VRF mana yang mencapai rakan VPN dan mana yang membawa paket?

Setiap terowong dalam konteks penghalaan pelanggan masih perlu mencapai rakan jauhnya, dan carian itu boleh berlaku dalam jadual yang sama sekali berbeza. Melakukannya dengan salah menghasilkan salah satu kegagalan paling mengelirukan dalam IPsec yang sedar VRF: terowong naik, laluan kelihatan ada, dan trafik mati kerana salah satu daripada dua carian menggunakan konteks yang salah. Jalankan empat langkah di bawah mengikut urutan, dan catat kedua-dua destinasi secara berasingan.

Dua carian, satu terowong

Paket berkapsul luar dialamatkan ke alamat pengangkutan rakan, dan ia dihalakan sebelum sebarang perlindungan wujud. Paket dalam dialamatkan ke pelayan pelanggan dan dihalakan selepas nyahkapsul, di dalam konteks pelanggan. Itu dua destinasi, dua carian dan selalunya dua jadual berbeza.

Dokumentasi Cisco untuk IPsec yang sedar VRF menamakannya VRF pintu hadapan dan VRF dalam. Pintu hadapan membawa pengangkutan yang disulitkan, dan konteks dalam membawa trafik yang dilindungi. Tiada apa-apa tentang menamakan terowong sempena pelanggan menjadikan mana-mana laluan itu muncul.

Jadi senaraikan empat fakta sebelum mengubah konfigurasi: alamat pengangkutan rakan dan konteks yang mencapainya, kemudian awalan pelayan dan konteks yang mencapainya. Jika anda tidak dapat mengisi keempat-empatnya, anda akan meneka. Meneka dalam bidang ini mahal, kerana laluan yang ditambah ke jadual yang salah boleh membuat satu aliran berfungsi sambil memecahkan aliran lain secara senyap. Keempat-empat fakta mengambil masa sepuluh minit untuk dikumpul dan menjimatkan sehari analisis tangkapan.

Sahkan carian pengangkutan untuk rakan

Mulakan dengan pintu hadapan, kerana terowong yang tidak dapat mencapai rakannya tidak akan melepaskan satu paket terlindung pun. Pada IOS, minta laluan ke rakan di dalam VRF pengangkutan dan bukan dalam jadual global.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Perintah pertama menjawab sama ada alamat rakan boleh dicapai dalam konteks itu, yang kedua menyenaraikan VRF yang benar-benar wujud, dan yang ketiga menunjukkan sama ada persatuan keselamatan terbentuk. Alamat rakan yang hanya diselesaikan dalam jadual global ialah kesilapan pintu hadapan klasik, dan ia muncul sebagai rundingan IKE yang tidak pernah bermula.

Semak penetapan antara muka juga. Tingkah laku yang didokumenkan memerlukan VRF pintu hadapan terowong dan VRF antara muka WAN bersetuju; ketidakpadanan boleh membiarkan paket keluar dan masih menghalang balasan diproses dalam konteks yang betul.

Sahkan carian dalam untuk pelayan

Setelah pintu hadapan terbukti, tukar ke konteks pelanggan dan tanya soalan yang sama tentang awalan pelayan. Carian ini menentukan sama ada paket yang dinyahkapsul boleh dimajukan.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Perintah pertama menunjukkan laluan dalam, dan yang kedua menunjukkan keadaan sesi bersama konteks yang dikaitkan oleh platform dengannya. Jika laluan wujud tetapi butiran sesi menamakan konteks dalam yang salah, terowong memajukan ke jadual yang tidak mengenali awalan pelanggan.

Laluan dalam jadual global bukan bukti untuk mana-mana daripada dua carian itu. Laluan global digunakan apabila paket tidak dikaitkan dengan VRF, dan antara muka terowong yang ditetapkan kepada konteks pelanggan mengubah kaitan itu. Jika laluan dalam tiada, paket dinyahkapsul dan kemudian digugurkan kerana tiada entri pemajuan, yang kelihatan seperti kehilangan paket dan bukan kesilapan penghalaan.

Letakkan tetapan di tempat model menjangkakannya

Dokumentasi yang sama membezakan model konfigurasi, dan tetapan yang tergolong dalam satu tidak semestinya tergolong dalam yang lain. Untuk antara muka terowong yang menggunakan perlindungan terowong, VRF dalam ditakrifkan pada antara muka terowong. Untuk reka bentuk berasaskan crypto map, VRF dalam ialah sebahagian daripada entri crypto map. Memindahkan perintah yang bernama serupa antara model tanpa memeriksa peranannya ialah cara reka bentuk yang berfungsi menjadi tidak menentu.

Penghalaan dan identiti ialah perkara berasingan. Kebolehcapaian tidak pernah menggantikan profil rakan yang akan diterima peranti, dan penamaan semula VRF tidak boleh mengubah kelayakan yang ditawarkan. Semak kedua-duanya selepas setiap perubahan, kerana terowong yang berunding dengan profil yang salah masih boleh membentuk persatuan dan tidak memajukan apa-apa.

Akhir sekali, catat keempat-empat fakta dan perintah yang membuktikannya dalam rekod perubahan. Jurutera seterusnya akan mewarisi terowong dan bukan penaakulan, dan nota pendek yang menamakan kedua-dua konteks lebih bernilai daripada rajah yang tiada siapa mengemas kininya.