Profil IKEv2 je definiran, a ni pripet: sledite verigi

Shranjen profil IKEv2 je objekt, ne pot. Sledite obroču ključev, profilu, crypto map ali profilu IPsec in pripetju na vmesnik, preden začnete razhroščevati fazo 2.

Profil IKEv2 je v shranjeni konfiguraciji, obroč ključev je tam tudi, in tunel se vseeno ne dvigne. V Cisco IOS XE je profil objekt, ki nosi izbire ujemanja identitete in overjanja, in objekt ne naredi ničesar, dokler se drug objekt ne sklicuje nanj in vmesnik tega objekta ne pripne na pot. Večina neuspešnih sej razhroščevanja faze 1 izpusti eno od teh sklicev. Preberite verigo od obroča ključev navzven, preden spremenite kateri koli predlog ali politiko.

Kaj je profilni objekt v resnici

Profil IKEv2 hrani ujemanje oddaljene identitete, lokalne in oddaljene metode overjanja ter sklic na obroč ključev za zasnove z vnaprej dogovorjenim ključem. Opisuje, kako se peer prepozna in kako dokaže sebe, in ne imenuje nobenega vmesnika.

Obroč ključev je ločen objekt, ki hrani vnaprej dogovorjene ključe. Crypto map ali profil IPsec je tretji objekt, ki se sklicuje na profil IKEv2 in zagotavlja nastavitve zaščite. Pripetje na vmesnik je četrti korak, kjer se uporabi crypto map ali omogoči tunnel protection. Vsak skok je ločen sklic, manjkajoč skok pa pusti vsak objekt, da je videti pravilen sam zase.

Sledite verigi sklicev po vrsti

Začnite pri obroču ključev, ki ga profil imenuje, nato potrdite ime profila, na katerega se sklicuje crypto map ali profil IPsec, in nato poiščite vmesnik, ki porablja ta zadnji objekt. Zapišite vsako ime ob objekt, ki ga porablja; ta kratek seznam je koristnejši od preverjanja, ali vsak pričakovan blok kje v konfiguraciji obstaja.

Običajni prelomi so mehanski. Ime profila se za en znak razlikuje od tistega, na katerega se sklicuje crypto map. Crypto map obstaja, a ni bil nikoli uporabljen na vmesniku. Ukaz tunnel protection kaže na profil IPsec, ki se sklicuje na drug profil IKEv2. Responder brez izrecnega pripetja je dokumentiran primer, a initiator brez pripetja preprosto ni konfiguriran za to pot.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Odrezek berite kot verigo in ne kot predlogo. Vmesnik imenuje profil IPsec, profil IPsec imenuje profil IKEv2, profil IKEv2 pa imenuje obroč ključev. Prekinite katero koli od teh imen in konfiguracija se vseeno razčleni, zato jo usmerjevalnik sprejme in tunel ostane spodaj.

Crypto map in tunnel protection sta alternativi

Cisco dokumentira dve razporeditvi pripetja. Crypto map je mogoče uporabiti na vmesniku in se lahko sklicuje na profil IKEv2 s svojim ukazom set. Tunnel protection pripne profil IPsec na tunelski vmesnik. Oba sta veljavna in nista namenjena namestitvi skupaj kot dvojno varovalo.

Vir in cilj tunela določata zunanjo razporeditev dostave in sta ločena od pripetja zaščite. Vmesnik LAN, tunelski vmesnik in zunanji izvorni vmesnik igrajo tri različne vloge. Crypto map na vmesniku LAN ne ščiti tunela, tunel z omogočeno zaščito, a brez dosegljivega izvornega naslova, pa nikoli ne pošlje paketa svojemu peeru.

Preglejte naloženo stanje, ne le besedila. Nameščena izdaja ima ukaze, ki povežejo konfigurirane objekte s pogajano sejo, in prav te je treba navesti v zahtevku. Shranjena konfiguracija dokazuje namero; tabela sej dokazuje pot.

Izjema za responder ni pravilo za initiatorje

Vodnik IOS XE ugotavlja, da je izrecno pripetje profila IKEv2 na responderju lahko neobvezno. Ta izjema ne odvzame overjanja ali preverjanja identitete in profila ne naredi neobveznega na strani, ki začne povezavo.

Če vaš usmerjevalnik začne, obravnavajte pripetje kot obvezno in ga spremljajte od začetka do konca. Če vaš usmerjevalnik samo odgovarja, potrdite, kateri profil se je v resnici ujemal s prihajajočim peerom, saj lahko responder izbere profil po identiteti in ne po sklicu na vmesnik.

Preverite pot, ne shranjene konfiguracije

Ko se pripetja ujemajo, preizkusite eno dovoljeno aplikacijo in zabeležite njen notranji vir, cilj in pot. Zahteva, ki jo začne usmerjevalnik, lahko uporabi drug izvorni naslov kot promet, posredovan z LAN-a, obseg zaščite pa lahko pokriva samo enega od njiju.

Pravilno pripet opis ne dokazuje, da selektorji, povratna pot in politika vmesnika pokrivajo vaš tok. Pošljite pravi promet in preberite pogajano stanje, nato ponovite po ponovni povezavi, da boste vedeli, da veriga preživi novo pogajanje. Obrazložitev omejite na IOS XE IKEv2; zgodovinska namestitev crypto map v IKEv1 ima drug objektni model in je ne bi smeli razhroščevati s to verigo.

Ko tunel deluje, zapišite ta štiri imena v dnevnik sprememb. Naslednja oseba, ki se bo dotaknila crypto map, jih bo potrebovala, veriga pa je tisti del zasnove, ki ga delujoča konfiguracija ne pojasni.

Sorodni članki