कोणते VRF VPN पीअरपर्यंत पोहोचते आणि कोणते पॅकेट वाहून नेते?

ग्राहकाच्या राउटिंग संदर्भातील प्रत्येक टनेलला अजूनही तिच्या दूरच्या पीअरपर्यंत पोहोचावे लागते, आणि तो शोध पूर्णपणे वेगळ्या तक्त्यात होऊ शकतो। हे चुकीचे केल्यास VRF-जाणकार IPsec मधील सर्वात गोंधळाच्या अयशस्वीपैकी एक घडते: टनेल वर येते, मार्ग असल्यासारखे दिसतात, आणि दोन्ही शोधांपैकी एकाने चुकीचा संदर्भ वापरल्यामुळे रहदारी थांबते। खालील चार पायऱ्या क्रमाने करा आणि दोन्ही गंतव्ये वेगळी लिहून ठेवा।

दोन शोध, एक टनेल

बाहेरील एन्कॅप्स्युलेटेड पॅकेट पीअरच्या वाहतूक पत्त्याकडे पाठवले जाते आणि कोणतेही संरक्षण असण्यापूर्वीच त्याचे राउटिंग होते। आतील पॅकेट ग्राहक सर्व्हरकडे पाठवले जाते आणि डीकॅप्स्युलेशननंतर, ग्राहकाच्या संदर्भात राउटिंग होते। ही दोन गंतव्ये, दोन शोध आणि अनेकदा दोन वेगळे तक्ते आहेत।

VRF-जाणकार IPsec साठीची Cisco ची माहिती त्यांना समोरच्या दरवाजाचे VRF आणि आतील VRF असे म्हणते। समोरचा दरवाजा कूटबद्ध वाहतूक वाहतो आणि आतील संदर्भ संरक्षित रहदारी वाहतो। टनेलला ग्राहकाचे नाव दिल्याने दोन्हीपैकी कोणताही मार्ग दिसू लागत नाही।

म्हणून संरचना बदलण्यापूर्वी चार तथ्ये यादी करा: पीअरचा वाहतूक पत्ता आणि त्यापर्यंत पोहोचणारा संदर्भ, नंतर सर्व्हरचा प्रीफिक्स आणि त्यापर्यंत पोहोचणारा संदर्भ। चारही भरता येत नसतील तर तुम्ही अंदाज लावणार आहात। या क्षेत्रात अंदाज महाग आहे, कारण चुकीच्या तक्त्यात जोडलेला मार्ग एक प्रवाह चालवू शकतो आणि दुसरा शांतपणे तोडू शकतो। चार तथ्ये गोळा करण्यास दहा मिनिटे लागतात आणि कॅप्चर विश्लेषणाचा एक दिवस वाचतो।

पीअरसाठी वाहतूक शोधाची खात्री करा

समोरच्या दरवाजापासून सुरुवात करा, कारण आपल्या पीअरपर्यंत पोहोचू न शकणारे टनेल एकही संरक्षित पॅकेट जाऊ देणार नाही। IOS वर जागतिक तक्त्याऐवजी वाहतूक VRF च्या आत पीअरपर्यंतचा मार्ग विचारा।

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

पहिला आदेश त्या संदर्भात पीअरचा पत्ता पोहोचण्यायोग्य आहे का हे सांगतो, दुसरा प्रत्यक्षात असलेल्या VRF ची यादी देतो, आणि तिसरा सुरक्षा सहयोग तयार झाला का हे दाखवतो। केवळ जागतिक तक्त्यात सुटणारा पीअर पत्ता ही पारंपरिक समोरच्या-दरवाजाची चूक आहे, आणि ती कधीही सुरू न होणाऱ्या IKE चर्चेसारखी दिसते।

इंटरफेसचे वाटपही तपासा। नोंदवलेले वर्तन टनेलच्या समोरच्या-दरवाजाचे VRF आणि WAN इंटरफेसचे VRF जुळणे आवश्यक मानते; विसंगतीमुळे पॅकेट बाहेर जाऊ शकते आणि तरीही प्रतिसाद योग्य संदर्भात प्रक्रिया होण्यास प्रतिबंध होऊ शकतो।

सर्व्हरसाठी आतील शोधाची खात्री करा

समोरचा दरवाजा सिद्ध झाल्यावर ग्राहकाच्या संदर्भात जा आणि सर्व्हरच्या प्रीफिक्सबद्दल तोच प्रश्न विचारा। हा शोध डीकॅप्स्युलेटेड पॅकेट पुढे पाठवता येते का हे ठरवतो।

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

पहिला आदेश आतील मार्ग दाखवतो, आणि दुसरा प्लॅटफॉर्मने त्याच्याशी जोडलेल्या संदर्भांसह सत्राची स्थिती दाखवतो। मार्ग असूनही सत्राचे तपशील चुकीचा आतील संदर्भ सांगत असतील, तर टनेल ग्राहकाचा प्रीफिक्स न माहीत असलेल्या तक्त्यात पाठवत आहे।

जागतिक तक्त्यातील मार्ग दोन्ही शोधांपैकी कोणत्याही शोधाचा पुरावा नाही। पॅकेट कोणत्याही VRF शी जोडलेले नसताना जागतिक मार्ग वापरले जातात, आणि ग्राहक संदर्भाला दिलेला टनेल इंटरफेस ते जोडणी बदलतो। आतील मार्ग नसल्यास, पॅकेट डीकॅप्स्युलेट होते आणि नंतर फॉरवर्डिंग नोंद नसल्यामुळे टाकून दिले जाते, जे राउटिंग चुकीपेक्षा पॅकेट हानीसारखे दिसते।

सेटिंग मॉडेल जिथे अपेक्षिते तिथे ठेवा

हीच माहिती संरचना मॉडेल वेगळी करते, आणि एकातील सेटिंग दुसऱ्यात असेलच असे नाही। टनेल संरक्षण वापरणाऱ्या टनेल इंटरफेससाठी आतील VRF टनेल इंटरफेसवर परिभाषित होते। crypto map आधारित रचनांमध्ये आतील VRF हा crypto map नोंदीचा भाग आहे। भूमिका तपासल्याशिवाय समान नावाचा आदेश मॉडेलांमध्ये हलवणे हाच कार्यरत रचना अधूनमधून बनण्याचा मार्ग।

राउटिंग आणि ओळख वेगळे विषय आहेत। पोहोचण्याची क्षमता उपकरण स्वीकारणाऱ्या पीअर प्रोफाइलची कधीही जागा घेत नाही, आणि VRF चे नाव बदलल्याने देऊ केलेली ओळखपत्रे बदलू नयेत। कोणत्याही बदलानंतर दोन्ही तपासा, कारण चुकीच्या प्रोफाइलशी बोलणी करणारे टनेलही सहयोग तयार करू शकते आणि काहीही पाठवू शकत नाही।

शेवटी, चार तथ्ये आणि ती सिद्ध करणारे आदेश बदल नोंदीत लिहा। पुढील अभियंत्याला टनेल वारसा मिळेल, तर्क नाही, आणि दोन्ही संदर्भांची नावे देणारी छोटी नोंद कोणीही अद्ययावत न करणाऱ्या आकृतीपेक्षा अधिक मूल्यवान आहे।