Profil IKEv2 definovaný, ale nepripojený: sledujte reťaz

Profil IKEv2 je v uloženej konfigurácii, zväzok kľúčov je tam tiež, a tunel napriek tomu nenabehne. V Cisco IOS XE je profil objekt, ktorý nesie voľby porovnávania identity a autentizácie, a objekt nič nerobí, kým naň iný objekt neodkáže a rozhranie ten objekt nepripojí k ceste. Väčšina neúspešných ladiacich relácií fázy 1 preskočí jeden z týchto odkazov. Prečítajte reťaz od zväzku kľúčov smerom von, skôr než zmeníte akýkoľvek návrh alebo politiku.

Čo je profilový objekt v skutočnosti

Profil IKEv2 uchováva porovnanie vzdialenej identity, lokálne a vzdialené metódy autentizácie a odkaz na zväzok kľúčov pre riešenia s vopred zdieľaným kľúčom. Opisuje, ako sa peer rozpozná a ako preukazuje svoju identitu, a neuvádza žiadne rozhranie.

Zväzok kľúčov je samostatný objekt, ktorý uchováva vopred zdieľané kľúče. Crypto map alebo profil IPsec je tretí objekt, ktorý odkazuje na profil IKEv2 a poskytuje nastavenia ochrany. Pripojenie k rozhraniu je štvrtý krok, v ktorom sa použije crypto map alebo sa zapne tunnel protection. Každý skok je samostatný odkaz a chýbajúci skok nechá každý objekt izolovane vyzerať správne.

Sledujte reťaz odkazov v poradí

Začnite pri zväzku kľúčov, ktorý profil pomenúva, potom potvrďte názov profilu, na ktorý odkazuje crypto map alebo profil IPsec, a potom nájdite rozhranie, ktoré tento posledný objekt spotrebúva. Zapíšte každý názov vedľa objektu, ktorý ho spotrebúva; tento krátky zoznam je užitočnejší než overovanie, či každý očakávaný blok niekde v konfigurácii existuje.

Bežné zlomy sú mechanické. Názov profilu sa líši o jeden znak od toho, na ktorý odkazuje crypto map. Crypto map existuje, ale nikdy nebol použitý na rozhraní. Príkaz tunnel protection ukazuje na profil IPsec, ktorý odkazuje na iný profil IKEv2. Responder bez výslovného pripojenia je dokumentovaný prípad, ale initiator bez pripojenia jednoducho nie je pre túto cestu nakonfigurovaný.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Čítajte úryvok ako reťaz a nie ako šablónu. Rozhranie pomenúva profil IPsec, profil IPsec pomenúva profil IKEv2 a profil IKEv2 pomenúva zväzok kľúčov. Prekinte ktorýkoľvek z týchto názvov a konfigurácia sa stále spracuje, preto ju router prijme a tunel zostane dole.

Crypto map a tunnel protection sú alternatívy

Cisco dokumentuje dve usporiadania pripojenia. Crypto map možno použiť na rozhraní a môže odkazovať na profil IKEv2 svojím príkazom set. Tunnel protection pripája profil IPsec k tunelovému rozhraniu. Obe sú platné a nie sú určené na inštaláciu spolu ako dvojitá poistka.

Zdroj a cieľ tunela určujú vonkajšie usporiadanie doručenia a sú oddelené od pripojenia ochrany. Rozhranie LAN, tunelové rozhranie a vonkajšie zdrojové rozhranie hrajú tri rôzne úlohy. Crypto map na rozhraní LAN nechráni tunel a tunel so zapnutou ochranou, ale bez dostupnej zdrojovej adresy, nikdy neodošle paket svojmu peerovi.

Prezerajte načítaný stav, nielen text. Nainštalované vydanie má príkazy, ktoré prepájajú nakonfigurované objekty s vyjednanou reláciou, a práve tie treba citovať v tikete. Uložená konfigurácia dokazuje zámer; tabuľka relácií dokazuje cestu.

Výnimka pre respondera nie je pravidlom pre initiatorov

Príručka IOS XE uvádza, že výslovné pripojenie profilu IKEv2 môže byť na responderi voliteľné. Táto výnimka neodstraňuje autentizáciu ani kontroly identity a nerobí profil voliteľným na strane, ktorá začína spojenie.

Ak váš router začína, berte pripojenie ako povinné a sledujte ho od začiatku do konca. Ak váš router iba odpovedá, potvrďte, ktorý profil skutočne zodpovedal prichádzajúcemu peerovi, pretože responder môže vybrať profil podľa identity a nie podľa odkazu na rozhranie.

Skontrolujte cestu, nie uloženú konfiguráciu

Keď pripojenia sedia, otestujte jednu povolenú aplikáciu a zaznamenajte jej vnútorný zdroj, cieľ a trasu. Požiadavka iniciovaná routerom môže použiť inú zdrojovú adresu než premávka preposielaná z LAN a rozsah ochrany môže pokrývať iba jednu z nich.

Správne pripojená definícia nedokazuje, že selektory, spätná trasa a politika rozhrania pokrývajú váš tok. Pošlite skutočnú premávku a prečítajte vyjednaný stav, potom to zopakujte po opätovnom pripojení, aby ste vedeli, že reťaz prežije nové vyjednávanie. Držte vysvetlenie v rámci IOS XE IKEv2; historické nasadenie crypto map na IKEv1 má iný objektový model a nemalo by sa ladit týmto reťazom.

Zapíšte tie štyri názvy do záznamu zmien, keď tunel funguje. Ďalší človek, ktorý sa dotkne crypto map, ich bude potrebovať, a reťaz je tá časť návrhu, ktorú bežiaca konfigurácia nevysvetľuje.