Perfil IKEv2 definido mas não anexado: siga a cadeia

O perfil IKEv2 está na configuração guardada, o porta-chaves também está lá, e o túnel continua a não subir. No Cisco IOS XE um perfil é um objeto que transporta escolhas de correspondência de identidade e autenticação, e um objeto não faz nada até outro objeto lhe fazer referência e uma interface ligar esse objeto a um caminho. A maioria das sessões de depuração da fase 1 falhadas salta uma dessas referências. Leia a cadeia do porta-chaves para fora antes de alterar qualquer proposta ou política.

O que é realmente um objeto de perfil

O perfil IKEv2 contém a correspondência da identidade remota, os métodos de autenticação local e remota e uma referência a um porta-chaves para desenhos com chave pré-partilhada. Descreve como um peer é reconhecido e como prova a sua identidade, e não nomeia qualquer interface.

O porta-chaves é um objeto separado que contém as chaves pré-partilhadas. O crypto map ou o perfil IPsec é um terceiro objeto que referencia o perfil IKEv2 e fornece as definições de proteção. A ligação à interface é o quarto passo, onde se aplica um crypto map ou se ativa a tunnel protection. Cada salto é uma referência distinta, e um salto em falta deixa cada objeto correto quando visto isoladamente.

Siga a cadeia de referências por ordem

Comece pelo porta-chaves que o perfil nomeia, confirme depois o nome do perfil a que o crypto map ou o perfil IPsec faz referência, e encontre por fim a interface que consome esse último objeto. Escreva cada nome ao lado do objeto que o consome; essa lista curta é mais útil do que verificar que cada bloco esperado existe algures na configuração.

As quebras habituais são mecânicas. Um nome de perfil difere num carácter do que o crypto map referencia. O crypto map existe mas nunca foi aplicado à interface. O comando tunnel protection aponta para um perfil IPsec que referencia outro perfil IKEv2. Um responder sem ligação explícita é um caso documentado, mas um initiator sem ligação simplesmente não está configurado para o caminho.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Leia o excerto como uma cadeia e não como um modelo. A interface nomeia o perfil IPsec, o perfil IPsec nomeia o perfil IKEv2, e o perfil IKEv2 nomeia o porta-chaves. Quebre qualquer um desses nomes e a configuração continua a ser analisada, é por isso que o router a aceita e o túnel fica em baixo.

Crypto map e tunnel protection são alternativas

A Cisco documenta duas disposições de ligação. Um crypto map pode ser aplicado a uma interface e pode referenciar o perfil IKEv2 através do seu comando set. A tunnel protection liga um perfil IPsec a uma interface de túnel. Ambas são válidas, e não se destinam a ser instaladas em conjunto como medida de dupla segurança.

A origem e o destino do túnel identificam a disposição de entrega exterior, e estão separados da ligação de proteção. Uma interface LAN, a interface de túnel e a interface de origem exterior desempenham três papéis diferentes. Um crypto map na interface LAN não protege o túnel, e um túnel com proteção ativa mas sem endereço de origem alcançável nunca envia um pacote ao seu peer.

Inspecione o estado carregado, não apenas o texto. A versão instalada tem comandos que ligam os objetos configurados à sessão negociada, e são esses que deve citar num ticket. Uma configuração guardada prova a intenção; uma tabela de sessões prova o caminho.

A exceção do responder não é uma regra para os initiators

O guia do IOS XE nota que uma ligação explícita do perfil IKEv2 pode ser opcional num responder. Essa exceção não remove a autenticação nem as verificações de identidade, e não torna o perfil opcional do lado que inicia a ligação.

Se o seu router inicia, trate a ligação como obrigatória e siga-a de ponta a ponta. Se o seu router apenas responde, confirme qual perfil correspondeu realmente ao peer de entrada, porque um responder pode selecionar um perfil por identidade e não por referência de interface.

Verifique o caminho, não a configuração guardada

Quando as ligações coincidirem, teste uma aplicação permitida e registe a origem, o destino e a rota internos. Um pedido originado pelo router pode usar um endereço de origem diferente do tráfego encaminhado a partir da LAN, e o âmbito de proteção pode cobrir apenas um deles.

Uma definição ligada corretamente não prova que os seletores, a rota de retorno e a política da interface cobrem o seu fluxo. Envie tráfego real e leia o estado negociado, depois repita após uma reconexão para saber que a cadeia sobrevive a uma nova negociação. Mantenha a explicação limitada ao IOS XE IKEv2; uma implementação histórica de crypto map IKEv1 tem outro modelo de objetos e não deve ser depurada com esta cadeia.

Escreva os quatro nomes no registo de alterações quando o túnel funcionar. A próxima pessoa que tocar no crypto map vai precisar deles, e a cadeia é a parte do desenho que a configuração em execução não explica.