Profil IKEv2 definit dar neatașat: urmăriți lanțul

Profilul IKEv2 este în configurația salvată, inelul de chei este și el acolo, iar tunelul tot nu urcă. Pe Cisco IOS XE un profil este un obiect care poartă opțiuni de potrivire a identității și de autentificare, iar un obiect nu face nimic până când alt obiect nu îl referă și o interfață nu atașează acel obiect la o cale. Majoritatea sesiunilor de depanare eșuate pentru faza 1 sar peste una dintre aceste referințe. Citiți lanțul de la inelul de chei spre exterior înainte de a schimba orice propunere sau politică.

Ce este de fapt un obiect profil

Profilul IKEv2 conține potrivirea identității la distanță, metodele de autentificare locale și la distanță și o referință la un inel de chei pentru soluțiile cu cheie partajată în prealabil. Descrie cum este recunoscut un peer și cum își dovedește identitatea, și nu numește nicio interfață.

Inelul de chei este un obiect separat care conține cheile partajate în prealabil. Crypto map sau profilul IPsec este un al treilea obiect care referă profilul IKEv2 și furnizează setările de protecție. Atașarea la interfață este al patrulea pas, unde se aplică un crypto map sau se activează tunnel protection. Fiecare salt este o referință distinctă, iar un salt lipsă lasă fiecare obiect să pară corect în izolare.

Urmăriți lanțul de referințe în ordine

Începeți de la inelul de chei pe care îl numește profilul, apoi confirmați numele profilului la care face referire crypto map sau profilul IPsec, apoi găsiți interfața care consumă acel ultim obiect. Scrieți fiecare nume lângă obiectul care îl consumă; acea listă scurtă este mai utilă decât verificarea că fiecare bloc așteptat există undeva în configurație.

Ruperile obișnuite sunt mecanice. Un nume de profil diferă printr-un caracter de cel la care face referire crypto map. Crypto map există dar nu a fost niciodată aplicat pe interfață. Comanda tunnel protection indică un profil IPsec care face referire la alt profil IKEv2. Un responder fără atașare explicită este un caz documentat, dar un initiator fără atașare pur și simplu nu este configurat pentru cale.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Citiți fragmentul ca un lanț și nu ca un șablon. Interfața numește profilul IPsec, profilul IPsec numește profilul IKEv2, iar profilul IKEv2 numește inelul de chei. Rupeți oricare dintre aceste nume și configurația este totuși analizată, de aceea routerul o acceptă și tunelul rămâne jos.

Crypto map și tunnel protection sunt alternative

Cisco documentează două aranjamente de atașare. Un crypto map poate fi aplicat pe o interfață și poate face referire la profilul IKEv2 prin comanda sa set. Tunnel protection atașează un profil IPsec la o interfață de tunel. Ambele sunt valide și nu sunt menite să fie instalate împreună ca măsură de siguranță dublă.

Sursa și destinația tunelului identifică aranjamentul de livrare exterior și sunt separate de atașarea protecției. O interfață LAN, interfața de tunel și interfața sursă exterioară joacă trei roluri diferite. Un crypto map pe interfața LAN nu protejează tunelul, iar un tunel cu protecție activată dar fără adresă sursă accesibilă nu trimite niciodată un pachet către peerul său.

Inspectați starea încărcată, nu doar textul. Versiunea instalată are comenzi care leagă obiectele configurate de sesiunea negociată, și pe acelea trebuie să le citați într-un tichet. O configurație salvată dovedește intenția; un tabel de sesiuni dovedește calea.

Excepția pentru responder nu este o regulă pentru initiatori

Ghidul IOS XE observă că o atașare explicită a profilului IKEv2 poate fi opțională pe un responder. Acea excepție nu elimină autentificarea sau verificările de identitate și nu face profilul opțional pe partea care începe conexiunea.

Dacă routerul dumneavoastră inițiază, tratați atașarea ca obligatorie și urmăriți-o de la un capăt la altul. Dacă routerul dumneavoastră doar răspunde, confirmați care profil a corespuns de fapt peerului de intrare, pentru că un responder poate selecta un profil după identitate și nu după referința interfeței.

Verificați calea, nu configurația salvată

După ce atașările se aliniază, testați o aplicație permisă și notați sursa, destinația și ruta ei interioare. O cerere inițiată de router poate folosi o altă adresă sursă decât traficul redirecționat din LAN, iar domeniul de protecție poate acoperi doar una dintre ele.

O definiție atașată corect nu dovedește că selectorii, ruta de retur și politica interfeței acoperă fluxul dumneavoastră. Trimiteți trafic real și citiți starea negociată, apoi repetați după o reconectare ca să știți că lanțul supraviețuiește unei negocieri noi. Păstrați explicația în cadrul IOS XE IKEv2; o implementare istorică de crypto map IKEv1 are alt model de obiecte și nu ar trebui să fie depanată cu acest lanț.

Scrieți cele patru nume în registrul de modificări când tunelul funcționează. Următoarea persoană care atinge crypto map va avea nevoie de ele, iar lanțul este partea de proiectare pe care configurația în execuție nu o explică.