Profil IKEv2 zdefiniowany, ale niepodłączony: prześledź łańcuch

Zapisany profil IKEv2 to obiekt, a nie ścieżka. Prześledź pierścień kluczy, profil, crypto map lub profil IPsec oraz podłączenie do interfejsu, zanim zaczniesz debugować fazę 2.

Profil IKEv2 jest w zapisanej konfiguracji, pierścień kluczy też tam jest, a tunel nadal nie wstaje. W Cisco IOS XE profil to obiekt, który niesie wybory dopasowania tożsamości i uwierzytelniania, a obiekt nic nie robi, dopóki inny obiekt nie odwoła się do niego, a interfejs nie podłączy go do ścieżki. Większość nieudanych sesji debugowania fazy 1 pomija jedno z tych odwołań. Przeczytaj łańcuch od pierścienia kluczy na zewnątrz, zanim zmienisz jakąkolwiek propozycję lub politykę.

Czym naprawdę jest obiekt profilu

Profil IKEv2 przechowuje dopasowanie tożsamości zdalnej, lokalne i zdalne metody uwierzytelniania oraz odwołanie do pierścienia kluczy dla projektów z kluczem wstępnie współdzielonym. Opisuje, jak peer jest rozpoznawany i jak dowodzi swojej tożsamości, i nie wskazuje żadnego interfejsu.

Pierścień kluczy to osobny obiekt przechowujący klucze wstępnie współdzielone. Crypto map lub profil IPsec to trzeci obiekt, który odwołuje się do profilu IKEv2 i dostarcza ustawienia ochrony. Podłączenie do interfejsu to czwarty krok, w którym stosuje się crypto map lub włącza tunnel protection. Każdy skok to odrębne odwołanie, a brakujący skok sprawia, że każdy obiekt wygląda poprawnie w izolacji.

Prześledź łańcuch odwołań po kolei

Zacznij od pierścienia kluczy, który nazywa profil, potem potwierdź nazwę profilu, do którego odwołuje się crypto map lub profil IPsec, a następnie znajdź interfejs, który zużywa ten ostatni obiekt. Zapisz każdą nazwę obok obiektu, który ją zużywa; ta krótka lista jest użyteczniejsza niż sprawdzanie, czy każdy oczekiwany blok istnieje gdzieś w konfiguracji.

Typowe pęknięcia są mechaniczne. Nazwa profilu różni się jednym znakiem od tej, do której odwołuje się crypto map. Crypto map istnieje, ale nigdy nie została zastosowana do interfejsu. Polecenie tunnel protection wskazuje profil IPsec, który odwołuje się do innego profilu IKEv2. Responder bez jawnego podłączenia to udokumentowany przypadek, ale initiator bez podłączenia po prostu nie jest skonfigurowany dla tej ścieżki.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Czytaj fragment jako łańcuch, a nie jako szablon. Interfejs nazywa profil IPsec, profil IPsec nazywa profil IKEv2, a profil IKEv2 nazywa pierścień kluczy. Zerwij którąkolwiek z tych nazw, a konfiguracja nadal się parsuje, dlatego router ją przyjmuje, a tunel pozostaje w dole.

Crypto map i tunnel protection to alternatywy

Cisco dokumentuje dwa układy podłączenia. Crypto map można zastosować do interfejsu i może ona odwoływać się do profilu IKEv2 przez swoje polecenie set. Tunnel protection podłącza profil IPsec do interfejsu tunelu. Oba są ważne i nie są przeznaczone do instalowania razem jako środek podwójnego zabezpieczenia.

Źródło i cel tunelu określają zewnętrzny układ dostarczania i są oddzielne od podłączenia ochrony. Interfejs LAN, interfejs tunelu i zewnętrzny interfejs źródłowy pełnią trzy różne role. Crypto map na interfejsie LAN nie chroni tunelu, a tunel z włączoną ochroną, ale bez osiągalnego adresu źródłowego nigdy nie wysyła pakietu do swojego peera.

Sprawdź załadowany stan, nie tylko tekst. Zainstalowane wydanie ma polecenia, które łączą skonfigurowane obiekty z wynegocjowaną sesją, i właśnie je należy cytować w zgłoszeniu. Zapisana konfiguracja dowodzi intencji; tabela sesji dowodzi ścieżki.

Wyjątek dla respondera nie jest regułą dla inicjatorów

Przewodnik IOS XE zauważa, że jawne podłączenie profilu IKEv2 może być opcjonalne po stronie respondera. Ten wyjątek nie usuwa uwierzytelniania ani kontroli tożsamości i nie czyni profilu opcjonalnym po stronie, która rozpoczyna połączenie.

Jeśli twój router inicjuje, traktuj podłączenie jako obowiązkowe i prześledź je od początku do końca. Jeśli twój router tylko odpowiada, potwierdź, który profil naprawdę pasował do przychodzącego peera, ponieważ responder może wybrać profil według tożsamości, a nie według odwołania do interfejsu.

Sprawdź ścieżkę, a nie zapisaną konfigurację

Gdy podłączenia się zgadzają, przetestuj jedną dozwoloną aplikację i zapisz jej wewnętrzne źródło, cel i trasę. Żądanie zainicjowane przez router może używać innego adresu źródłowego niż ruch przekazywany z sieci LAN, a zakres ochrony może obejmować tylko jedno z nich.

Poprawnie podłączona definicja nie dowodzi, że selektory, trasa powrotna i polityka interfejsu obejmują twój przepływ. Wyślij rzeczywisty ruch i odczytaj wynegocjowany stan, a potem powtórz to po ponownym połączeniu, aby wiedzieć, że łańcuch przetrwa nową negocjację. Trzymaj wyjaśnienie w granicach IOS XE IKEv2; historyczne wdrożenie crypto map IKEv1 ma inny model obiektów i nie powinno być debugowane tym łańcuchem.

Zapisz te cztery nazwy w rejestrze zmian, gdy tunel działa. Następna osoba, która dotknie crypto map, będzie ich potrzebować, a łańcuch to ta część projektu, której działająca konfiguracja nie wyjaśnia.

Powiązane artykuły