IKEv2 profil definiran ali nije pridružen: pratite lanac

Spremljeni IKEv2 profil je objekt, a ne put. Pratite privjesak ključeva, profil, crypto map ili IPsec profil i pridruživanje sučelju prije otklanjanja pogrešaka faze 2.

IKEv2 profil nalazi se u spremljenoj konfiguraciji, privjesak ključeva je također tamo, a tunel se ipak ne podiže. Na Cisco IOS XE profil je objekt koji nosi odabire podudaranja identiteta i autentikacije, a objekt ne čini ništa dok ga drugi objekt ne referencira i sučelje ne pridruži tom objektu put. Većina neuspjelih sesija otklanjanja pogrešaka faze 1 preskoči jednu od tih referenci. Pročitajte lanac od privjeska ključeva prema van prije nego što promijenite bilo koji prijedlog ili pravilo.

Što je profilni objekt zapravo

IKEv2 profil drži podudaranje udaljenog identiteta, lokalne i udaljene metode autentikacije te referencu na privjesak ključeva za dizajne s unaprijed dijeljenim ključem. Opisuje kako se peer prepoznaje i kako dokazuje sebe, i ne imenuje nijedno sučelje.

Privjesak ključeva zaseban je objekt koji drži unaprijed dijeljene ključeve. Crypto map ili IPsec profil treći je objekt koji referencira IKEv2 profil i daje postavke zaštite. Pridruživanje sučelju četvrti je korak, u kojem se primjenjuje crypto map ili uključuje tunnel protection. Svaki skok zasebna je referenca, a skok koji nedostaje ostavlja svaki objekt ispravnim kada se gleda izolirano.

Pratite lanac referenci redom

Počnite od privjeska ključeva koji profil imenuje, zatim potvrdite naziv profila na koji crypto map ili IPsec profil referencira, a zatim pronađite sučelje koje troši taj posljednji objekt. Zapišite svaki naziv uz objekt koji ga troši; taj kratki popis korisniji je od provjere da svaki očekivani blok postoji negdje u konfiguraciji.

Uobičajeni prekidi su mehanički. Naziv profila razlikuje se u jednom znaku od onoga na koji crypto map referencira. Crypto map postoji, ali nikada nije primijenjen na sučelje. Naredba tunnel protection pokazuje na IPsec profil koji referencira drugi IKEv2 profil. Responder bez izričitog pridruživanja dokumentiran je slučaj, ali initiator bez pridruživanja jednostavno nije konfiguriran za taj put.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Čitajte isječak kao lanac, a ne kao predložak. Sučelje imenuje IPsec profil, IPsec profil imenuje IKEv2 profil, a IKEv2 profil imenuje privjesak ključeva. Prekinite bilo koji od tih naziva i konfiguracija se ipak parsira, zato je usmjerivač prihvaća i tunel ostaje dolje.

Crypto map i tunnel protection su alternative

Cisco dokumentira dva načina pridruživanja. Crypto map može se primijeniti na sučelje i može referencirati IKEv2 profil svojom naredbom set. Tunnel protection pridružuje IPsec profil tunelskom sučelju. Oba su valjana i nisu namijenjena ugradnji zajedno kao mjera dvostruke zaštite.

Izvor i odredište tunela određuju vanjski raspored dostave i odvojeni su od pridruživanja zaštite. LAN sučelje, tunelsko sučelje i vanjsko izvorno sučelje igraju tri različite uloge. Crypto map na LAN sučelju ne štiti tunel, a tunel s uključenom zaštitom ali bez dostupne izvorne adrese nikada ne šalje paket svom peeru.

Pregledajte učitano stanje, ne samo tekst. Instalirano izdanje ima naredbe koje povezuju konfigurirane objekte s pregovaranom sesijom, i upravo njih treba citirati u ticketu. Spremljena konfiguracija dokazuje namjeru; tablica sesija dokazuje put.

Iznimka za responder nije pravilo za initiatore

Vodič za IOS XE bilježi da izričito pridruživanje IKEv2 profila može biti neobavezno na responderu. Ta iznimka ne uklanja autentikaciju ni provjere identiteta i ne čini profil neobaveznim na strani koja započinje vezu.

Ako vaš usmjerivač započinje, tretirajte pridruživanje kao obvezno i slijedite ga od početka do kraja. Ako vaš usmjerivač samo odgovara, potvrdite koji je profil stvarno odgovarao dolaznom peeru, jer responder može odabrati profil prema identitetu, a ne prema referenci sučelja.

Provjerite put, a ne spremljenu konfiguraciju

Kada se pridruživanja poklope, testirajte jednu dopuštenu aplikaciju i zabilježite njezin unutarnji izvor, odredište i rutu. Zahtjev koji pokrene usmjerivač može koristiti drugu izvornu adresu od prometa koji se prosljeđuje s LAN-a, a opseg zaštite može pokrivati samo jedno od toga.

Ispravno pridružena definicija ne dokazuje da selektori, povratna ruta i pravilo sučelja pokrivaju vaš tok. Pošaljite stvarni promet i pročitajte pregovarano stanje, pa ponovite nakon ponovnog spajanja kako biste znali da lanac preživljava novo pregovaranje. Držite objašnjenje unutar IOS XE IKEv2; povijesna IKEv1 crypto map implementacija ima drugi model objekata i ne bi se trebala otklanjati ovim lancem.

Zapišite ta četiri naziva u zapis promjena kada tunel proradi. Sljedeća osoba koja dotakne crypto map trebat će ih, a lanac je dio dizajna koji pokrenuta konfiguracija ne objašnjava.

Povezani članci