IKEv2 ਪ੍ਰੋਫਾਈਲ ਪਰਿਭਾਸ਼ਿਤ ਪਰ ਜੁੜੀ ਨਹੀਂ: ਲੜੀ ਦਾ ਪਤਾ ਲਗਾਓ

IKEv2 ਪ੍ਰੋਫਾਈਲ ਸੰਭਾਲੀ ਸੰਰਚਨਾ ਵਿੱਚ ਹੈ, ਕੀ-ਰਿੰਗ ਵੀ ਉੱਥੇ ਹੈ, ਅਤੇ ਟਨਲ ਫਿਰ ਵੀ ਉੱਪਰ ਨਹੀਂ ਆਉਂਦੀ। Cisco IOS XE ਉੱਤੇ ਪ੍ਰੋਫਾਈਲ ਇੱਕ ਆਬਜੈਕਟ ਹੈ ਜੋ ਪਛਾਣ ਮਿਲਾਨ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀਆਂ ਚੋਣਾਂ ਲੈ ਕੇ ਚੱਲਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਆਬਜੈਕਟ ਉਦੋਂ ਤੱਕ ਕੁਝ ਨਹੀਂ ਕਰਦਾ ਜਦੋਂ ਤੱਕ ਕੋਈ ਦੂਜਾ ਆਬਜੈਕਟ ਇਸ ਦਾ ਹਵਾਲਾ ਨਾ ਦੇਵੇ ਅਤੇ ਕੋਈ ਇੰਟਰਫੇਸ ਉਸ ਆਬਜੈਕਟ ਨੂੰ ਕਿਸੇ ਰਾਹ ਨਾਲ ਨਾ ਜੋੜੇ। ਜ਼ਿਆਦਾਤਰ ਅਸਫਲ ਫੇਜ਼ 1 ਡੀਬੱਗ ਸੈਸ਼ਨ ਇਨ੍ਹਾਂ ਹਵਾਲਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਛੱਡ ਦਿੰਦੇ ਹਨ। ਕੋਈ ਵੀ ਪ੍ਰਸਤਾਵ ਜਾਂ ਨੀਤੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਕੀ-ਰਿੰਗ ਤੋਂ ਬਾਹਰ ਵੱਲ ਲੜੀ ਪੜ੍ਹੋ।

ਪ੍ਰੋਫਾਈਲ ਆਬਜੈਕਟ ਅਸਲ ਵਿੱਚ ਕੀ ਹੈ

IKEv2 ਪ੍ਰੋਫਾਈਲ ਦੂਰਲੀ ਪਛਾਣ ਦਾ ਮਿਲਾਨ, ਸਥਾਨਕ ਅਤੇ ਦੂਰਲੇ ਪ੍ਰਮਾਣਿਕਤਾ ਢੰਗ, ਅਤੇ ਪਹਿਲਾਂ ਸਾਂਝੀ ਕੁੰਜੀ ਵਾਲੇ ਡਿਜ਼ਾਈਨਾਂ ਲਈ ਕੀ-ਰਿੰਗ ਦਾ ਹਵਾਲਾ ਰੱਖਦੀ ਹੈ। ਇਹ ਦੱਸਦੀ ਹੈ ਕਿ ਪੀਅਰ ਨੂੰ ਕਿਵੇਂ ਪਛਾਣਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਉਹ ਆਪਣੇ ਆਪ ਨੂੰ ਕਿਵੇਂ ਸਾਬਤ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ ਕਿਸੇ ਇੰਟਰਫੇਸ ਦਾ ਨਾਮ ਨਹੀਂ ਲੈਂਦੀ।

ਕੀ-ਰਿੰਗ ਇੱਕ ਵੱਖਰਾ ਆਬਜੈਕਟ ਹੈ ਜੋ ਪਹਿਲਾਂ ਸਾਂਝੀਆਂ ਕੁੰਜੀਆਂ ਰੱਖਦਾ ਹੈ। Crypto map ਜਾਂ IPsec ਪ੍ਰੋਫਾਈਲ ਤੀਜਾ ਆਬਜੈਕਟ ਹੈ ਜੋ IKEv2 ਪ੍ਰੋਫਾਈਲ ਦਾ ਹਵਾਲਾ ਦਿੰਦਾ ਹੈ ਅਤੇ ਸੁਰੱਖਿਆ ਸੈਟਿੰਗਾਂ ਦਿੰਦਾ ਹੈ। ਇੰਟਰਫੇਸ ਜੋੜ ਚੌਥਾ ਕਦਮ ਹੈ, ਜਿੱਥੇ crypto map ਲਾਗੂ ਹੁੰਦਾ ਹੈ ਜਾਂ tunnel protection ਸਮਰੱਥ ਹੁੰਦਾ ਹੈ। ਹਰ ਛਾਲ ਇੱਕ ਵੱਖਰਾ ਹਵਾਲਾ ਹੈ, ਅਤੇ ਖੁੰਝੀ ਛਾਲ ਹਰ ਆਬਜੈਕਟ ਨੂੰ ਵੱਖਰੇ ਤੌਰ ਉੱਤੇ ਸਹੀ ਦਿਸਣ ਦਿੰਦੀ ਹੈ।

ਹਵਾਲਾ ਲੜੀ ਕ੍ਰਮ ਵਿੱਚ ਦੇਖੋ

ਪ੍ਰੋਫਾਈਲ ਜਿਸ ਕੀ-ਰਿੰਗ ਦਾ ਨਾਮ ਲੈਂਦੀ ਹੈ ਉੱਥੋਂ ਸ਼ੁਰੂ ਕਰੋ, ਫਿਰ crypto map ਜਾਂ IPsec ਪ੍ਰੋਫਾਈਲ ਜਿਸ ਪ੍ਰੋਫਾਈਲ ਨਾਮ ਦਾ ਹਵਾਲਾ ਦਿੰਦਾ ਹੈ ਉਸ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ, ਅਤੇ ਫਿਰ ਉਹ ਇੰਟਰਫੇਸ ਲੱਭੋ ਜੋ ਉਸ ਆਖਰੀ ਆਬਜੈਕਟ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਹਰ ਨਾਮ ਉਸ ਆਬਜੈਕਟ ਦੇ ਕੋਲ ਲਿਖੋ ਜੋ ਇਸ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ; ਇਹ ਛੋਟੀ ਸੂਚੀ ਇਹ ਜਾਂਚਣ ਨਾਲੋਂ ਵਧੇਰੇ ਲਾਹੇਵੰਦ ਹੈ ਕਿ ਹਰ ਉਮੀਦਵਾਰ ਬਲਾਕ ਸੰਰਚਨਾ ਵਿੱਚ ਕਿਤੇ ਮੌਜੂਦ ਹੈ।

ਆਮ ਟੁੱਟਣਾ ਮਸ਼ੀਨੀ ਹੁੰਦਾ ਹੈ। ਪ੍ਰੋਫਾਈਲ ਨਾਮ crypto map ਵੱਲੋਂ ਹਵਾਲਾ ਦਿੱਤੇ ਨਾਮ ਤੋਂ ਇੱਕ ਅੱਖਰ ਵੱਖਰਾ ਹੈ। Crypto map ਮੌਜੂਦ ਹੈ ਪਰ ਕਦੇ ਇੰਟਰਫੇਸ ਉੱਤੇ ਲਾਗੂ ਨਹੀਂ ਕੀਤਾ ਗਿਆ। Tunnel protection ਕਮਾਂਡ ਅਜਿਹੀ IPsec ਪ੍ਰੋਫਾਈਲ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ ਜੋ ਕਿਸੇ ਹੋਰ IKEv2 ਪ੍ਰੋਫਾਈਲ ਦਾ ਹਵਾਲਾ ਦਿੰਦੀ ਹੈ। ਸਪੱਸ਼ਟ ਜੋੜ ਤੋਂ ਬਿਨਾਂ responder ਇੱਕ ਦਸਤਾਵੇਜ਼ੀ ਕੇਸ ਹੈ, ਪਰ ਜੋੜ ਤੋਂ ਬਿਨਾਂ initiator ਉਸ ਰਾਹ ਲਈ ਸਿਰਫ਼ ਸੰਰਚਿਤ ਹੀ ਨਹੀਂ।

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

ਇਸ ਹਿੱਸੇ ਨੂੰ ਟੈਂਪਲੇਟ ਨਹੀਂ, ਲੜੀ ਵਾਂਗ ਪੜ੍ਹੋ। ਇੰਟਰਫੇਸ IPsec ਪ੍ਰੋਫਾਈਲ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ, IPsec ਪ੍ਰੋਫਾਈਲ IKEv2 ਪ੍ਰੋਫਾਈਲ ਦਾ ਨਾਮ ਲੈਂਦੀ ਹੈ, ਅਤੇ IKEv2 ਪ੍ਰੋਫਾਈਲ ਕੀ-ਰਿੰਗ ਦਾ ਨਾਮ ਲੈਂਦੀ ਹੈ। ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਨਾਮ ਤੋੜੋ ਅਤੇ ਸੰਰਚਨਾ ਫਿਰ ਵੀ ਪਾਰਸ ਹੁੰਦੀ ਹੈ, ਇਸੇ ਲਈ ਰਾਊਟਰ ਇਸ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਅਤੇ ਟਨਲ ਹੇਠਾਂ ਰਹਿੰਦੀ ਹੈ।

Crypto map ਅਤੇ tunnel protection ਬਦਲ ਹਨ

Cisco ਦੋ ਜੋੜ ਬੰਦੋਬਸਤਾਂ ਦਸਤਾਵੇਜ਼ ਕਰਦਾ ਹੈ। Crypto map ਇੰਟਰਫੇਸ ਉੱਤੇ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਆਪਣੀ set ਕਮਾਂਡ ਰਾਹੀਂ IKEv2 ਪ੍ਰੋਫਾਈਲ ਦਾ ਹਵਾਲਾ ਦੇ ਸਕਦਾ ਹੈ। Tunnel protection IPsec ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਟਨਲ ਇੰਟਰਫੇਸ ਨਾਲ ਜੋੜਦਾ ਹੈ। ਦੋਵੇਂ ਵੈਧ ਹਨ, ਅਤੇ ਇਹ ਦੋਹਰੀ ਸੁਰੱਖਿਆ ਵਜੋਂ ਇਕੱਠੇ ਸਥਾਪਤ ਕਰਨ ਲਈ ਨਹੀਂ ਬਣਾਏ ਗਏ।

ਟਨਲ ਦਾ ਸਰੋਤ ਅਤੇ ਮੰਜ਼ਿਲ ਬਾਹਰੀ ਡਿਲਿਵਰੀ ਬੰਦੋਬਸਤ ਤੈਅ ਕਰਦੇ ਹਨ, ਅਤੇ ਇਹ ਸੁਰੱਖਿਆ ਜੋੜ ਤੋਂ ਵੱਖਰੇ ਹਨ। LAN ਇੰਟਰਫੇਸ, ਟਨਲ ਇੰਟਰਫੇਸ ਅਤੇ ਬਾਹਰੀ ਸਰੋਤ ਇੰਟਰਫੇਸ ਤਿੰਨ ਵੱਖਰੀਆਂ ਭੂਮਿਕਾਵਾਂ ਨਿਭਾਉਂਦੇ ਹਨ। LAN ਇੰਟਰਫੇਸ ਉੱਤੇ crypto map ਟਨਲ ਦੀ ਸੁਰੱਖਿਆ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਜਿਸ ਟਨਲ ਉੱਤੇ ਸੁਰੱਖਿਆ ਸਮਰੱਥ ਹੈ ਪਰ ਪਹੁੰਚਯੋਗ ਸਰੋਤ ਪਤਾ ਨਹੀਂ, ਉਹ ਕਦੇ ਆਪਣੇ ਪੀਅਰ ਨੂੰ ਪੈਕੇਟ ਨਹੀਂ ਭੇਜਦੀ।

ਲੋਡ ਹੋਈ ਹਾਲਤ ਜਾਂਚੋ, ਸਿਰਫ਼ ਟੈਕਸਟ ਨਹੀਂ। ਸਥਾਪਤ ਰੀਲੀਜ਼ ਵਿੱਚ ਉਹ ਕਮਾਂਡਾਂ ਹਨ ਜੋ ਸੰਰਚਿਤ ਆਬਜੈਕਟਾਂ ਨੂੰ ਗੱਲਬਾਤ ਕੀਤੇ ਸੈਸ਼ਨ ਨਾਲ ਜੋੜਦੀਆਂ ਹਨ, ਅਤੇ ਟਿਕਟ ਵਿੱਚ ਉਹੀ ਹਵਾਲਾ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ। ਸੰਭਾਲੀ ਸੰਰਚਨਾ ਇਰਾਦਾ ਸਾਬਤ ਕਰਦੀ ਹੈ; ਸੈਸ਼ਨ ਸਾਰਣੀ ਰਾਹ ਸਾਬਤ ਕਰਦੀ ਹੈ।

Responder ਅਪਵਾਦ initiator ਲਈ ਨਿਯਮ ਨਹੀਂ

IOS XE ਗਾਈਡ ਨੋਟ ਕਰਦੀ ਹੈ ਕਿ responder ਉੱਤੇ ਸਪੱਸ਼ਟ IKEv2 ਪ੍ਰੋਫਾਈਲ ਜੋੜ ਚੋਣਵਾਂ ਹੋ ਸਕਦਾ ਹੈ। ਉਹ ਅਪਵਾਦ ਪ੍ਰਮਾਣਿਕਤਾ ਜਾਂ ਪਛਾਣ ਜਾਂਚ ਨੂੰ ਹਟਾਉਂਦਾ ਨਹੀਂ, ਅਤੇ ਜਿਸ ਪਾਸਿਓਂ ਕਨੈਕਸ਼ਨ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਉੱਥੇ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਚੋਣਵਾਂ ਨਹੀਂ ਬਣਾਉਂਦਾ।

ਜੇ ਤੁਹਾਡਾ ਰਾਊਟਰ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ, ਤਾਂ ਜੋੜ ਨੂੰ ਲਾਜ਼ਮੀ ਮੰਨੋ ਅਤੇ ਸ਼ੁਰੂ ਤੋਂ ਅੰਤ ਤੱਕ ਪਤਾ ਲਗਾਓ। ਜੇ ਤੁਹਾਡਾ ਰਾਊਟਰ ਸਿਰਫ਼ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਤਾਂ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਆਉਂਦੇ ਪੀਅਰ ਨਾਲ ਅਸਲ ਵਿੱਚ ਕਿਹੜੀ ਪ੍ਰੋਫਾਈਲ ਮੇਲ ਖਾਧੀ, ਕਿਉਂਕਿ responder ਇੰਟਰਫੇਸ ਹਵਾਲੇ ਦੀ ਥਾਂ ਪਛਾਣ ਨਾਲ ਪ੍ਰੋਫਾਈਲ ਚੁਣ ਸਕਦਾ ਹੈ।

ਰਾਹ ਜਾਂਚੋ, ਸੰਭਾਲੀ ਸੰਰਚਨਾ ਨਹੀਂ

ਜੋੜ ਮਿਲਣ ਤੋਂ ਬਾਅਦ, ਇੱਕ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ ਇਸ ਦਾ ਅੰਦਰੂਨੀ ਸਰੋਤ, ਮੰਜ਼ਿਲ ਅਤੇ ਰਾਹ ਦਰਜ ਕਰੋ। ਰਾਊਟਰ ਵੱਲੋਂ ਸ਼ੁਰੂ ਕੀਤੀ ਬੇਨਤੀ LAN ਤੋਂ ਅੱਗੇ ਭੇਜੇ ਟ੍ਰੈਫਿਕ ਤੋਂ ਵੱਖਰਾ ਸਰੋਤ ਪਤਾ ਵਰਤ ਸਕਦੀ ਹੈ, ਅਤੇ ਸੁਰੱਖਿਆ ਘੇਰਾ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਨੂੰ ਕਵਰ ਕਰ ਸਕਦਾ ਹੈ।

ਸਹੀ ਢੰਗ ਨਾਲ ਜੁੜੀ ਪਰਿਭਾਸ਼ਾ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ ਕਿ ਸਿਲੈਕਟਰ, ਵਾਪਸੀ ਰਾਹ ਅਤੇ ਇੰਟਰਫੇਸ ਨੀਤੀ ਤੁਹਾਡੇ ਪ੍ਰਵਾਹ ਨੂੰ ਕਵਰ ਕਰਦੇ ਹਨ। ਅਸਲ ਟ੍ਰੈਫਿਕ ਭੇਜੋ ਅਤੇ ਗੱਲਬਾਤ ਕੀਤੀ ਹਾਲਤ ਪੜ੍ਹੋ, ਫਿਰ ਦੁਬਾਰਾ ਕਨੈਕਟ ਹੋਣ ਤੋਂ ਬਾਅਦ ਦੁਹਰਾਓ ਤਾਂ ਜੋ ਤੁਸੀਂ ਜਾਣੋ ਕਿ ਲੜੀ ਨਵੀਂ ਗੱਲਬਾਤ ਸਹਿੰਦੀ ਹੈ। ਵਿਆਖਿਆ ਨੂੰ IOS XE IKEv2 ਤੱਕ ਸੀਮਤ ਰੱਖੋ; ਪੁਰਾਣੀ IKEv1 crypto map ਤੈਨਾਤੀ ਦਾ ਆਬਜੈਕਟ ਮਾਡਲ ਵੱਖਰਾ ਹੈ ਅਤੇ ਉਸ ਨੂੰ ਇਸ ਲੜੀ ਨਾਲ ਡੀਬੱਗ ਨਹੀਂ ਕਰਨਾ ਚਾਹੀਦਾ।

ਜਦੋਂ ਟਨਲ ਕੰਮ ਕਰੇ ਤਾਂ ਉਹ ਚਾਰ ਨਾਮ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਲਿਖੋ। crypto map ਨੂੰ ਅੱਗੇ ਛੂਹਣ ਵਾਲੇ ਵਿਅਕਤੀ ਨੂੰ ਇਹ ਚਾਹੀਦੇ ਹੋਣਗੇ, ਅਤੇ ਲੜੀ ਡਿਜ਼ਾਈਨ ਦਾ ਉਹ ਹਿੱਸਾ ਹੈ ਜੋ ਚੱਲ ਰਹੀ ਸੰਰਚਨਾ ਨਹੀਂ ਸਮਝਾਉਂਦੀ।