈൽ നാമം crypto map റഫർ ചെയ്യുന്ന നാമത്തിൽ നിന്ന് ഒരു അക്ഷരം വ്യത്യസ്തമാണ്. Crypto map ഉണ്ട്, പക്ഷേ ഒരിക്കലും ഇന്റർഫേസിൽ പ്രയോഗിച്ചിട്ടില്ല. Tunnel protection കമാൻഡ് മറ്റൊരു IKEv2 പ്രൊഫൈലിനെ റഫർ ചെയ്യുന്ന IPsec പ്രൊഫൈലിനെ ചൂണ്ടുന്നു. വ്യക്തമായ ബന്ധിപ്പിക്കലില്ലാത്ത responder രേഖപ്പെടുത്തിയ ഒരു കേസാണ്, പക്ഷേ ബന്ധിപ്പിക്കലില്ലാത്ത initiator ആ പാതയ്ക്ക് കോൺഫിഗർ ചെയ്തിട്ടില്ല എന്നുമാത്രം.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

ഈ ഭാഗം ഒരു ടെംപ്ലേറ്റായല്ല, ശൃംഖലയായി വായിക്കുക. ഇന്റർഫേസ് IPsec പ്രൊഫൈലിനെ പേരെടുത്ത് പറയുന്നു, IPsec പ്രൊഫൈൽ IKEv2 പ്രൊഫൈലിനെ പേരെടുത്ത് പറയുന്നു, IKEv2 പ്രൊഫൈൽ കീ റിംഗിനെ പേരെടുത്ത് പറയുന്നു. ഈ പേരുകളിൽ ഏതെങ്കിലും ഒന്ന് തകർത്താലും കോൺഫിഗറേഷൻ പാഴ്സ് ചെയ്യപ്പെടുന്നു, അതുകൊണ്ടാണ് റൂട്ടർ അത് സ്വീകരിക്കുന്നതും ടണൽ താഴെത്തന്നെ നിൽക്കുന്നതും.

Crypto map ഉം tunnel protection ഉം ബദലുകളാണ്

Cisco രണ്ട് ബന്ധിപ്പിക്കൽ ക്രമീകരണങ്ങൾ രേഖപ്പെടുത്തുന്നു. Crypto map ഒരു ഇന്റർഫേസിൽ പ്രയോഗിക്കാം, അതിന്റെ set കമാൻഡിലൂടെ IKEv2 പ്രൊഫൈലിനെ റഫർ ചെയ്യാനും കഴിയും. Tunnel protection ഒരു IPsec പ്രൊഫൈലിനെ ടണൽ ഇന്റർഫേസുമായി ബന്ധിപ്പിക്കുന്നു. രണ്ടും സാധുവാണ്, ഇരട്ട സുരക്ഷയായി ഒരുമിച്ച് ഇൻസ്റ്റാൾ ചെയ്യാൻ ഉദ്ദേശിച്ചതല്ല.

ടണലിന്റെ ഉറവിടവും ലക്ഷ്യവും പുറം ഡെലിവറി ക്രമീകരണം നിർണ്ണയിക്കുന്നു, അവ സംരക്ഷണ ബന്ധിപ്പിക്കലിൽ നിന്ന് വേറിട്ടതാണ്. LAN ഇന്റർഫേസ്, ടണൽ ഇന്റർഫേസ്, പുറം ഉറവിട ഇന്റർഫേസ് എന്നിവ മൂന്ന് വ്യത്യസ്ത റോളുകൾ വഹിക്കുന്നു. LAN ഇന്റർഫേസിലെ crypto map ടണലിനെ സംരക്ഷിക്കുന്നില്ല, സംരക്ഷണം സജീവമായിട്ടും എത്തിച്ചേരാവുന്ന ഉറവിട വിലാസമില്ലാത്ത ടണൽ അതിന്റെ പിയറിന് ഒരിക്കലും പാക്കറ്റ് അയക്കുന്നില്ല.

ലോഡ് ചെയ്ത അവസ്ഥ പരിശോധിക്കുക, വെറും ടെക്സ്റ്റ് മാത്രമല്ല. ഇൻസ്റ്റാൾ ചെയ്ത റിലീസിൽ കോൺഫിഗർ ചെയ്ത ഒബ്ജക്ടുകളെ ചർച്ച ചെയ്ത സെഷനുമായി ബന്ധിപ്പിക്കുന്ന കമാൻഡുകളുണ്ട്, ടിക്കറ്റിൽ അവ ഉദ്ധരിക്കണം. സംരക്ഷിച്ച കോൺഫിഗറേഷൻ ഉദ്ദേശ്യം തെളിയിക്കുന്നു; സെഷൻ പട്ടിക പാത തെളിയിക്കുന്നു.

Responder അപവാദം initiator-കൾക്കുള്ള നിയമമല്ല

IOS XE ഗൈഡ് സൂചിപ്പിക്കുന്നത് responder-ൽ വ്യക്തമായ IKEv2 പ്രൊഫൈൽ ബന്ധിപ്പിക്കൽ ഐച്ഛികമായിരിക്കാം എന്നാണ്. ആ അപവാദം പ്രാമാണീകരണമോ ഐഡന്റിറ്റി പരിശോധനകളോ നീക്കം ചെയ്യുന്നില്ല, കണക്ഷൻ ആരംഭിക്കുന്ന വശത്ത് പ്രൊഫൈലിനെ ഐച്ഛികമാക്കുന്നുമില്ല.

നിങ്ങളുടെ റൂട്ടർ ആരംഭിക്കുന്നുണ്ടെങ്കിൽ ബന്ധിപ്പിക്കൽ നിർബന്ധമായി കണക്കാക്കി തുടക്കം മുതൽ ഒടുക്കം വരെ പിന്തുടരുക. നിങ്ങളുടെ റൂട്ടർ മറുപടി നൽകുന്നത് മാത്രമാണെങ്കിൽ, വരുന്ന പിയറുമായി യഥാർത്ഥത്തിൽ ഏത് പ്രൊഫൈൽ പൊരുത്തപ്പെട്ടു എന്ന് സ്ഥിരീകരിക്കുക, കാരണം responder ഇന്റർഫേസ് റഫറൻസിന് പകരം ഐഡന്റിറ്റി അനുസരിച്ച് പ്രൊഫൈൽ തിരഞ്ഞെടുക്കാം.

പാത പരിശോധിക്കുക, സംരക്ഷിച്ച കോൺഫിഗറേഷനല്ല

ബന്ധിപ്പിക്കലുകൾ ഒത്തുവന്നാൽ, അനുവദിച്ച ഒരു ആപ്ലിക്കേഷൻ പരീക്ഷിച്ച് അതിന്റെ ആന്തരിക ഉറവിടം, ലക്ഷ്യം, റൂട്ട് എന്നിവ രേഖപ്പെടുത്തുക. റൂട്ടർ ആരംഭിക്കുന്ന അഭ്യർത്ഥന LAN-ൽ നിന്ന് കൈമാറുന്ന ട്രാഫിക്കിൽ നിന്ന് വ്യത്യസ്ത ഉറവിട വിലാസം ഉപയോഗിക്കാം, സംരക്ഷണ പരിധി അവയിൽ ഒന്നിനെ മാത്രം ഉൾക്കൊള്ളാം.

ശരിയായി ബന്ധിപ്പിച്ച നിർവചനം സെലക്ടറുകൾ, തിരിച്ചുവരവ് റൂട്ട്, ഇന്റർഫേസ് നയം എന്നിവ നിങ്ങളുടെ ഫ്ലോ ഉൾക്കൊള്ളുന്നു എന്ന് തെളിയിക്കുന്നില്ല. യഥാർത്ഥ ട്രാഫിക് അയച്ച് ചർച്ച ചെയ്ത അവസ്ഥ വായിക്കുക, പിന്നീട് വീണ്ടും കണക്ട് ചെയ്തതിന് ശേഷം ആവർത്തിക്കുക, ശൃംഖല പുതിയ ചർച്ചയെ അതിജീവിക്കുന്നു എന്ന് അറിയാൻ. വിശദീകരണം IOS XE IKEv2-ൽ ഒതുക്കുക; ചരിത്രപരമായ IKEv1 crypto map വിന്യാസത്തിന് വേറെ ഒബ്ജക്ട് മോഡലുണ്ട്, അത് ഈ ശൃംഖല ഉപയോഗിച്ച് ഡീബഗ് ചെയ്യരുത്.

ടണൽ പ്രവർത്തിക്കുമ്പോൾ ആ നാല് പേരുകൾ മാറ്റ രേഖയിൽ എഴുതുക. crypto map-നെ അടുത്തതായി സ്പർശിക്കുന്ന വ്യക്തിക്ക് അവ ആവശ്യമാകും, ശൃംഖല എന്നത് പ്രവർത്തിക്കുന്ന കോൺഫിഗറേഷൻ വിശദീകരിക്കാത്ത രൂപകൽപ്പനയുടെ ഭാഗമാണ്.