Профиль IKEv2 определён, но не привязан: пройдите по цепочке

Сохранённый профиль IKEv2 — это объект, а не путь. Проследите связку ключей, профиль, crypto map или профиль IPsec и привязку к интерфейсу, прежде чем отлаживать фазу 2.

Профиль IKEv2 есть в сохранённой конфигурации, связка ключей тоже на месте, а туннель всё равно не поднимается. В Cisco IOS XE профиль — это объект, который несёт выбор сопоставления идентичности и аутентификации, и объект ничего не делает, пока другой объект не сошлётся на него, а интерфейс не привяжет этот объект к пути. Большинство неудачных сеансов отладки фазы 1 пропускают одну из этих ссылок. Прочитайте цепочку от связки ключей наружу, прежде чем менять какое-либо предложение или политику.

Что на самом деле представляет собой объект профиля

Профиль IKEv2 хранит сопоставление удалённой идентичности, локальные и удалённые методы аутентификации и ссылку на связку ключей для схем с предварительно общим ключом. Он описывает, как распознаётся peer и как он доказывает себя, и не называет ни одного интерфейса.

Связка ключей — отдельный объект, хранящий предварительно общие ключи. Crypto map или профиль IPsec — третий объект, который ссылается на профиль IKEv2 и задаёт параметры защиты. Привязка к интерфейсу — четвёртый шаг, где применяется crypto map или включается tunnel protection. Каждый переход — отдельная ссылка, и пропущенный переход оставляет каждый объект корректным сам по себе.

Пройдите по цепочке ссылок по порядку

Начните со связки ключей, которую называет профиль, затем подтвердите имя профиля, на которое ссылается crypto map или профиль IPsec, и затем найдите интерфейс, который использует этот последний объект. Запишите каждое имя рядом с объектом, который его использует; этот короткий список полезнее, чем проверка того, что каждый ожидаемый блок где-то есть в конфигурации.

Обычные разрывы механические. Имя профиля отличается на один символ от того, на которое ссылается crypto map. Crypto map существует, но никогда не применялся к интерфейсу. Команда tunnel protection указывает на профиль IPsec, который ссылается на другой профиль IKEv2. Responder без явной привязки — документированный случай, но initiator без привязки просто не настроен для этого пути.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Читайте фрагмент как цепочку, а не как шаблон. Интерфейс называет профиль IPsec, профиль IPsec называет профиль IKEv2, а профиль IKEv2 называет связку ключей. Разорвите любое из этих имён, и конфигурация всё равно разберётся, поэтому маршрутизатор её принимает, а туннель остаётся лежать.

Crypto map и tunnel protection — альтернативы

Cisco документирует две схемы привязки. Crypto map можно применить к интерфейсу, и он может ссылаться на профиль IKEv2 своей командой set. Tunnel protection привязывает профиль IPsec к туннельному интерфейсу. Оба варианта допустимы, и они не предназначены для установки вместе как двойная страховка.

Источник и назначение туннеля задают внешнюю схему доставки и отделены от привязки защиты. Интерфейс LAN, туннельный интерфейс и внешний исходный интерфейс играют три разные роли. Crypto map на интерфейсе LAN не защищает туннель, а туннель с включённой защитой, но без достижимого адреса источника никогда не отправляет пакет своему peer.

Проверяйте загруженное состояние, а не только текст. В установленной версии есть команды, которые связывают настроенные объекты с согласованным сеансом, и именно их нужно цитировать в заявке. Сохранённая конфигурация доказывает намерение; таблица сеансов доказывает путь.

Исключение для responder не является правилом для initiator

Руководство IOS XE отмечает, что явная привязка профиля IKEv2 на responder может быть необязательной. Это исключение не отменяет проверки аутентификации и идентичности и не делает профиль необязательным на стороне, которая начинает соединение.

Если ваш маршрутизатор инициирует, считайте привязку обязательной и проследите её от начала до конца. Если ваш маршрутизатор только отвечает, подтвердите, какой профиль действительно совпал с входящим peer, потому что responder может выбирать профиль по идентичности, а не по ссылке на интерфейс.

Проверяйте путь, а не сохранённую конфигурацию

Когда привязки совпадают, проверьте одно разрешённое приложение и запишите его внутренний источник, назначение и маршрут. Запрос, инициированный маршрутизатором, может использовать другой адрес источника, чем трафик, передаваемый из LAN, и область защиты может охватывать только один из них.

Правильно привязанное определение не доказывает, что селекторы, обратный маршрут и политика интерфейса охватывают ваш поток. Отправьте реальный трафик и прочитайте согласованное состояние, затем повторите после переподключения, чтобы знать, что цепочка переживает новое согласование. Держите объяснение в рамках IOS XE IKEv2; историческое развёртывание crypto map на IKEv1 имеет другую объектную модель, и его не следует отлаживать этой цепочкой.

Запишите эти четыре имени в журнал изменений, когда туннель заработает. Следующему человеку, который тронет crypto map, они понадобятся, а цепочка — это та часть проекта, которую работающая конфигурация не объясняет.

Похожие статьи