ਕਿਹੜਾ VRF VPN ਪੀਅਰ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਅਤੇ ਕਿਹੜਾ ਪੈਕਟ ਲਿਜਾਂਦਾ ਹੈ?

ਗਾਹਕ ਦੇ ਰਾਊਟਿੰਗ ਸੰਦਰਭ ਦੇ ਅੰਦਰ ਹਰ ਟਨਲ ਨੂੰ ਅਜੇ ਵੀ ਆਪਣੇ ਦੂਰ ਦੇ ਪੀਅਰ ਤੱਕ ਪਹੁੰਚਣਾ ਪੈਂਦਾ ਹੈ, ਅਤੇ ਉਹ ਖੋਜ ਬਿਲਕੁਲ ਹੋਰ ਟੇਬਲ ਵਿੱਚ ਹੋ ਸਕਦੀ ਹੈ। ਇਹ ਗਲਤ ਕਰਨ ਨਾਲ VRF-ਜਾਣੂ IPsec ਵਿੱਚ ਸਭ ਤੋਂ ਉਲਝਣ ਭਰੀਆਂ ਅਸਫਲਤਾਵਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੁੰਦੀ ਹੈ: ਟਨਲ ਉੱਪਰ ਆਉਂਦੀ ਹੈ, ਰੂਟ ਮੌਜੂਦ ਦਿਸਦੇ ਹਨ, ਅਤੇ ਟ੍ਰੈਫਿਕ ਮਰ ਜਾਂਦਾ ਹੈ ਕਿਉਂਕਿ ਦੋਵੇਂ ਖੋਜਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨੇ ਗਲਤ ਸੰਦਰਭ ਵਰਤਿਆ। ਹੇਠਾਂ ਦਿੱਤੇ ਚਾਰ ਕਦਮ ਕ੍ਰਮ ਵਿੱਚ ਕਰੋ ਅਤੇ ਦੋਵੇਂ ਮੰਜ਼ਿਲਾਂ ਵੱਖਰੀਆਂ ਲਿਖ ਕੇ ਰੱਖੋ।

ਦੋ ਖੋਜਾਂ, ਇੱਕ ਟਨਲ

ਬਾਹਰਲਾ ਐਨਕੈਪਸੂਲੇਟਿਡ ਪੈਕਟ ਪੀਅਰ ਦੇ ਟਰਾਂਸਪੋਰਟ ਪਤੇ ਨੂੰ ਸੰਬੋਧਿਤ ਹੈ, ਅਤੇ ਕੋਈ ਵੀ ਸੁਰੱਖਿਆ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਇਸਨੂੰ ਰਾਊਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਅੰਦਰਲਾ ਪੈਕਟ ਗਾਹਕ ਸਰਵਰ ਨੂੰ ਸੰਬੋਧਿਤ ਹੈ ਅਤੇ ਡੀਕੈਪਸੂਲੇਸ਼ਨ ਤੋਂ ਬਾਅਦ, ਗਾਹਕ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਰਾਊਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਦੋ ਮੰਜ਼ਿਲਾਂ, ਦੋ ਖੋਜਾਂ ਅਤੇ ਅਕਸਰ ਦੋ ਵੱਖਰੇ ਟੇਬਲ ਹਨ।

VRF-ਜਾਣੂ IPsec ਲਈ Cisco ਦਸਤਾਵੇਜ਼ ਇਹਨਾਂ ਨੂੰ ਅੱਗੇ ਦੇ ਦਰਵਾਜ਼ੇ ਦਾ VRF ਅਤੇ ਅੰਦਰਲਾ VRF ਕਹਿੰਦਾ ਹੈ। ਅੱਗੇ ਦਾ ਦਰਵਾਜ਼ਾ ਐਨਕ੍ਰਿਪਟਿਡ ਟਰਾਂਸਪੋਰਟ ਲਿਜਾਂਦਾ ਹੈ, ਅਤੇ ਅੰਦਰਲਾ ਸੰਦਰਭ ਸੁਰੱਖਿਅਤ ਟ੍ਰੈਫਿਕ ਲਿਜਾਂਦਾ ਹੈ। ਟਨਲ ਦਾ ਨਾਮ ਗਾਹਕ ਉੱਤੇ ਰੱਖਣ ਨਾਲ ਦੋਵਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਰੂਟ ਦਿਸਦਾ ਨਹੀਂ।

ਇਸ ਲਈ ਸੰਰਚਨਾ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਚਾਰ ਤੱਥ ਗਿਣੋ: ਪੀਅਰ ਦਾ ਟਰਾਂਸਪੋਰਟ ਪਤਾ ਅਤੇ ਉਸ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲਾ ਸੰਦਰਭ, ਫਿਰ ਸਰਵਰ ਦਾ ਪ੍ਰੀਫਿਕਸ ਅਤੇ ਉਸ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲਾ ਸੰਦਰਭ। ਜੇ ਤੁਸੀਂ ਚਾਰੇ ਨਹੀਂ ਭਰ ਸਕਦੇ ਤਾਂ ਤੁਸੀਂ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਵਾਲੇ ਹੋ। ਇਸ ਖੇਤਰ ਵਿੱਚ ਅੰਦਾਜ਼ਾ ਮਹਿੰਗਾ ਹੈ, ਕਿਉਂਕਿ ਗਲਤ ਟੇਬਲ ਵਿੱਚ ਜੋੜਿਆ ਰੂਟ ਇੱਕ ਪ੍ਰਵਾਹ ਚਲਾ ਸਕਦਾ ਹੈ ਅਤੇ ਦੂਜੇ ਨੂੰ ਚੁੱਪਚਾਪ ਤੋੜ ਸਕਦਾ ਹੈ। ਚਾਰ ਤੱਥ ਇਕੱਠੇ ਕਰਨ ਵਿੱਚ ਦਸ ਮਿੰਟ ਲੱਗਦੇ ਹਨ ਅਤੇ ਕੈਪਚਰ ਵਿਸ਼ਲੇਸ਼ਣ ਦਾ ਇੱਕ ਦਿਨ ਬਚਾਉਂਦੇ ਹਨ।

ਪੀਅਰ ਲਈ ਟਰਾਂਸਪੋਰਟ ਖੋਜ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

ਅੱਗੇ ਦੇ ਦਰਵਾਜ਼ੇ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ, ਕਿਉਂਕਿ ਜੋ ਟਨਲ ਆਪਣੇ ਪੀਅਰ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦੀ ਉਹ ਇੱਕ ਵੀ ਸੁਰੱਖਿਅਤ ਪੈਕਟ ਨਹੀਂ ਲੰਘਾਏਗੀ। IOS ਉੱਤੇ ਗਲੋਬਲ ਟੇਬਲ ਦੀ ਬਜਾਏ ਟਰਾਂਸਪੋਰਟ VRF ਦੇ ਅੰਦਰ ਪੀਅਰ ਤੱਕ ਦਾ ਰੂਟ ਮੰਗੋ।

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

ਪਹਿਲਾ ਹੁਕਮ ਦੱਸਦਾ ਹੈ ਕਿ ਉਸ ਸੰਦਰਭ ਵਿੱਚ ਪੀਅਰ ਦਾ ਪਤਾ ਪਹੁੰਚਯੋਗ ਹੈ ਜਾਂ ਨਹੀਂ, ਦੂਜਾ ਅਸਲ ਵਿੱਚ ਮੌਜੂਦ VRF ਦੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਤੀਜਾ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਸੁਰੱਖਿਆ ਸੰਬੰਧ ਬਣਿਆ ਜਾਂ ਨਹੀਂ। ਜੋ ਪੀਅਰ ਪਤਾ ਸਿਰਫ਼ ਗਲੋਬਲ ਟੇਬਲ ਵਿੱਚ ਹੱਲ ਹੁੰਦਾ ਹੈ ਉਹੀ ਰਵਾਇਤੀ ਅੱਗੇ-ਦੇ-ਦਰਵਾਜ਼ੇ ਦੀ ਗਲਤੀ ਹੈ, ਅਤੇ ਇਹ ਕਦੇ ਸ਼ੁਰੂ ਨ ਹੋਣ ਵਾਲੀ IKE ਗੱਲਬਾਤ ਵਾਂਗ ਦਿਸਦੀ ਹੈ।

ਇੰਟਰਫ਼ੇਸ ਦੀ ਅਲਾਟਮੈਂਟ ਵੀ ਜਾਂਚੋ। ਦਰਜ ਕੀਤਾ ਵਿਵਹਾਰ ਮੰਗਦਾ ਹੈ ਕਿ ਟਨਲ ਦਾ ਅੱਗੇ-ਦੇ-ਦਰਵਾਜ਼ੇ ਦਾ VRF ਅਤੇ WAN ਇੰਟਰਫ਼ੇਸ ਦਾ VRF ਮਿਲਦੇ ਹੋਣ; ਅਸੰਗਤੀ ਪੈਕਟ ਨੂੰ ਬਾਹਰ ਜਾਣ ਦੇ ਸਕਦੀ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਜਵਾਬ ਸਹੀ ਸੰਦਰਭ ਵਿੱਚ ਪ੍ਰੋਸੈਸ ਹੋਣ ਤੋਂ ਰੋਕ ਸਕਦੀ ਹੈ।

ਸਰਵਰ ਲਈ ਅੰਦਰਲੀ ਖੋਜ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

ਅੱਗੇ ਦਾ ਦਰਵਾਜ਼ਾ ਸਿੱਧ ਹੋਣ ਤੋਂ ਬਾਅਦ ਗਾਹਕ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਜਾਓ ਅਤੇ ਸਰਵਰ ਦੇ ਪ੍ਰੀਫਿਕਸ ਬਾਰੇ ਉਹੀ ਸਵਾਲ ਪੁੱਛੋ। ਇਹ ਖੋਜ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਡੀਕੈਪਸੂਲੇਟ ਹੋਇਆ ਪੈਕਟ ਅੱਗੇ ਭੇਜਿਆ ਜਾ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ।

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

ਪਹਿਲਾ ਹੁਕਮ ਅੰਦਰਲਾ ਰੂਟ ਦਿਖਾਉਂਦਾ ਹੈ, ਅਤੇ ਦੂਜਾ ਪਲੇਟਫ਼ਾਰਮ ਵੱਲੋਂ ਇਸ ਨਾਲ ਜੋੜੇ ਸੰਦਰਭਾਂ ਸਮੇਤ ਸੈਸ਼ਨ ਦੀ ਸਥਿਤੀ ਦਿਖਾਉਂਦਾ ਹੈ। ਜੇ ਰੂਟ ਮੌਜੂਦ ਹੈ ਪਰ ਸੈਸ਼ਨ ਵੇਰਵੇ ਗਲਤ ਅੰਦਰਲਾ ਸੰਦਰਭ ਦੱਸਦੇ ਹਨ, ਤਾਂ ਟਨਲ ਗਾਹਕ ਦਾ ਪ੍ਰੀਫਿਕਸ ਨ ਜਾਣਨ ਵਾਲੇ ਟੇਬਲ ਵਿੱਚ ਭੇਜ ਰਹੀ ਹੈ।

ਗਲੋਬਲ ਟੇਬਲ ਦਾ ਰੂਟ ਦੋਵੇਂ ਖੋਜਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਦਾ ਸਬੂਤ ਨਹੀਂ। ਗਲੋਬਲ ਰੂਟ ਉਦੋਂ ਵਰਤੇ ਜਾਂਦੇ ਹਨ ਜਦੋਂ ਪੈਕਟ ਕਿਸੇ VRF ਨਾਲ ਸੰਬੰਧਿਤ ਨਹੀਂ ਹੁੰਦਾ, ਅਤੇ ਗਾਹਕ ਸੰਦਰਭ ਨੂੰ ਦਿੱਤਾ ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਉਹ ਸੰਬੰਧ ਬਦਲਦਾ ਹੈ। ਜੇ ਅੰਦਰਲਾ ਰੂਟ ਨਹੀਂ ਹੈ, ਤਾਂ ਪੈਕਟ ਡੀਕੈਪਸੂਲੇਟ ਹੋ ਕੇ ਫਾਰਵਰਡਿੰਗ ਐਂਟਰੀ ਨ ਹੋਣ ਕਾਰਨ ਸੁੱਟਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਰਾਊਟਿੰਗ ਗਲਤੀ ਦੀ ਬਜਾਏ ਪੈਕਟ ਨੁਕਸਾਨ ਵਾਂਗ ਦਿਸਦਾ ਹੈ।

ਸੈਟਿੰਗ ਉੱਥੇ ਰੱਖੋ ਜਿੱਥੇ ਮਾਡਲ ਇਸਦੀ ਉਮੀਦ ਕਰਦਾ ਹੈ

ਇਹੀ ਦਸਤਾਵੇਜ਼ ਸੰਰਚਨਾ ਮਾਡਲਾਂ ਨੂੰ ਵੱਖਰਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਇੱਕ ਵਿੱਚ ਆਉਣ ਵਾਲੀ ਸੈਟਿੰਗ ਦੂਜੇ ਵਿੱਚ ਆਉਣੀ ਜ਼ਰੂਰੀ ਨਹੀਂ। ਟਨਲ ਸੁਰੱਖਿਆ ਵਰਤਣ ਵਾਲੇ ਟਨਲ ਇੰਟਰਫ਼ੇਸਾਂ ਲਈ ਅੰਦਰਲਾ VRF ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਉੱਤੇ ਪਰਿਭਾਸ਼ਿਤ ਹੁੰਦਾ ਹੈ। crypto map ਆਧਾਰਿਤ ਡਿਜ਼ਾਈਨਾਂ ਵਿੱਚ ਅੰਦਰਲਾ VRF crypto map ਐਂਟਰੀ ਦਾ ਹਿੱਸਾ ਹੈ। ਭੂਮਿਕਾ ਜਾਂਚੇ ਬਿਨਾਂ ਸਮਾਨ ਨਾਮ ਵਾਲਾ ਹੁਕਮ ਮਾਡਲਾਂ ਵਿਚਕਾਰ ਭੇਜਣਾ ਹੀ ਕੰਮ ਕਰਦੇ ਡਿਜ਼ਾਈਨ ਨੂੰ ਰੁਕ-ਰੁਕ ਕੇ ਚੱਲਣ ਵਾਲਾ ਬਣਾਉਣ ਦਾ ਤਰੀਕਾ ਹੈ।

ਰਾਊਟਿੰਗ ਅਤੇ ਪਛਾਣ ਵੱਖਰੇ ਮਾਮਲੇ ਹਨ। ਪਹੁੰਚਯੋਗਤਾ ਕਦੇ ਵੀ ਉਸ ਪੀਅਰ ਪ੍ਰੋਫ਼ਾਈਲ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦੀ ਜੋ ਡਿਵਾਈਸ ਸਵੀਕਾਰ ਕਰੇਗੀ, ਅਤੇ VRF ਦਾ ਨਾਮ ਬਦਲਣ ਨਾਲ ਪੇਸ਼ ਕੀਤੇ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਨਹੀਂ ਬਦਲਣੇ ਚਾਹੀਦੇ। ਕਿਸੇ ਵੀ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਦੋਵੇਂ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਗਲਤ ਪ੍ਰੋਫ਼ਾਈਲ ਨਾਲ ਗੱਲ ਕਰਨ ਵਾਲੀ ਟਨਲ ਵੀ ਸੰਬੰਧ ਬਣਾ ਕੇ ਕੁਝ ਨਹੀਂ ਭੇਜ ਸਕਦੀ।

ਅੰਤ ਵਿੱਚ, ਚਾਰ ਤੱਥ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਸਿੱਧ ਕਰਨ ਵਾਲੇ ਹੁਕਮ ਬਦਲਾਅ ਰਿਕਾਰਡ ਵਿੱਚ ਲਿਖੋ। ਅਗਲੇ ਇੰਜੀਨੀਅਰ ਨੂੰ ਟਨਲ ਵਿਰਾਸਤ ਵਿੱਚ ਮਿਲੇਗੀ, ਤਰਕ ਨਹੀਂ, ਅਤੇ ਦੋਵੇਂ ਸੰਦਰਭਾਂ ਦੇ ਨਾਮ ਦੱਸਣ ਵਾਲੀ ਛੋਟੀ ਨੋਟ ਕਿਸੇ ਦੁਆਰਾ ਅੱਪਡੇਟ ਨ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਡਾਇਗ੍ਰਾਮ ਤੋਂ ਵੱਧ ਕੀਮਤੀ ਹੈ।