IKEv2-profil definert men ikke knyttet: følg kjeden

IKEv2-profilen ligger i den lagrede konfigurasjonen, nøkkelringen er der også, og tunnelen kommer likevel ikke opp. På Cisco IOS XE er en profil et objekt som bærer valg for identitetsmatching og autentisering, og et objekt gjør ingenting før et annet objekt refererer til det og et grensesnitt kobler det objektet til en vei. De fleste mislykkede feilsøkingsøktene for fase 1 hopper over én av disse referansene. Les kjeden fra nøkkelringen og utover før du endrer et forslag eller en policy.

Hva et profilobjekt egentlig er

IKEv2-profilen holder matchingen av den eksterne identiteten, de lokale og eksterne autentiseringsmetodene og en referanse til en nøkkelring for design med forhåndsdelt nøkkel. Den beskriver hvordan en peer blir gjenkjent og hvordan den beviser seg selv, og den nevner ikke noe grensesnitt.

Nøkkelringen er et eget objekt som holder de forhåndsdeldte nøklene. Crypto map eller IPsec-profilen er et tredje objekt som refererer til IKEv2-profilen og leverer verninnstillingene. Grensesnittkoblingen er det fjerde trinnet, der en crypto map brukes eller tunnel protection slås på. Hvert sprang er en egen referanse, og et manglende sprang lar hvert objekt se riktig ut alene.

Følg referansekjeden i rekkefølge

Start ved nøkkelringen som profilen nevner, bekreft så profilnavnet som crypto map eller IPsec-profilen refererer til, og finn så grensesnittet som bruker det siste objektet. Skriv hvert navn ved siden av objektet som bruker det; den korte listen er nyttigere enn å sjekke at hver forventede blokk finnes et sted i konfigurasjonen.

De vanlige bruddene er mekaniske. Et profilnavn skiller seg med ett tegn fra det crypto map refererer til. Crypto map finnes men ble aldri brukt på grensesnittet. Kommandoen tunnel protection peker på en IPsec-profil som refererer til en annen IKEv2-profil. En responder uten eksplisitt kobling er et dokumentert tilfelle, men en initiator uten kobling er rett og slett ikke konfigurert for veien.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Les utdraget som en kjede og ikke som en mal. Grensesnittet nevner IPsec-profilen, IPsec-profilen nevner IKEv2-profilen, og IKEv2-profilen nevner nøkkelringen. Bryt ett av disse navnene og konfigurasjonen blir fortsatt parset, derfor godtar ruteren den og tunnelen blir stående nede.

Crypto map og tunnel protection er alternativer

Cisco dokumenterer to koblingsmåter. En crypto map kan brukes på et grensesnitt og kan referere til IKEv2-profilen gjennom set-kommandoen sin. Tunnel protection kobler en IPsec-profil til et tunellgrensesnitt. Begge er gyldige, og de er ikke ment å bli installert sammen som en dobbel sikring.

Kilden og målet til tunnelen avgjør den ytre leveringsmåten, og de er skilt fra vernkoblingen. Et LAN-grensesnitt, tunellgrensesnittet og det ytre kildegrensesnittet spiller tre ulike roller. En crypto map på LAN-grensesnittet verner ikke tunnelen, og en tunnel med vern på men uten nåbar kildeadresse sender aldri en pakke til peeren sin.

Se på den lastede tilstanden, ikke bare teksten. Den installerte utgaven har kommandoer som kobler de konfigurerte objektene til den forhandlede økten, og det er dem du skal sitere i en ticket. En lagret konfigurasjon beviser intensjonen; en økttabell beviser veien.

Responder-unntaket er ikke en regel for initiatorer

IOS XE-veiledningen nevner at en eksplisitt IKEv2-profilkobling kan være valgfri på en responder. Det unntaket fjerner ikke autentisering eller identitetskontroller, og det gjør ikke profilen valgfri på siden som starter forbindelsen.

Hvis ruteren din starter, behandle koblingen som obligatorisk og følg den fra ende til annen. Hvis ruteren din bare svarer, bekreft hvilken profil som faktisk passet til den innkommende peeren, for en responder kan velge profil etter identitet og ikke etter grensesnittreferanse.

Sjekk veien, ikke den lagrede konfigurasjonen

Når koblingene stemmer, test én tillatt applikasjon og registrer den indre kilden, målet og ruten hans. En forespørsel som ruteren starter kan bruke en annen kildeadresse enn trafikk som sendes videre fra LAN-et, og vernomfanget dekker kanskje bare én av dem.

En riktig koblet definisjon beviser ikke at selektorene, returruten og grensesnittpolicyen dekker flyten din. Send virkelig trafikk og les den forhandlede tilstanden, og gjør det om igjen etter en ny tilkobling så du vet at kjeden overlever en ny forhandling. Hold forklaringen innenfor IOS XE IKEv2; en historisk IKEv1 crypto map-installasjon har en annen objektmodell og bør ikke feilsøkes med denne kjeden.

Skriv de fire navnene i endringsregisteret når tunnelen fungerer. Den neste personen som rører crypto map trenger dem, og kjeden er den delen av designet som den kjørende konfigurasjonen ikke forklarer.