Brak modułu VPN w routerze? Sprawdź cztery warstwy możliwości

Komunikaty rozruchowe zgłaszają brakujący moduł VPN, a lista zakupów zaczyna się od nowej karty. To jedno z czterech pytań o możliwości i nie zawsze to, które zawiodło. Obudowa może mieć wbudowane szyfrowanie, licencjonowana funkcja może być nieaktywna, a wariant produktu może być sprzedawany całkowicie bez szyfrowania ładunku. Przejdź warstwy po kolei, zanim ktokolwiek zatwierdzi zakup.

Warstwa 1: inwentarz sprzętu

Przeczytaj inwentarz, zanim ponownie przeczytasz błąd. Inwentarz podaje obudowę, zainstalowane moduły i ich numery części, czego potrzebujesz do porównania z obsługiwanymi slotami i częściami platformy. Brakujący moduł i moduł obecny, ale uszkodzony dają różne komunikaty i różne poprawki.

show inventory
show module

Zapisz numery części i sprawdź je w dokumentacji dla dokładnego modelu. Opcjonalny moduł serwisowy, który nigdy nie został zamówiony, to normalna konfiguracja, a nie usterka, a komunikat rozruchowy może tylko zgłaszać jego brak. Moduł, który jest na liście, ale nie jest rozpoznawany, to problem sprzętowy lub montażowy, czyli inne zgłoszenie. Nie zamawiaj zamiennika, dopóki nie możesz powiedzieć, który z tych dwóch przypadków masz.

Zatrzymaj się, jeśli inwentarz pokazuje obsługiwany moduł, którego oprogramowanie odmawia użyć. To pytanie o zgodność, a nowy sprzęt na nie nie odpowie.

Warstwa 2: inne ścieżki szyfrowania platformy

Wiele routerów zapewnia szyfrowanie bez opcjonalnego modułu, albo w dedykowanym sprzęcie na płycie głównej, albo w oprogramowaniu na procesorze. Zapytaj platformę, jakiego silnika używa, zamiast wnioskować to z listy modułów. Odpowiedź podaje silnik i to, czy jest sprzętowy, czy programowy, i właśnie tego faktu komunikat rozruchowy ci nie dał.

show crypto engine configuration
show crypto engine brief

Silnik programowy nadal może zakończyć VPN; ma po prostu mniej cykli dostępnych na inną pracę. Ta różnica ma znaczenie dla doboru rozmiaru, a nie dla tego, czy funkcja istnieje. Jeśli dane wyjściowe silnika pokazują aktywny silnik, brakujący moduł nie jest przyczyną awarii tunelu i dochodzenie powinno przejść do konfiguracji i licencjonowania. Czytaj dane wyjściowe pod kątem stanu silnika i przypisanych algorytmów, nie tylko nazwy.

Trzymaj ustalenie dotyczące możliwości osobno od ustalenia dotyczącego wydajności. Silnik mówi, co może działać; tylko test obciążenia mówi, co działa dobrze.

Warstwa 3: obraz oprogramowania i aktywacja funkcji

Funkcja może być obecna w obrazie i nieaktywna bez licencji lub klucza aktywacyjnego. Sprawdź, do czego urządzenie uważa, że ma licencję, a następnie porównaj to z funkcją, której konfiguracja próbuje użyć. Luka między tymi dwiema listami to rzeczywiste ustalenie.

show license
show version | include license

Na starszych platformach te same informacje znajdują się za innym poleceniem, więc użyj tego, które opisuje twoje wydanie, zamiast kopiować polecenie z nowszego przewodnika. Licencja na szyfrowanie zarządzania nie jest licencją na szyfrowanie ładunku VPN, a traktowanie ich jako wymiennych prowadzi do zakupu, który nie rozwiązuje problemu. Zapisz nazwę funkcji dokładnie tak, jak drukuje ją urządzenie. Właśnie tego ciągu będzie się domagać zespół licencyjny dostawcy.

Zatrzymaj się, jeśli wymaganej funkcji nie ma na liście licencji. To rozmowa o uprawnieniach, a nie zmiana konfiguracji.

Warstwa 4: wariant produktu, w którym krypto zarządzania nie jest krypto ładunku

Niektóre urządzenia są dostarczane w wariancie, który celowo wyłącza szyfrowanie ładunku VPN, pozostawiając dostęp do zarządzania zaszyfrowany, a dokumentacja licencyjna Cisco opisuje to ograniczenie dla rodziny ASA 9.8. Na tych jednostkach działają zarówno strona administracyjna HTTPS, jak i sesja SSH, i dokładnie dlatego ludzie wnioskują, że krypto jest w porządku. Ograniczenie tkwi w wariancie produktu, a nie na liście modułów ani na stronie licencji. Porównaj SKU i ciąg platformy w danych wyjściowych wersji z opisem tego wariantu podanym przez dostawcę.

show version
show running-config | include crypto

Jeśli jednostka jest wariantem bez szyfrowania ładunku, ani pobranie oprogramowania sprzętowego, ani licencja na zarządzanie nie usuwają ograniczenia. Obsługiwaną poprawką jest inna jednostka lub zmiana zatwierdzona przez dostawcę, a ta decyzja należy do właściciela zakupu. Zachowaj działającą konfigurację i ścieżkę zarządzania przed każdą zatwierdzoną konserwacją.

Runbook kończy się, gdy możesz wskazać, która z czterech warstw zawiodła, jaki dowód to zidentyfikował i jaką zmianę dostawca obsługuje dla dokładnie tej kombinacji. Możliwości to nie przepustowość, a działająca strona zarządzania to nie działający VPN.