Profil IKEv2 definit iżda mhux imwaħħal: segwi l-katina

Profil IKEv2 salvat huwa oġġett, mhux mogħdija. Segwi ċ-ċirku taċ-ċwievet, il-profil, il-crypto map jew il-profil IPsec u l-irbit mal-interface qabel ma tiddebġja l-fażi 2.

Il-profil IKEv2 jinsab fil-konfigurazzjoni salvata, iċ-ċirku taċ-ċwievet hemm ukoll, u t-tunnel xorta ma jogħliex. Fuq Cisco IOS XE profil huwa oġġett li jġorr għażliet ta' tqabbil tal-identità u awtentikazzjoni, u oġġett ma jagħmel xejn sakemm oġġett ieħor jirreferih u interface jorbot dak l-oġġett ma' mogħdija. Ħafna mis-sessjonijiet ta' debġjar tal-fażi 1 li jfallu jaqbżu waħda minn dawn ir-referenzi. Aqra l-katina miċ-ċirku taċ-ċwievet 'il barra qabel ma tibdel xi proposta jew politika.

X'inhu fil-fatt oġġett ta' profil

Il-profil IKEv2 iżomm it-tqabbil tal-identità remota, il-metodi ta' awtentikazzjoni lokali u remota, u referenza għaċ-ċirku taċ-ċwievet għal disinji b'ċavetta kondiviża minn qabel. Jiddeskrivi kif peer jiġi rikonoxxut u kif jipprova lilu nnifsu, u ma jsemmi l-ebda interface.

Iċ-ċirku taċ-ċwievet huwa oġġett separat li jżomm iċ-ċwievet kondiviżi minn qabel. Il-crypto map jew il-profil IPsec huwa t-tielet oġġett li jirreferi l-profil IKEv2 u jipprovdi s-settings tal-protezzjoni. L-irbit mal-interface huwa r-raba' pass, fejn jiġi applikat crypto map jew jiġi attivat tunnel protection. Kull qabża hija referenza distinta, u qabża neqsin tħalli kull oġġett jidher korrett waħdu.

Segwi l-katina ta' referenzi fl-ordni

Ibda miċ-ċirku taċ-ċwievet li jsemmi l-profil, imbagħad ikkonferma l-isem tal-profil li jirreferi l-crypto map jew il-profil IPsec, u mbagħad sib l-interface li tikkonsma dak l-aħħar oġġett. Ikteb kull isem ħdejn l-oġġett li jikkonsmah; dik il-lista qasira hija aktar utli milli tiċċekkja li kull blokka mistennija teżisti x'imkien fil-konfigurazzjoni.

Il-ksur tas-soltu huwa mekkaniku. Isem ta' profil ivarja b'karattru wieħed minn dak li jirreferi l-crypto map. Il-crypto map teżisti imma qatt ma ġiet applikata mal-interface. Il-kmand tunnel protection jindika profil IPsec li jirreferi profil IKEv2 differenti. Responder mingħajr irbit espliċitu huwa każ dokumentat, imma initiator mingħajr irbit sempliċement mhuwiex konfigurat għall-mogħdija.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Aqra s-silta bħala katina u mhux bħala mudell. L-interface issemmi l-profil IPsec, il-profil IPsec issemmi l-profil IKEv2, u l-profil IKEv2 issemmi ċ-ċirku taċ-ċwievet. Kisser wieħed minn dawn l-ismijiet u l-konfigurazzjoni xorta tiġi analizzata, u għalhekk ir-router jaċċettaha u t-tunnel jibqa' 'l isfel.

Crypto map u tunnel protection huma alternattivi

Cisco tiddokumenta żewġ arranġamenti ta' rbit. Crypto map tista' tiġi applikata ma' interface u tista' tirreferi l-profil IKEv2 permezz tal-kmand set tagħha. Tunnel protection torbot profil IPsec ma' interface tat-tunnel. It-tnejn huma validi, u mhumiex maħsuba biex jiġu installati flimkien bħala miżura ta' sigurtà doppja.

Is-sors u d-destinazzjoni tat-tunnel jidentifikaw l-arranġament tal-kunsinna ta' barra, u huma separati mill-irbit tal-protezzjoni. Interface LAN, l-interface tat-tunnel u l-interface tas-sors ta' barra għandhom tliet rwoli differenti. Crypto map fuq l-interface LAN ma tipproteġix it-tunnel, u tunnel b'protezzjoni attivata imma mingħajr indirizz tas-sors li jista' jintlaħaq qatt ma jibgħat pakkett lil peer tiegħu.

Iċċekkja l-istat mgħobbi, mhux biss it-test. Ir-rilaxx installat għandu kmandi li jgħaqqdu l-oġġetti konfigurati mas-sessjoni nnegozjata, u dawk huma li għandek tikkwota fi ticket. Konfigurazzjoni salvata tipprova l-intenzjoni; tabella tas-sessjonijiet tipprova l-mogħdija.

L-eċċezzjoni tar-responder mhix regola għall-initiators

Il-gwida IOS XE tinnota li rbit espliċitu tal-profil IKEv2 jista' jkun fakultattiv fuq responder. Dik l-eċċezzjoni ma tneħħix l-awtentikazzjoni jew il-kontrolli tal-identità, u ma tagħmilx il-profil fakultattiv fuq in-naħa li tibda l-konnessjoni.

Jekk ir-router tiegħek jibda, ittratta l-irbit bħala obbligatorju u segwih mill-bidu sal-aħħar. Jekk ir-router tiegħek iwieġeb biss, ikkonferma liema profil fil-fatt qabel mal-peer li deħel, għax responder jista' jagħżel profil bl-identità u mhux bir-referenza tal-interface.

Iċċekkja l-mogħdija, mhux il-konfigurazzjoni salvata

Meta l-irbit jaqblu, ipprova applikazzjoni waħda permessa u rreġistra s-sors, id-destinazzjoni u r-rotta interni tagħha. Talba li tinbeda mir-router tista' tuża indirizz tas-sors differenti mit-traffiku li jgħaddi mil-LAN, u l-ambitu tal-protezzjoni jista' jkopri biss wieħed minnhom.

Definizzjoni mwaħħla kif suppost ma tipprovax li s-seletturi, ir-rotta tar-ritorn u l-politika tal-interface jkopru l-fluss tiegħek. Ibgħat traffiku reali u aqra l-istat nnegozjat, imbagħad erġa' għamilha wara rikonnessjoni biex tkun taf li l-katina tibqa' ħajja f'negozjar ġdid. Żomm l-ispjegazzjoni fil-kamp ta' IOS XE IKEv2; installazzjoni storika ta' crypto map IKEv1 għandha mudell ta' oġġetti differenti u m'għandhiex tiġi debġjata b'din il-katina.

Ikteb dawk l-erba' ismijiet fir-rekord tal-bidliet meta t-tunnel jaħdem. Il-persuna li jmiss li tmiss il-crypto map se jkollha bżonnhom, u l-katina hija l-parti tad-disinn li l-konfigurazzjoni li qed taħdem ma tispjegax.

Artikli relatati