IKEv2 профайл тодорхойлогдсон ч холбогдоогүй: гинжийг дага

Хадгалсан IKEv2 профайл бол объект, зам биш. 2-р үе шатыг дибаг хийхийн өмнө түлхүүрийн цагираг, профайл, crypto map эсвэл IPsec профайл болон интерфэйсийн холболтыг дага.

IKEv2 профайл хадгалсан тохиргоонд байна, түлхүүрийн цагираг ч мөн тэнд байна, гэтэл туннель босохгүй байна. Cisco IOS XE дээр профайл нь таних тэмдэгтийн тохирол болон нэвтрүүлэлтийн сонголтыг агуулсан объект бөгөөд өөр объект түүнд лавлагаа хийж, интерфэйс тэр объектыг замд холбох хүртэл объект юу ч хийдэггүй. Бүтэлгүй 1-р үе шатын дибаг сессийн ихэнх нь эдгээр лавлагааны нэгийг алгасдаг. Аливаа санал эсвэл бодлогыг өөрчлөхийн өмнө гинжийг түлхүүрийн цагиргаас гадагш уншина уу.

Профайл объект гэж юу вэ

IKEv2 профайл нь алсын таних тэмдэгтийн тохирол, локал болон алсын нэвтрүүлэлтийн арга, урьдчилан хуваалцсан түлхүүртэй загваруудад зориулсан түлхүүрийн цагираг руу чиглэсэн лавлагааг хадгална. Энэ нь peer хэрхэн танигдах, өөрийгөө хэрхэн нотлохыг тодорхойлдог бөгөөд ямар ч интерфэйсийг нэрлэдэггүй.

Түлхүүрийн цагираг нь урьдчилан хуваалцсан түлхүүрүүдийг хадгалдаг тусдаа объект юм. Crypto map эсвэл IPsec профайл нь IKEv2 профайл руу лавлагаа хийж, хамгаалалтын тохиргоог өгдөг гурав дахь объект юм. Интерфэйсийн холболт нь дөрөв дэх алхам бөгөөд энд crypto map хэрэглэгдэх эсвэл tunnel protection идэвхждэг. Алхам бүр тусдаа лавлагаа бөгөөд дутуу алхам нь объект бүрийг тус тусад нь зөв харагдуулна.

Лавлагааны гинжийг дарааллаар нь дага

Профайлын нэрлэсэн түлхүүрийн цагиргаас эхэл, дараа нь crypto map эсвэл IPsec профайлын лавлагаа хийсэн профайлын нэрийг баталгаажуул, дараа нь тэр сүүлийн объектыг хэрэглэдэг интерфэйсийг ол. Нэр бүрийг түүнийг хэрэглэдэг объектын хажууд бич; энэ богино жагсаалт нь тохиргооны хаа нэгтээ хүлээгдэж буй блок бүр байгаа эсэхийг шалгахаас илүү ашигтай.

Ердийн таслалт нь механик. Профайлын нэр crypto map-ын лавлагаа хийсэн нэрээс нэг тэмдэгтээр ялгаатай. Crypto map байгаа боловч интерфэйсд хэзээ ч хэрэглэгдээгүй. Tunnel protection команд нь өөр IKEv2 профайл руу лавлагаа хийдэг IPsec профайл руу заана. Тодорхой холболтгүй responder нь баримтжуулсан тохиолдол боловч холболтгүй initiator нь тухайн замд тохируулагдаагүй л гэсэн үг.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Хэсгийг загвар биш, гинж гэж унш. Интерфэйс IPsec профайлыг нэрлэнэ, IPsec профайл IKEv2 профайлыг нэрлэнэ, IKEv2 профайл түлхүүрийн цагиргийг нэрлэнэ. Эдгээр нэрсийн аль нэгийг тасалсан ч тохиргоо парслагдсаар байдаг, тиймээс маршрутизатор үүнийг хүлээн авч, туннель доор хэвээр байна.

Crypto map ба tunnel protection нь хувилбарууд

Cisco хоёр холболтын зохицуулалтыг баримтжуулдаг. Crypto map-ыг интерфэйсд хэрэглэж болох бөгөөд set командаараа IKEv2 профайл руу лавлагаа хийж болно. Tunnel protection нь IPsec профайлыг туннель интерфэйстэй холбодог. Хоёулаа хүчинтэй бөгөөд тэдгээрийг давхар хамгаалалт болгон хамт суулгахаар зохиогдоогүй.

Туннелийн эх үүсвэр ба очих газар нь гадаад хүргэх зохицуулалтыг тодорхойлдог бөгөөд тэдгээр нь хамгаалалтын холболтоос тусдаа. LAN интерфэйс, туннель интерфэйс, гадаад эх үүсвэрийн интерфэйс гурван өөр үүрэг гүйцэтгэдэг. LAN интерфэйс дээрх crypto map нь туннелийг хамгаалахгүй, хамгаалалт идэвхтэй боловч хүрэх эх үүсвэрийн хаяггүй туннель нь peer рүүгээ хэзээ ч пакет илгээдэггүй.

Ачаалагдсан төлвийг шалга, зөвхөн текстийг биш. Суулгасан хувилбарт тохируулсан объектуудыг хэлэлцсэн сессийн хамт холбодог командууд байдаг бөгөөд тикетэд яг тэдгээрийг иш татах хэрэгтэй. Хадгалсан тохиргоо зорилгыг нотолно; сессийн хүснэгт замыг нотолно.

Responder-ийн үл хамааран initiator-уудад дүрэм биш

IOS XE гарын авлага нь responder дээр IKEv2 профайлын тодорхой холболт сонголтоор байж болохыг тэмдэглэдэг. Энэ үл хамаарах зүйл нь нэвтрүүлэлт эсвэл таних тэмдэгтийн шалгалтыг арилгахгүй бөгөөд холболтыг эхлүүлж буй талд профайлыг сонголтоор болгодоггүй.

Хэрэв таны маршрутизатор эхлүүлж байгаа бол холболтыг заавал гэж үзэж, эхнээс нь дуустал дага. Хэрэв таны маршрутизатор зөвхөн хариулж байгаа бол ирж буй peer-тэй яг аль профайл тохирсныг баталгаажуул, учир нь responder нь интерфэйсийн лавлагаа биш, таних тэмдэгтээр профайл сонгож болно.

Замыг шалга, хадгалсан тохиргоог биш

Холболтууд таарсны дараа зөвшөөрөгдсөн нэг програмыг туршиж, түүний дотоод эх үүсвэр, очих газар, маршрутыг бүртгэ. Маршрутизаторын эхлүүлсэн хүсэлт нь LAN-аас дамжуулагдсан урсгалаас өөр эх үүсвэрийн хаяг ашиглаж болох бөгөөд хамгаалалтын хүрээ нь зөвхөн нэгийг нь хамарч болно.

Зөв холбосон тодорхойлолт нь селекторууд, буцах маршрут, интерфэйсийн бодлого таны урсгалыг хамарч байгааг нотлохгүй. Бодит урсгал илгээж, хэлэлцсэн төлвийг унш, дараа нь дахин холбогдсоны дараа давтаж, гинж шинэ хэлэлцээрийг даван туулж байгааг мэдэх хэрэгтэй. Тайлбарыг IOS XE IKEv2-ийн хүрээнд баримтал; түүхэн IKEv1 crypto map байршуулалт нь өөр объектын загвартай бөгөөд үүнийг энэ гинжээр дибаг хийх ёсгүй.

Туннель ажиллаж эхлэхэд тэр дөрвөн нэрийг өөрчлөлтийн бүртгэлд бич. Crypto map-д дараа хүрэх хүнд тэдгээр хэрэгтэй болно, гинж нь ажиллаж буй тохиргоо тайлбарладаггүй загварын хэсэг юм.

Холбоотой нийтлэлүүд