Liema VRF jilħaq il-pari VPN u liema jġorr il-pakkett?

Kull tunnel ġewwa kontekst tar-rotot ta klijent xorta jrid jilħaq il-pari remot tiegħu, u dik it-tfittxija tista sseħħ f tabella kompletament differenti. Li tagħmel dan ħażin jipproduċi waħda mill-aktar fallimenti konfużi fl-IPsec konxju tal-VRF: it-tunnel jitla, ir-rotot jidhru preżenti, u t-traffiku jmut għax waħda miż-żewġ tfittxijiet użat il-kontekst ħażin. Esegwi l-erba passi hawn taħt bil-qies, u żżomm iż-żewġ destinazzjonijiet miktuba separatament.

Żewġ tfittxijiet, tunnel wieħed

Il-pakkett inkapsulat ta barra huwa indirizzat lejn l-indirizz tat-trasport tal-pari, u jiġi rrutat qabel ma teżisti kwalunkwe protezzjoni. Il-pakkett ta ġewwa huwa indirizzat lejn server tal-klijent u jiġi rrutat wara d-dekapsulazzjoni, ġewwa l-kontekst tal-klijent. Dawk huma żewġ destinazzjonijiet, żewġ tfittxijiet u spiss żewġ tabelli differenti.

Id-dokumentazzjoni ta Cisco għall-IPsec konxju tal-VRF issejħilhom VRF tal-bieb ta quddiem u VRF ta ġewwa. Il-bieb ta quddiem iġorr it-trasport ikkriptat, u l-kontekst ta ġewwa jġorr it-traffiku protett. Xejn dwar li ssemmi tunnel għal klijent ma jagħmel xi waħda miż-żewġ rotot tidher.

Mela elenka erba fatti qabel ma tbiddel konfigurazzjoni: l-indirizz tat-trasport tal-pari u l-kontekst li jilħaq lilu, imbagħad il-prefiss tas-server u l-kontekst li jilħaq lilu. Jekk ma tistax timla l-erbgħa kollha, inti se taqta bl-addoċċ. It-taqta bl-addoċċ f dan il-qasam hija għalja, għax rotta miżjuda mat-tabella ħażina tista tagħmel fluss wieħed jaħdem filwaqt li tfarrak ieħor bil-kwiet. L-erba fatti jieħdu għaxar minuti biex jinġabru u jiffrankaw jum ta analiżi tal-qbid.

Ikkonferma t-tfittxija tat-trasport għall-pari

Ibda mill-bieb ta quddiem, għax tunnel li ma jistax jilħaq il-pari tiegħu qatt ma jgħaddi pakkett protett wieħed. Fuq IOS itlob ir-rotta lejn il-pari ġewwa l-VRF tat-trasport u mhux fit-tabella globali.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

L-ewwel kmand iwieġeb jekk l-indirizz tal-pari huwiex aċċessibbli f dak il-kontekst, it-tieni jelenka l-VRF li tassew jeżistu, u t-tielet juri jekk iffurmatx assoċjazzjoni tas-sigurtà. Indirizz tal-pari li jiġi riżolt biss fit-tabella globali huwa l-iżball klassiku tal-bieb ta quddiem, u jidher bħala negozjar IKE li qatt ma jibda.

Iċċekkja wkoll l-assenjazzjoni tal-interface. L-imġiba dokumentata teħtieġ li l-VRF tal-bieb ta quddiem tat-tunnel u l-VRF tal-interface WAN jaqblu; nuqqas ta qbil jista jħalli pakkett joħroġ u xorta jimpedixxi li t-tweġiba tiġi pproċessata fil-kontekst it-tajjeb.

Ikkonferma t-tfittxija ta ġewwa għas-server

Meta l-bieb ta quddiem ikun ippruvat, aqleb għall-kontekst tal-klijent u staqsi l-istess mistoqsija dwar il-prefiss tas-server. Din it-tfittxija tiddeċiedi jekk pakkett dekapsulat jistax jingħadda l quddiem.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

L-ewwel kmand juri r-rotta ta ġewwa, u t-tieni juri l-istat tas-sessjoni flimkien mal-konteksti li l-pjattaforma assoċjat miegħu. Jekk ir-rotta teżisti imma d-dettalji tas-sessjoni jsemmu l-kontekst ta ġewwa ħażin, it-tunnel qed jgħaddi għal tabella li ma tafx il-prefiss tal-klijent.

Rotta fit-tabella globali mhija ebda prova għal xi waħda miż-żewġ tfittxijiet. Ir-rotot globali jintużaw meta pakkett mhuwiex assoċjat ma VRF, u interface tat-tunnel assenjata lil kontekst tal-klijent tbiddel dik l-assoċjazzjoni. Jekk ir-rotta ta ġewwa tkun nieqsa, il-pakkett jiġi dekapsulat u mbagħad jintrema għan-nuqqas ta entrata tal-għoti l quddiem, li jidher bħala telf ta pakketti u mhux żball tar-rotot.

Qiegħed is-setting fejn il-mudell jistenna

L-istess dokumentazzjoni tiddistingwi mudelli ta konfigurazzjoni, u setting li jappartjeni lil wieħed mhux bilfors jappartjeni lil ieħor. Għall-interfaces tat-tunnel li jużaw il-protezzjoni tat-tunnel, il-VRF ta ġewwa huwa definit fuq l-interface tat-tunnel. Għal disinni bbażati fuq crypto map, il-VRF ta ġewwa huwa parti mill-entrata crypto map. Li tmexxi kmand bl-istess isem bejn mudelli mingħajr ma tiċċekkja r-rwol tiegħu huwa l-mod kif disinn li jaħdem isir intermittenti.

Ir-rotot u l-identità huma kwistjonijiet separati. L-aċċessibbiltà qatt ma tissostitwixxi profil tal-pari li l-apparat se jaċċetta, u bidla fl-isem tal-VRF m għandhiex tbiddel il-kredenzjali offruti. Iċċekkja t-tnejn wara kull bidla, għax tunnel li jinnegozja mal-profil ħażin xorta jista jifforma assoċjazzjoni u ma jgħaddi xejn.

Fl-aħħar, irreġistra l-erba fatti u l-kmandi li wrewhom fir-rekord tal-bidliet. L-inġinier li jmiss se jiret it-tunnel u mhux ir-raġunament, u nota qasira li ssemmi ż-żewġ konteksti tiswa aktar minn dijagramma li ħadd ma jaġġornaha.