Аль VRF нь VPN түншэд хүрч, аль нь пакетыг зөөдөг вэ?

Харилцагчийн чиглүүлэлтийн контекст доторх туннель бүр өөрийн алсын түншдээ хүрэх ёстой бөгөөд энэ хайлт огт өөр хүснэгтэд явагдаж болно. Үүнийг буруу хийвэл VRF-ийг мэддэг IPsec-ийн хамгийн будлиантай гэмтлүүдийн нэг үүснэ: туннель босч, замууд байгаа мэт харагдана, гэвч хоёр хайлтын нэг нь буруу контекст ашигласан тул трафик үхнэ. Доорх дөрвөн алхмыг дарааллаар нь гүйцэтгэж, хоёр очих газрыг тус тусад нь бичиж авна уу.

Хоёр хайлт, нэг туннель

Гадаад капсуллагдсан пакет нь түншийн тээврийн хаяг руу хаяглагдсан бөгөөд ямар ч хамгаалалт үүсэхээс өмнө чиглүүлэгддэг. Дотоод пакет нь харилцагчийн сервер руу хаяглагдсан бөгөөд капсулаас гарсны дараа харилцагчийн контекст дотор чиглүүлэгддэг. Эдгээр нь хоёр очих газар, хоёр хайлт бөгөөд ихэвчлэн хоёр өөр хүснэгт юм.

VRF-ийг мэддэг IPsec-ийн тухай Cisco-гийн баримт бичиг тэдгээрийг урд хаалганы VRF ба дотоод VRF гэж нэрлэдэг. Урд хаалга нь шифрлэгдсэн тээврийг, дотоод контекст нь хамгаалагдсан трафикийг зөөдөг. Туннелийг харилцагчийн нэрээр нэрлэх нь хоёр замын аль нэгийг ч гаргахгүй.

Тиймээс тохиргоог өөрчлөхийн өмнө дөрвөн баримтыг жагсаа: түншийн тээврийн хаяг ба түүнд хүрэх контекст, дараа нь серверийн префикс ба түүнд хүрэх контекст. Хэрэв дөрвийг бүгдийг нь бөглөж чадахгүй бол та таамаглах гэж байна. Энэ салбарт таамаглах нь үнэтэй, учир нь буруу хүснэгтэд нэмсэн зам нэг урсгалыг ажиллуулж, нөгөөг чимээгүй эвдэж болно. Дөрвөн баримтыг цуглуулахад арван минут шаардагдаж, нэг өдрийн бичлэгийн шинжилгээг хэмнэнэ.

Түншийн тээврийн хайлтыг баталгаажуулна уу

Урд хаалганаас эхэл, учир нь түншдээ хүрч чадахгүй туннель нэг ч хамгаалагдсан пакетыг нэвтрүүлэхгүй. IOS дээр түнш рүү чиглэсэн замыг глобал хүснэгтээс биш тээврийн VRF-ийн дотор асуу.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Эхний команд нь тухайн контекстэд түншийн хаяг хүрэх боломжтой эсэхийг хариулна, хоёр дахь нь бодитоор байгаа VRF-үүдийг жагсаана, гурав дахь нь аюулгүй байдлын холбоо үүссэн эсэхийг харуулна. Зөвхөн глобал хүснэгтэд шийдэгддэг түншийн хаяг бол урд хаалганы сонгодог алдаа бөгөөд энэ нь хэзээ ч эхлэхгүй IKE хэлэлцээр мэт харагдана.

Интерфейсийн хуваарилалтыг ч шалга. Баримтжуулсан зан туннелийн урд хаалганы VRF ба WAN интерфейсийн VRF тохирохыг шаарддаг; зөрүү нь пакетыг гаргахыг зөвшөөрөх боловч хариуг зөв контекстэд боловсруулахад саад болж болно.

Серверийн дотоод хайлтыг баталгаажуулна уу

Урд хаалга батлагдсаны дараа харилцагчийн контекст руу шилжиж, серверийн префиксийн талаар мөн адил асуулт тавь. Энэ хайлт нь капсулаас гарсан пакетыг цааш дамжуулж болох эсэхийг шийднэ.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Эхний команд нь дотоод замыг харуулна, хоёр дахь нь платформ түүнтэй холбосон контекстүүдийн хамт сессийн төлөвийг харуулна. Хэрэв зам байгаа боловч сессийн дэлгэрэнгүй мэдээлэл буруу дотоод контекстийг нэрлэвэл туннель харилцагчийн префиксийг мэдэхгүй хүснэгт рүү дамжуулж байна.

Глобал хүснэгт дэх зам нь хоёр хайлтын алинд ч нотолгоо болохгүй. Глобал замууд нь пакет VRF-тэй холбогдоогүй үед ашиглагддаг бөгөөд харилцагчийн контекстэд хуваарилсан туннель интерфейс тэр холбоог өөрчилдөг. Хэрэв дотоод зам байхгүй бол пакет капсулаас гарсны дараа дамжуулах бичлэг байхгүйн улмаас хаягдана, энэ нь чиглүүлэлтийн алдаа биш пакет алдагдал мэт харагдана.

Тохиргоог загвар хүлээж буй газарт байрлуул

Мөн энэ баримт бичиг тохиргооны загваруудыг ялгадаг бөгөөд нэгэнд хамаарах тохиргоо нөгөөд заавал хамаарахгүй. Туннелийн хамгаалалт ашигладаг туннель интерфейсүүдийн хувьд дотоод VRF туннель интерфейс дээр тодорхойлогдоно. crypto map-д суурилсан шийдлүүдэд дотоод VRF нь crypto map бичлэгийн хэсэг юм. Үүргийг нь шалгахгүйгээр ижил нэртэй командыг загваруудын хооронд зөөх нь ажиллаж байсан шийдлийг тасалдалтай болгох зам юм.

Чиглүүлэлт ба хувь хүн гэдэг нь тусдаа асуудал. Хүрэх боломж нь төхөөрөмжийн хүлээн авах түншийн профайлыг хэзээ ч орлохгүй бөгөөд VRF-ийн нэрийг өөрчлөх нь санал болгож буй итгэмжлэлийг өөрчлөх ёсгүй. Аливаа өөрчлөлтийн дараа хоёуланг нь шалга, учир нь буруу профайлтай хэлэлцэж буй туннель холбоо үүсгэж, юу ч дамжуулахгүй байж болно.

Эцэст нь дөрвөн баримт болон тэдгээрийг нотолсон командуудыг өөрчлөлтийн бүртгэлд бич. Дараагийн инженер туннелийг өвлөнө, үндэслэлийг биш, мөн хоёр контекстийг нэрлэсэн богино тэмдэглэл хэн ч шинэчлэдэггүй диаграмаас илүү үнэ цэнэтэй.