Care VRF ajunge la partenerul VPN și care transportă pachetul?

Fiecare tunel dintr-un context de rutare al clientului trebuie totuși să-și atingă partenerul îndepărtat, iar căutarea respectivă se poate produce într-un tabel complet diferit. O greșeală aici produce unul dintre cele mai încurcate eșecuri din IPsec conștient de VRF: tunelul urcă, rutele par prezente, iar traficul moare pentru că una dintre cele două căutări a folosit contextul greșit. Executați cei patru pași de mai jos în ordine și notați cele două destinații separat.

Două căutări, un tunel

Pachetul încapsulat exterior este adresat adresei de transport a partenerului și este rutat înainte de a exista vreo protecție. Pachetul interior este adresat unui server al clientului și este rutat după decapsulare, în contextul clientului. Sunt două destinații, două căutări și adesea două tabele diferite.

Documentația Cisco pentru IPsec conștient de VRF le numește VRF de poartă din față și VRF interior. Poarta din față transportă traficul criptat, iar contextul interior transportă traficul protejat. Nimic din faptul că un tunel poartă numele unui client nu face vreuna dintre rute să apară.

Așadar, înainte de a schimba o configurație, enumerați patru fapte: adresa de transport a partenerului și contextul care ajunge la ea, apoi prefixul serverului și contextul care ajunge la el. Dacă nu puteți completa toate patru, sunteți pe punctul de a ghici. Ghicitul în acest domeniu este costisitor, pentru că o rută adăugată în tabelul greșit poate face un flux să funcționeze în timp ce îl rupe încet pe altul. Cele patru fapte durează zece minute de colectat și economisesc o zi de analiză a capturilor.

Confirmați căutarea de transport pentru partener

Începeți cu poarta din față, pentru că un tunel care nu-și poate atinge partenerul nu va lăsa niciodată să treacă un singur pachet protejat. În IOS, cereți ruta către partener în interiorul VRF de transport, nu în tabelul global.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Prima comandă răspunde dacă adresa partenerului este accesibilă în acel context, a doua enumeră VRF-urile care există cu adevărat, iar a treia arată dacă s-a format o asociere de securitate. O adresă de partener care se rezolvă doar în tabelul global este eroarea clasică a porții din față și apare ca o negociere IKE care nu începe niciodată.

Verificați și alocarea interfeței. Comportamentul documentat cere ca VRF-ul porții din față a tunelului și VRF-ul interfeței WAN să fie de acord; o nepotrivire poate lăsa un pachet să iasă și totuși poate împiedica procesarea răspunsului în contextul corect.

Confirmați căutarea interioară pentru server

După ce poarta din față este dovedită, treceți la contextul clientului și puneți aceeași întrebare despre prefixul serverului. Această căutare decide dacă un pachet decapsulat poate fi transmis mai departe.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Prima comandă arată ruta interioară, iar a doua arată starea sesiunii împreună cu contextele pe care platforma le-a asociat. Dacă ruta există, dar detaliile sesiunii numesc contextul interior greșit, tunelul transmite într-un tabel care nu cunoaște prefixul clientului.

O rută din tabelul global nu este dovadă pentru niciuna dintre cele două căutări. Rutele globale sunt folosite când un pachet nu este asociat unui VRF, iar o interfață de tunel atribuită unui context de client schimbă acea asociere. Dacă ruta interioară lipsește, pachetul este decapsulat și apoi eliminat din lipsa unei intrări de transmitere, ceea ce arată ca pierdere de pachete, nu ca o eroare de rutare.

Puneți setarea acolo unde modelul o așteaptă

Aceeași documentație distinge modele de configurare, iar o setare care aparține unuia nu aparține neapărat celuilalt. Pentru interfețele de tunel care folosesc protecția tunelului, VRF-ul interior este definit pe interfața de tunel. În proiectele bazate pe crypto map, VRF-ul interior face parte din intrarea crypto map. Mutarea unei comenzi cu nume similar între modele fără a-i verifica rolul este felul în care un proiect funcțional devine intermitent.

Rutarea și identitatea sunt chestiuni separate. Accesibilitatea nu înlocuiește niciodată un profil de partener pe care dispozitivul îl va accepta, iar o redenumire a VRF nu trebuie să modifice acreditările oferite. Verificați ambele după orice modificare, pentru că un tunel care negociază cu profilul greșit poate totuși forma o asociere și nu transmite nimic.

În final, înregistrați cele patru fapte și comenzile care le-au dovedit în jurnalul de modificări. Următorul inginer va moșteni tunelul, nu raționamentul, iar o notă scurtă care numește ambele contexte valorează mai mult decât o diagramă pe care nimeni nu o actualizează.