Kateri VRF doseže partnerja VPN in kateri nosi paket?

Vsak tunel znotraj konteksta usmerjanja stranke mora še vedno doseči svojega oddaljenega partnerja, in to iskanje se lahko zgodi v povsem drugi tabeli. Napaka tukaj povzroči eno najbolj zmedenih okvar v IPsec, ki se zaveda VRF: tunel se dvigne, poti so videti prisotne, promet pa umre, ker je eno od dveh iskanj uporabilo napačen kontekst. Izvedite štiri spodnje korake po vrsti in zapišite oba cilja ločeno.

Dve iskanji, en tunel

Zunanji zapakirani paket je naslovljen na transportni naslov partnerja in se usmeri, preden obstaja kakršna koli zaščita. Notranji paket je naslovljen na strežnik stranke in se usmeri po dekapsulaciji, znotraj konteksta stranke. To sta dva cilja, dve iskanji in pogosto dve različni tabeli.

Dokumentacija Cisco za IPsec, ki se zaveda VRF, ju imenuje VRF sprednjih vrat in notranji VRF. Sprednja vrata nosijo šifriran promet, notranji kontekst pa nosi zaščiten promet. Nič v poimenovanju tunela po stranki ne povzroči, da bi se pojavila katera od obeh poti.

Zato pred spremembo konfiguracije naštejte štiri dejstva: transportni naslov partnerja in kontekst, ki doseže njega, nato predpono strežnika in kontekst, ki doseže njo. Če ne morete izpolniti vseh štirih, se boste pravkar lotili ugibanja. Ugibanje je na tem področju drago, ker lahko pot, dodana v napačno tabelo, omogoči en tok, medtem ko drugega tiho pokvari. Zbiranje štirih dejstev traja deset minut in prihrani dan analize zajema.

Potrdite iskanje prevoza za partnerja

Začnite s sprednjimi vrati, ker tunel, ki ne more doseči partnerja, nikoli ne bo spustil skozi niti enega zaščitenega paketa. V IOS vprašajte za pot do partnerja znotraj transportnega VRF in ne v globalni tabeli.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Prvi ukaz odgovori, ali je naslov partnerja v tem kontekstu dosegljiv, drugi navede VRF, ki resnično obstajajo, tretji pa pokaže, ali je nastala varnostna povezava. Naslov partnerja, ki se razreši samo v globalni tabeli, je klasična napaka sprednjih vrat in se kaže kot pogajanje IKE, ki se nikoli ne začne.

Preverite tudi dodelitev vmesnika. Dokumentirano vedenje zahteva, da se VRF sprednjih vrat tunela in VRF vmesnika WAN ujemata; neujemanje lahko pusti paket ven in vseeno prepreči obdelavo odgovora v pravem kontekstu.

Potrdite notranje iskanje za strežnik

Ko so sprednja vrata dokazana, preklopite v kontekst stranke in postavite isto vprašanje o predponi strežnika. To iskanje odloči, ali je dekapsulirani paket mogoče posredovati naprej.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Prvi ukaz prikaže notranjo pot, drugi pa stanje seje skupaj s konteksti, ki jih je platforma povezala z njo. Če pot obstaja, a podrobnosti seje navajajo napačen notranji kontekst, tunel posreduje v tabelo, ki ne pozna predpone stranke.

Pot v globalni tabeli ni dokaz za nobeno od obeh iskanj. Globalne poti se uporabljajo, ko paket ni povezan z VRF, in vmesnik tunela, dodeljen kontekstu stranke, spremeni to povezavo. Če notranje poti ni, se paket dekapsulira in nato zavrže zaradi manjkajočega vnosa za posredovanje, kar je videti kot izguba paketov in ne kot napaka usmerjanja.

Nastavitev postavite tja, kjer jo model pričakuje

Ista dokumentacija razlikuje konfiguracijske modele in nastavitev, ki pripada enemu, ne pripada nujno drugemu. Pri vmesnikih tunela z zaščito tunela je notranji VRF določen na vmesniku tunela. Pri rešitvah, ki temeljijo na crypto map, je notranji VRF del vnosa crypto map. Premikanje podobno poimenovanega ukaza med modeli brez preverjanja njegove vloge je pot, po kateri delujoča zasnova postane občasna.

Usmerjanje in identiteta sta ločeni zadevi. Dosegljivost nikoli ne nadomesti profila partnerja, ki ga bo naprava sprejela, in preimenovanje VRF ne sme spremeniti ponujenih poverilnic. Po vsaki spremembi preverite oboje, ker lahko tunel, ki se pogaja z napačnim profilom, še vedno oblikuje povezavo in ničesar ne posreduje.

Nazadnje zapišite štiri dejstva in ukaze, ki so jih dokazali, v dnevnik sprememb. Naslednji inženir bo podedoval tunel in ne razmišljanja, in kratka opomba, ki imenuje oba konteksta, je vredna več kot diagram, ki ga nihče ne posodablja.