IKEv2 प्रोफाइल परिभाषित पण जोडलेले नाही: साखळीचा मागोवा घ्या

IKEv2 प्रोफाइल साठवलेल्या कॉन्फिगरेशनमध्ये आहे, की-रिंगही तिथे आहे, आणि तरीही टनेल वर येत नाही। Cisco IOS XE वर प्रोफाइल हे ऑब्जेक्ट आहे जे ओळख जुळणी आणि प्रमाणीकरणाच्या निवडी घेऊन जाते, आणि दुसरे ऑब्जेक्ट त्याचा संदर्भ देत नाही आणि इंटरफेस त्या ऑब्जेक्टला मार्गाशी जोडत नाही तोपर्यंत ऑब्जेक्ट काहीही करत नाही। बहुतेक अयशस्वी फेज 1 डीबग सत्रे यापैकी एक संदर्भ वगळतात। कोणताही प्रस्ताव किंवा धोरण बदलण्यापूर्वी की-रिंगपासून बाहेरच्या दिशेने साखळी वाचा।

प्रोफाइल ऑब्जेक्ट प्रत्यक्षात काय आहे

IKEv2 प्रोफाइल दूरच्या ओळखीची जुळणी, स्थानिक आणि दूरच्या प्रमाणीकरण पद्धती, आणि पूर्व-सामायिक की असलेल्या रचनांसाठी की-रिंगचा संदर्भ ठेवते। पीअर कसा ओळखला जातो आणि तो स्वतःला कसे सिद्ध करतो हे ते वर्णन करते, आणि कोणत्याही इंटरफेसचे नाव घेत नाही।

की-रिंग हे पूर्व-सामायिक की ठेवणारे स्वतंत्र ऑब्जेक्ट आहे। Crypto map किंवा IPsec प्रोफाइल हे तिसरे ऑब्जेक्ट आहे जे IKEv2 प्रोफाइलचा संदर्भ देते आणि संरक्षण सेटिंग्ज पुरवते। इंटरफेस जोडणी ही चौथी पायरी आहे, जिथे crypto map लागू होते किंवा tunnel protection सक्षम होते। प्रत्येक उडी स्वतंत्र संदर्भ आहे, आणि गहाळ उडी प्रत्येक ऑब्जेक्टला स्वतंत्रपणे बरोबर दिसू देते।

संदर्भ साखळी क्रमाने अनुसरा

प्रोफाइल नाव देते त्या की-रिंगपासून सुरुवात करा, नंतर crypto map किंवा IPsec प्रोफाइल संदर्भ देते त्या प्रोफाइल नावाची पुष्टी करा, आणि नंतर ते शेवटचे ऑब्जेक्ट वापरणारा इंटरफेस शोधा। प्रत्येक नाव ते वापरणाऱ्या ऑब्जेक्टच्या शेजारी लिहा; कॉन्फिगरेशनमध्ये कुठेतरी प्रत्येक अपेक्षित ब्लॉक आहे का हे तपासण्यापेक्षा ही छोटी यादी अधिक उपयुक्त आहे।

नेहमीचे तुटणे यांत्रिक असते। प्रोफाइल नाव crypto map संदर्भ देते त्या नावापेक्षा एका अक्षराने वेगळे आहे। Crypto map आहे पण इंटरफेसवर कधीही लागू केले गेले नाही। Tunnel protection आदेश दुसऱ्या IKEv2 प्रोफाइलचा संदर्भ देणाऱ्या IPsec प्रोफाइलकडे निर्देश करतो। स्पष्ट जोडणी नसलेला responder हे नोंदवलेले प्रकरण आहे, पण जोडणी नसलेला initiator फक्त त्या मार्गासाठी कॉन्फिगर केलेला नाही।

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

हा उतारा टेम्पलेट म्हणून नाही, साखळी म्हणून वाचा। इंटरफेस IPsec प्रोफाइलचे नाव घेतो, IPsec प्रोफाइल IKEv2 प्रोफाइलचे नाव घेते, आणि IKEv2 प्रोफाइल की-रिंगचे नाव घेते। यापैकी कोणतेही नाव तोडा आणि कॉन्फिगरेशन तरीही पार्स होते, म्हणूनच राउटर ते स्वीकारतो आणि टनेल खालीच राहते।

Crypto map आणि tunnel protection पर्याय आहेत

Cisco दोन जोडणी व्यवस्था नोंदवते। Crypto map इंटरफेसवर लागू करता येते आणि त्याच्या set आदेशाद्वारे IKEv2 प्रोफाइलचा संदर्भ देऊ शकते। Tunnel protection IPsec प्रोफाइल टनेल इंटरफेसशी जोडते। दोन्ही वैध आहेत, आणि दुहेरी सुरक्षा म्हणून ते एकत्र स्थापित करण्यासाठी नाहीत।

टनेलचा स्रोत आणि गंतव्य बाह्य वितरण व्यवस्था ठरवतात, आणि ते संरक्षण जोडणीपासून वेगळे आहेत। LAN इंटरफेस, टनेल इंटरफेस आणि बाह्य स्रोत इंटरफेस तीन वेगवेगळ्या भूमिका बजावतात। LAN इंटरफेसवरील crypto map टनेलचे संरक्षण करत नाही, आणि संरक्षण सक्षम असूनही पोहोचण्यायोग्य स्रोत पत्ता नसलेले टनेल त्याच्या पीअरला कधीही पॅकेट पाठवत नाही।

लोड झालेली स्थिती तपासा, फक्त मजकूर नाही। स्थापित आवृत्तीत कॉन्फिगर केलेल्या ऑब्जेक्टना वाटाघाटी झालेल्या सत्राशी जोडणारे आदेश आहेत, आणि टिकेटमध्ये तेच उद्धृत करावे। साठवलेले कॉन्फिगरेशन हेतू सिद्ध करते; सत्र तक्ता मार्ग सिद्ध करतो।

Responder अपवाद initiator साठी नियम नाही

IOS XE मार्गदर्शक नोंदवते की responder वर स्पष्ट IKEv2 प्रोफाइल जोडणी ऐच्छिक असू शकते। तो अपवाद प्रमाणीकरण किंवा ओळख तपासण्या काढत नाही, आणि ज्या बाजूने कनेक्शन सुरू होते तिथे प्रोफाइल ऐच्छिक करत नाही।

तुमचा राउटर सुरू करत असेल तर जोडणी अनिवार्य माना आणि सुरुवातीपासून शेवटपर्यंत अनुसरा। तुमचा राउटर फक्त उत्तर देत असेल तर येणाऱ्या पीअरशी प्रत्यक्षात कोणते प्रोफाइल जुळले ते पुष्टी करा, कारण responder इंटरफेस संदर्भाऐवजी ओळखीने प्रोफाइल निवडू शकतो।

मार्ग तपासा, साठवलेले कॉन्फिगरेशन नाही

जोडण्या जुळल्यानंतर, एक परवानगी असलेले अनुप्रयोग तपासा आणि त्याचा आंतरिक स्रोत, गंतव्य आणि मार्ग नोंदवा। राउटरने सुरू केलेली विनंती LAN मधून पुढे पाठवल्या जाणाऱ्या रहदारीपेक्षा वेगळा स्रोत पत्ता वापरू शकते, आणि संरक्षण व्याप्ती त्यापैकी फक्त एकच समाविष्ट करू शकते।

योग्यरित्या जोडलेली व्याख्या हे सिद्ध करत नाही की सिलेक्टर, परतीचा मार्ग आणि इंटरफेस धोरण तुमचा प्रवाह समाविष्ट करतात। प्रत्यक्ष रहदारी पाठवा आणि वाटाघाटी झालेली स्थिती वाचा, नंतर पुन्हा कनेक्ट झाल्यावर पुनरावृत्ती करा जेणेकरून साखळी नवीन वाटाघाटी टिकून राहते हे कळेल। स्पष्टीकरण IOS XE IKEv2 पर्यंत मर्यादित ठेवा; ऐतिहासिक IKEv1 crypto map तैनातीचे ऑब्जेक्ट मॉडेल वेगळे आहे आणि ती या साखळीने डीबग करू नये।

टनेल काम करू लागल्यावर ती चार नावे बदल नोंदीत लिहा। crypto map ला पुढे स्पर्श करणाऱ्या व्यक्तीला ती लागतील, आणि साखळी हा डिझाइनचा तो भाग आहे जो चालू कॉन्फिगरेशन स्पष्ट करत नाही।