IKEv2 प्रोफाइल परिभाषित भयो तर जोडिएको छैन: शृंखला पछ्याउनुहोस्

IKEv2 प्रोफाइल सुरक्षित कन्फिगरेसनमा छ, कि-रिङ पनि त्यहीँ छ, र टनेल अझै माथि आउँदैन। Cisco IOS XE मा प्रोफाइल एउटा वस्तु हो जसले पहिचान मिलान र प्रमाणीकरणका विकल्प बोक्छ, र अर्को वस्तुले त्यसलाई सन्दर्भ नगरेसम्म र इन्टरफेसले त्यो वस्तुलाई मार्गसँग नजोडेसम्म वस्तुले केही गर्दैन। असफल चरण 1 डिबग सत्रहरूले यी सन्दर्भमध्ये एउटा छुटाउँछन्। कुनै पनि प्रस्ताव वा नीति बदल्नु अघि कि-रिङबाट बाहिरतिर शृंखला पढ्नुहोस्।

प्रोफाइल वस्तु वास्तवमा के हो

IKEv2 प्रोफाइलले टाढाको पहिचानको मिलान, स्थानीय र टाढाका प्रमाणीकरण विधि, र पूर्व-साझा कुञ्जी भएका डिजाइनका लागि कि-रिङको सन्दर्भ राख्छ। यसले peer कसरी चिनिन्छ र आफूलाई कसरी प्रमाणित गर्छ भन्ने वर्णन गर्छ, र कुनै इन्टरफेसको नाम लिँदैन।

कि-रिङ पूर्व-साझा कुञ्जीहरू राख्ने छुट्टै वस्तु हो। Crypto map वा IPsec प्रोफाइल तेस्रो वस्तु हो जसले IKEv2 प्रोफाइललाई सन्दर्भ गर्छ र सुरक्षा सेटिङहरू दिन्छ। इन्टरफेस जोडाइ चौथो चरण हो, जहाँ crypto map लागू हुन्छ वा tunnel protection सक्षम हुन्छ। हरेक फड्को छुट्टै सन्दर्भ हो, र छुटेको फड्कोले हरेक वस्तुलाई अलग्गै सही देखिन दिन्छ।

सन्दर्भ शृंखला क्रममा पछ्याउनुहोस्

प्रोफाइलले नाम दिने कि-रिङबाट सुरु गर्नुहोस्, त्यसपछि crypto map वा IPsec प्रोफाइलले सन्दर्भ गर्ने प्रोफाइल नाम पुष्टि गर्नुहोस्, र त्यसपछि त्यो अन्तिम वस्तु प्रयोग गर्ने इन्टरफेस खोज्नुहोस्। हरेक नाम त्यसलाई प्रयोग गर्ने वस्तुको छेउमा लेख्नुहोस्; कन्फिगरेसनमा कतै हरेक अपेक्षित ब्लक छ कि छैन जाँच्नुभन्दा यो छोटो सूची बढी उपयोगी छ।

सामान्य भाँचिएका कुरा यान्त्रिक हुन्। प्रोफाइल नाम crypto map ले सन्दर्भ गर्ने नामभन्दा एक अक्षर फरक छ। Crypto map छ तर इन्टरफेसमा कहिल्यै लागू गरिएको छैन। Tunnel protection आदेशले अर्को IKEv2 प्रोफाइललाई सन्दर्भ गर्ने IPsec प्रोफाइलतर्फ देखाउँछ। स्पष्ट जोडाइ नभएको responder दस्तावेजीकृत केस हो, तर जोडाइ नभएको initiator त्यो मार्गका लागि कन्फिगर नै गरिएको छैन।

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

यो अंशलाई टेम्प्लेट होइन, शृंखलाका रूपमा पढ्नुहोस्। इन्टरफेसले IPsec प्रोफाइलको नाम लिन्छ, IPsec प्रोफाइलले IKEv2 प्रोफाइलको नाम लिन्छ, र IKEv2 प्रोफाइलले कि-रिङको नाम लिन्छ। यीमध्ये कुनै पनि नाम तोड्नुहोस् र कन्फिगरेसन अझै पार्स हुन्छ, त्यसैले राउटरले यसलाई स्वीकार्छ र टनेल तलै रहन्छ।

Crypto map र tunnel protection विकल्प हुन्

Cisco ले दुई जोडाइ व्यवस्था दस्तावेज गर्छ। Crypto map इन्टरफेसमा लागू गर्न सकिन्छ र यसले आफ्नो set आदेशमार्फत IKEv2 प्रोफाइललाई सन्दर्भ गर्न सक्छ। Tunnel protection ले IPsec प्रोफाइललाई टनेल इन्टरफेसमा जोड्छ। दुवै मान्य छन्, र तिनीहरू दोहोरो सुरक्षाका रूपमा सँगै स्थापना गर्नका लागि होइनन्।

टनेलको स्रोत र गन्तव्यले बाहिरी डेलिभरी व्यवस्था निर्धारण गर्छन्, र ती सुरक्षा जोडाइबाट अलग छन्। LAN इन्टरफेस, टनेल इन्टरफेस र बाहिरी स्रोत इन्टरफेसले तीन फरक भूमिका खेल्छन्। LAN इन्टरफेसमा भएको crypto map ले टनेलको सुरक्षा गर्दैन, र सुरक्षा सक्षम भए पनि पुग्न सकिने स्रोत ठेगाना नभएको टनेलले आफ्नो peer लाई कहिल्यै प्याकेट पठाउँदैन।

लोड भएको अवस्था जाँच्नुहोस्, केवल पाठ होइन। स्थापित रिलिजमा कन्फिगर गरिएका वस्तुहरूलाई वार्ता गरिएको सत्रसँग जोड्ने आदेशहरू छन्, र टिकटमा तिनै उद्धृत गर्नुपर्छ। सुरक्षित कन्फिगरेसनले मनसाय प्रमाणित गर्छ; सत्र तालिकाले मार्ग प्रमाणित गर्छ।

Responder अपवाद initiator का लागि नियम होइन

IOS XE गाइडले responder मा स्पष्ट IKEv2 प्रोफाइल जोडाइ वैकल्पिक हुन सक्ने उल्लेख गर्छ। त्यो अपवादले प्रमाणीकरण वा पहिचान जाँच हटाउँदैन, र जुन पक्षले जडान सुरु गर्छ त्यहाँ प्रोफाइललाई वैकल्पिक बनाउँदैन।

यदि तपाईंको राउटरले सुरु गर्छ भने, जोडाइलाई अनिवार्य मान्नुहोस् र सुरुदेखि अन्त्यसम्म पछ्याउनुहोस्। यदि तपाईंको राउटरले मात्र जवाफ दिन्छ भने, आउँदो peer सँग वास्तवमा कुन प्रोफाइल मिल्यो पुष्टि गर्नुहोस्, किनकि responder ले इन्टरफेस सन्दर्भको सट्टा पहिचानले प्रोफाइल छान्न सक्छ।

मार्ग जाँच्नुहोस्, सुरक्षित कन्फिगरेसन होइन

जोडाइहरू मिलेपछि, एउटा अनुमति प्राप्त अनुप्रयोग परीक्षण गर्नुहोस् र त्यसको आन्तरिक स्रोत, गन्तव्य र मार्ग रेकर्ड गर्नुहोस्। राउटरबाट सुरु भएको अनुरोधले LAN बाट अगाडि पठाइने ट्राफिकभन्दा फरक स्रोत ठेगाना प्रयोग गर्न सक्छ, र सुरक्षा दायराले तीमध्ये एउटालाई मात्र समेट्न सक्छ।

राम्ररी जोडिएको परिभाषाले सिलेक्टर, फर्कने मार्ग र इन्टरफेस नीतिले तपाईंको प्रवाह समेट्छन् भनी प्रमाणित गर्दैन। वास्तविक ट्राफिक पठाउनुहोस् र वार्ता गरिएको अवस्था पढ्नुहोस्, त्यसपछि पुनः जडान भएपछि दोहोर्याउनुहोस् ताकि शृंखलाले नयाँ वार्ता सहन्छ भन्ने थाहा होस्। व्याख्यालाई IOS XE IKEv2 भित्र सीमित राख्नुहोस्; ऐतिहासिक IKEv1 crypto map तैनातीको वस्तु मोडेल फरक छ र त्यसलाई यो शृंखलाले डिबग गर्नु हुँदैन।

टनेल चलेपछि ती चार नाम परिवर्तन रेकर्डमा लेख्नुहोस्। crypto map लाई अर्को पटक छुने व्यक्तिलाई ती चाहिन्छ, र शृंखला त्यो डिजाइनको भाग हो जुन चलिरहेको कन्फिगरेसनले व्याख्या गर्दैन।