IKEv2-profil definert men ikkje knytt: følg kjeda

IKEv2-profilen ligg i den lagra konfigurasjonen, nøkkelringen er der òg, og tunnelen kjem likevel ikkje opp. På Cisco IOS XE er ein profil eit objekt som ber val for identitetsmatching og autentisering, og eit objekt gjer ingenting før eit anna objekt viser til det og eit grensesnitt knyter det objektet til ein veg. Dei fleste mislykka feilsøkingsøktene for fase 1 hoppar over éin av desse referansane. Les kjeda frå nøkkelringen og utover før du endrar eit framlegg eller ein policy.

Kva eit profilobjekt eigentleg er

IKEv2-profilen held matchinga av den eksterne identiteten, dei lokale og eksterne autentiseringsmetodane og ein referanse til ein nøkkelring for design med førehandsdelt nøkkel. Han skildrar korleis ein peer blir kjend att og korleis han provar seg sjølv, og han nemner ikkje noko grensesnitt.

Nøkkelringen er eit eige objekt som held dei førehandsdeldte nøklane. Crypto map eller IPsec-profilen er eit tredje objekt som viser til IKEv2-profilen og gjev verninnstillingane. Grensesnittknytinga er det fjerde steget, der ein crypto map blir brukt eller tunnel protection blir slått på. Kvar sprange er ein eigen referanse, og eit manglande sprange lèt kvart objekt sjå rett ut åleine.

Følg referansekjeda i rekkjefølgje

Start ved nøkkelringen som profilen nemner, stadfest så profilnamnet som crypto map eller IPsec-profilen viser til, og finn så grensesnittet som brukar det siste objektet. Skriv kvart namn ved sida av objektet som brukar det; den korte lista er nyttigare enn å sjekke at kvar venta blokk finst ein stad i konfigurasjonen.

Dei vanlege brotstaden er mekaniske. Eit profilnamn skil seg med eitt teikn frå det crypto map viser til. Crypto map finst men vart aldri brukt på grensesnittet. Kommandoen tunnel protection peikar på ein IPsec-profil som viser til ein annan IKEv2-profil. Ein responder utan eksplisitt knyting er eit dokumentert tilfelle, men ein initiator utan knyting er rett og slett ikkje konfigurert for vegen.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Les utdraget som ei kjeda og ikkje som ein mal. Grensesnittet nemner IPsec-profilen, IPsec-profilen nemner IKEv2-profilen, og IKEv2-profilen nemner nøkkelringen. Bryt eitt av desse namna og konfigurasjonen blir framleis parsa, difor godtek rutaren han og tunnelen blir verande nede.

Crypto map og tunnel protection er alternativ

Cisco dokumenterer to knytemåtar. Ein crypto map kan brukast på eit grensesnitt og kan visa til IKEv2-profilen gjennom set-kommandoen sin. Tunnel protection knyter ein IPsec-profil til eit tunellgrensesnitt. Begge er gyldige, og dei er ikkje meinte å bli installerte saman som ei dobbel sikring.

Kjelda og målet til tunnelen avgjer den ytre leveringsmåten, og dei er skilde frå vernknytinga. Eit LAN-grensesnitt, tunellgrensesnittet og det ytre kjeldegrensesnittet spelar tre ulike roller. Ein crypto map på LAN-grensesnittet vernar ikkje tunnelen, og ein tunnel med vern på men utan nåbar kjeldeadresse sender aldri ein pakke til peeren sin.

Sjå på den lasta tilstanden, ikkje berre teksten. Den installerte utgåva har kommandoar som knyter dei konfigurerte objekta til den framforhandla økta, og det er dei du skal sitera i ein ticket. Ein lagra konfigurasjon provar intensjonen; ein økttabell provar vegen.

Responder-unntaket er ikkje ein regel for initiatorar

IOS XE-rettleiinga nemner at ei eksplisitt IKEv2-profilknyting kan vera valfri på ein responder. Det unntaket fjernar ikkje autentisering eller identitetskontrollar, og det gjer ikkje profilen valfri på sida som startar sambandet.

Viss rutaren din startar, handsam knytinga som obligatorisk og følg henne frå ende til annan. Viss rutaren din berre svarar, stadfest kva profil som faktisk passa til den innkomande peeren, for ein responder kan velja profil etter identitet og ikkje etter grensesnittreferanse.

Sjekk vegen, ikkje den lagra konfigurasjonen

Når knytingane stemmer, test éin tillaten applikasjon og registrer den indre kjelda, målet og ruta hans. Ein førespurnad som rutaren startar kan bruka ei anna kjeldeadresse enn trafikk som blir send vidare frå LAN-et, og vernomfanget dekkjer kanskje berre ein av dei.

Ein rett knytt definisjon provar ikkje at selektorane, returruta og grensesnittpolicyen dekkjer flyten din. Send verkeleg trafikk og les den framforhandla tilstanden, og gjer det om att etter ei ny tilkopling så du veit at kjeda overlever ei ny forhandling. Hald forklaringa innanfor IOS XE IKEv2; ein historisk IKEv1 crypto map-installasjon har ein annan objektmodell og bør ikkje feilsøkjast med denne kjeda.

Skriv dei fire namna i endringsregisteret når tunnelen fungerer. Den neste personen som rører crypto map treng dei, og kjeda er den delen av designet som den køyrande konfigurasjonen ikkje forklarer.