Ktoré VRF dosiahne partnerský uzol VPN a ktoré nesie paket?

Každý tunel v rámci smerovacieho kontextu zákazníka musí stále dosiahnuť svojho vzdialeného partnera a toto vyhľadávanie sa môže odohrať v úplne inej tabuľke. Chyba tu vytvára jednu z najzmatúcejších porúch v IPsec s ohľadom na VRF: tunel sa zdvihne, trasy vyzerajú prítomné a prevádzka zomrie, pretože jedno z dvoch vyhľadávaní použilo nesprávny kontext. Vykonajte štyri kroky nižšie v poradí a zapíšte obe destinácie oddelene.

Dve vyhľadávania, jeden tunel

Vonkajší zapuzdrený paket je adresovaný na transportnú adresu partnera a smeruje sa skôr, než existuje akákoľvek ochrana. Vnútorný paket je adresovaný na server zákazníka a smeruje sa po dekapsulácii, v kontexte zákazníka. To sú dve destinácie, dve vyhľadávania a často dve rôzne tabuľky.

Dokumentácia Cisco pre IPsec s ohľadom na VRF ich nazýva VRF predných dverí a vnútorné VRF. Predné dvere nesú šifrovanú dopravu a vnútorný kontext nesie chránenú prevádzku. Nič na pomenovaní tunela po zákazníkovi nespôsobí, že sa objaví ktorákoľvek z trás.

Preto pred zmenou konfigurácie vypíšte štyri skutočnosti: transportnú adresu partnera a kontext, ktorý k nej vedie, potom prefix servera a kontext, ktorý k nemu vedie. Ak nedokážete vyplniť všetky štyri, chystáte sa hádať. Hádanie je v tejto oblasti drahé, pretože trasa pridaná do nesprávnej tabuľky môže jednu komunikáciu sprevádzkovať a inú potichu pokaziť. Zhromaždenie štyroch skutočností zaberie desať minút a ušetrí deň analýzy zachytenej komunikácie.

Potvrďte transportné vyhľadávanie partnera

Začnite prednými dverami, pretože tunel, ktorý nedosiahne partnera, nikdy neprepustí jediný chránený paket. V IOS sa pýtajte na trasu k partnerovi vnútri transportného VRF, nie v globálnej tabuľke.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Prvý príkaz odpovedá, či je adresa partnera v tomto kontexte dostupná, druhý vypisuje VRF, ktoré skutočne existujú, a tretí ukazuje, či vznikla bezpečnostná asociácia. Adresa partnera, ktorá sa vyrieši iba v globálnej tabuľke, je klasická chyba predných dverí a prejavuje sa ako vyjednávanie IKE, ktoré sa nikdy nezačne.

Skontrolujte aj priradenie rozhrania. Dokumentované správanie vyžaduje, aby sa VRF predných dverí tunela a VRF rozhrania WAN zhodovali; nesúlad môže nechať paket odísť a napriek tomu zabrániť spracovaniu odpovede v správnom kontexte.

Potvrďte vnútorné vyhľadávanie servera

Keď sú predné dvere preukázané, prepnite sa do kontextu zákazníka a položte rovnakú otázku o prefixe servera. Toto vyhľadávanie rozhoduje, či možno dekapsulovaný paket ďalej odovzdať.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Prvý príkaz ukazuje vnútornú trasu a druhý stav relácie spolu s kontextami, ktoré k nej platforma priradila. Ak trasa existuje, ale podrobnosti relácie uvádzajú nesprávny vnútorný kontext, tunel odovzdáva do tabuľky, ktorá prefix zákazníka nepozná.

Trasa v globálnej tabuľke nie je dôkazom pre žiadne z dvoch vyhľadávaní. Globálne trasy sa používajú, keď paket nie je priradený k VRF, a rozhranie tunela priradené kontextu zákazníka toto priradenie mení. Ak vnútorná trasa chýba, paket sa dekapsuluje a potom sa zahodí pre chýbajúcu položku odovzdávania, čo vyzerá ako strata paketov, nie ako chyba smerovania.

Umiestnite nastavenie tam, kde ho model očakáva

Rovnaká dokumentácia rozlišuje konfiguračné modely a nastavenie patriace jednému nemusí patriť druhému. Pri rozhraniach tunela s ochranou tunela sa vnútorné VRF definuje na rozhraní tunela. V riešeniach založených na crypto map je vnútorné VRF súčasťou položky crypto map. Presúvanie podobne pomenovaného príkazu medzi modelmi bez kontroly jeho úlohy je spôsob, akým sa funkčný návrh stane nestabilným.

Smerovanie a identita sú oddelené otázky. Dostupnosť nikdy nenahradí profil partnera, ktorý zariadenie prijme, a premenovanie VRF nesmie zmeniť ponúkané prihlasovacie údaje. Po každej zmene skontrolujte oboje, pretože tunel vyjednávajúci s nesprávnym profilom môže stále vytvoriť asociáciu a nič neodovzdať.

Nakoniec zapíšte štyri skutočnosti a príkazy, ktoré ich preukázali, do záznamu zmien. Ďalší inžinier zdedí tunel, nie úvahu, a krátka poznámka, ktorá pomenuje oba kontexty, má väčšiu cenu než diagram, ktorý nikto neaktualizuje.