Profil IKEv2 ditakrifkan tetapi tidak dilampirkan: jejaki rantaian

Profil IKEv2 ada dalam konfigurasi yang disimpan, gelang kunci juga ada di sana, tetapi terowong masih tidak naik. Pada Cisco IOS XE, profil ialah objek yang membawa pilihan pemadanan identiti dan pengesahan, dan objek tidak melakukan apa-apa sehingga objek lain merujuknya dan antara muka melampirkan objek itu pada laluan. Kebanyakan sesi nyahpepijat fasa 1 yang gagal terlepas pandang salah satu rujukan itu. Baca rantaian dari gelang kunci ke luar sebelum anda menukar sebarang cadangan atau dasar.

Apakah sebenarnya objek profil

Profil IKEv2 menyimpan pemadanan identiti jauh, kaedah pengesahan tempatan dan jauh, serta rujukan kepada gelang kunci untuk reka bentuk dengan kunci yang dikongsi terlebih dahulu. Ia menerangkan bagaimana peer dikenali dan bagaimana ia membuktikan dirinya, dan ia tidak menamakan mana-mana antara muka.

Gelang kunci ialah objek berasingan yang menyimpan kunci yang dikongsi terlebih dahulu. Crypto map atau profil IPsec ialah objek ketiga yang merujuk profil IKEv2 dan membekalkan tetapan perlindungan. Lampiran antara muka ialah langkah keempat, di mana crypto map digunakan atau tunnel protection dihidupkan. Setiap lompatan ialah rujukan berasingan, dan lompatan yang hilang membiarkan setiap objek kelihatan betul secara berasingan.

Jejaki rantaian rujukan mengikut urutan

Mulakan dengan gelang kunci yang dinamakan profil, kemudian sahkan nama profil yang dirujuk oleh crypto map atau profil IPsec, kemudian cari antara muka yang menggunakan objek terakhir itu. Tulis setiap nama di sebelah objek yang menggunakannya; senarai pendek itu lebih berguna daripada memeriksa bahawa setiap blok yang dijangka wujud di suatu tempat dalam konfigurasi.

Kerosakan biasa bersifat mekanikal. Nama profil berbeza satu aksara daripada yang dirujuk oleh crypto map. Crypto map wujud tetapi tidak pernah digunakan pada antara muka. Arahan tunnel protection menunjuk kepada profil IPsec yang merujuk profil IKEv2 yang lain. Responder tanpa lampiran eksplisit ialah kes yang didokumenkan, tetapi initiator tanpa lampiran semata-mata tidak dikonfigurasikan untuk laluan itu.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Baca petikan itu sebagai rantaian dan bukan sebagai templat. Antara muka menamakan profil IPsec, profil IPsec menamakan profil IKEv2, dan profil IKEv2 menamakan gelang kunci. Putuskan mana-mana nama itu dan konfigurasi masih dihuraikan, itulah sebabnya penghala menerimanya dan terowong kekal turun.

Crypto map dan tunnel protection ialah alternatif

Cisco mendokumenkan dua susunan lampiran. Crypto map boleh digunakan pada antara muka dan boleh merujuk profil IKEv2 melalui arahan setnya. Tunnel protection melampirkan profil IPsec pada antara muka terowong. Kedua-duanya sah, dan kedua-duanya tidak dimaksudkan untuk dipasang bersama sebagai langkah keselamatan berganda.

Sumber dan destinasi terowong menentukan susunan penghantaran luar, dan kedua-duanya berasingan daripada lampiran perlindungan. Antara muka LAN, antara muka terowong dan antara muka sumber luar memainkan tiga peranan berbeza. Crypto map pada antara muka LAN tidak melindungi terowong, dan terowong dengan perlindungan dihidupkan tetapi tanpa alamat sumber yang boleh dicapai tidak pernah menghantar paket kepada peer-nya.

Periksa keadaan yang dimuatkan, bukan hanya teks. Keluaran yang dipasang mempunyai arahan yang menghubungkan objek yang dikonfigurasikan dengan sesi yang dirundingkan, dan itulah yang perlu dipetik dalam tiket. Konfigurasi yang disimpan membuktikan niat; jadual sesi membuktikan laluan itu.

Pengecualian responder bukan peraturan untuk initiator

Panduan IOS XE menyatakan bahawa lampiran profil IKEv2 yang eksplisit boleh menjadi pilihan pada responder. Pengecualian itu tidak menghapuskan pengesahan atau pemeriksaan identiti, dan ia tidak menjadikan profil itu pilihan di pihak yang memulakan sambungan.

Jika penghala anda memulakan, anggap lampiran itu wajib dan jejakinya dari hujung ke hujung. Jika penghala anda hanya menjawab, sahkan profil mana yang benar-benar sepadan dengan peer yang masuk, kerana responder boleh memilih profil mengikut identiti dan bukan mengikut rujukan antara muka.

Periksa laluan, bukan konfigurasi yang disimpan

Setelah lampiran sepadan, uji satu aplikasi yang dibenarkan dan catatkan sumber, destinasi dan laluan dalamannya. Permintaan yang dimulakan oleh penghala boleh menggunakan alamat sumber yang berbeza daripada trafik yang dihantar dari LAN, dan skop perlindungan mungkin hanya meliputi salah satu daripadanya.

Definisi yang dilampirkan dengan betul tidak membuktikan bahawa pemilih, laluan balik dan dasar antara muka meliputi aliran anda. Hantar trafik sebenar dan baca keadaan yang dirundingkan, kemudian ulangi selepas menyambung semula supaya anda tahu rantaian itu bertahan dalam rundingan baharu. Kekalkan penjelasan dalam lingkungan IOS XE IKEv2; penggunaan crypto map IKEv1 sejarah mempunyai model objek yang berbeza dan tidak sepatutnya dinyahpepijat dengan rantaian ini.

Tulis keempat-empat nama itu dalam rekod perubahan apabila terowong berfungsi. Orang seterusnya yang menyentuh crypto map akan memerlukannya, dan rantaian ialah bahagian reka bentuk yang tidak dijelaskan oleh konfigurasi yang sedang berjalan.