IKEv2 profile waa la qeexay laakiin lama xidhin: raac silsiladda

IKEv2 profile-ku wuxuu ku jiraa qaabeynta la kaydiyay, giraanta furayaashuna way halkaas tahay, tunnel-kuna weli ma soo baxo. Cisco IOS XE profile-ku waa shay sidata doorashooyinka isku-dhigga aqoonsiga iyo xaqiijinta, shayna wax ma qabto ilaa shay kale uu tilmaamo oo interface-ku shaygaas waddo ku xidho. Inta badan fadhiyada debug-gelinta wajiga 1 ee guuldarraystay waxay seegaan mid ka mid ah tixraacyadaan. Akhri silsiladda giraanta furayaasha laga bilaabo dibadda ka hor inta aadan beddelin soo jeedin ama siyaasad.

Waa maxay shayga profile-ka dhab ahaan

IKEv2 profile-ku wuxuu hayaa isku-dhigga aqoonsiga fog, hababka xaqiijinta gudaha iyo kuwa fog, iyo tixraac giraan furayaal ah oo loogu talagalay naqshadaha fure hore loo wadaagay. Wuxuu sharraxayaa sida peer loo garto iyo sida uu isu caddeeyo, mana sheegto interface kasta.

Giraanta furayaashu waa shay gaar ah oo hayaa furayaasha hore loo wadaagay. Crypto map ama IPsec profile waa shayga saddexaad ee tilmaama IKEv2 profile-ka oo bixiya habaynta ilaalinta. Xidhitaanka interface-ku waa tallaabada afraad, halkaas oo crypto map lagu dabaqo ama tunnel protection lagu shido. Bood kastaa waa tixraac gaar ah, boodna maqan wuxuu shay kasta ka dhigaa mid u muuqda mid sax ah marka keligiis la eego.

Raac silsiladda tixraacyada si kala-horeyn ah

Ka bilow giraanta furayaasha ee profile-ku magacaabo, ka dib xaqiiji magaca profile-ka ee crypto map ama IPsec profile tilmaamayo, ka dibna hel interface-ka isticmaala shaygaas ugu dambeeya. Qor magac kasta dhinaca shayga isticmaala; liiskaas gaaban wuu ka faa'iido badan yahay hubinta in qayb kasta oo la filayo ay meel ku taal qaabeynta.

Jabka caadiga ah waa mid farsamo. Magaca profile-ku wuxuu ku kala duwan yahay hal xaraf kan crypto map tilmaamayo. Crypto map wuu jiraa laakiin weligiis lama dabaqin interface-ka. Amarka tunnel protection wuxuu tilmaamayaa IPsec profile tilmaama IKEv2 profile kale. Responder oo aan lahayn xidhitaan cad waa kiis la diiwaangeliyay, laakiin initiator oo aan xidhitaan lahayn si fudud looma qaabeyn waddadaas.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

U akhri qaybta sida silsilad halkii aad ka akhrin lahayd sida template. Interface-ku wuxuu magacaabaa IPsec profile-ka, IPsec profile-ku wuxuu magacaabaa IKEv2 profile-ka, IKEv2 profile-kuna wuxuu magacaabaa giraanta furayaasha. Jebi mid ka mid ah magacyadaas oo qaabeynta wali waa la falanqeeyaa, taasina waa sababta router-ku u aqbalo oo tunnel-ku hoos u hadho.

Crypto map iyo tunnel protection waa beddello

Cisco wuxuu diiwaangeliyay laba hab oo xidhitaan. Crypto map waxaa lagu dabaqi karaa interface oo wuxuu ku tilmaami karaa IKEv2 profile-ka amarkiisa set. Tunnel protection wuxuu IPsec profile ku xidhaa interface tunnel. Labaduba waa sax, oo looma talagelin in si wadajir ah loo rakibo sida tallaabo amni labanlaab ah.

Isha iyo halka tunnel-ku wuxuu u socdo waxay qeexaan habka gaarsiinta dibadda, wayna ka duwan yihiin xidhitaanka ilaalinta. Interface LAN, interface tunnel iyo interface-ka isha dibadda waxay ciyaaraan saddex door oo kala duwan. Crypto map ku yaal interface LAN ma ilaaliyo tunnel-ka, tunnel-na leh ilaalin shidan laakiin aan lahayn cinwaan isha la gaari karo marnaba uma diro baakad peer-kiisa.

Baadh xaaladda la raray, ma aha oo kaliya qoraalka. Nuqulka la rakibay wuxuu leeyahay amarar isku xidha shayyada la qaabeeyay iyo fadhiga la gorgortamay, kuwaasna waa in lagu xigtaa ticket-ka. Qaabeyn la kaydiyay waxay caddeynaysaa ujeeddada; shaxda fadhiyada waxay caddeynaysaa waddada.

Ka-reebista responder maaha sharci initiator-rada

Hagaha IOS XE wuxuu xusayaa in xidhitaanka cad ee IKEv2 profile-ku uu ku noqon karo mid ikhtiyaari ah responder-ka. Ka-reebistaas ma tirtirto xaqiijinta ama hubinta aqoonsiga, mana ka dhigto profile-ka mid ikhtiyaari ah dhinaca bilaaba xidhiidhka.

Haddii router-kaagu bilaabo, u qaado xidhitaanka mid waajib ah oo raac bilow ilaa dhammaad. Haddii router-kaagu kaliya jawaabo, xaqiiji profile-ka dhab ahaan la mid ahaa peer-ka soo galaya, sababtoo ah responder wuxuu dooran karaa profile aqoonsiga halkii uu ka dooran lahaa tixraaca interface-ka.

Hubi waddada, ma aha qaabeynta la kaydiyay

Marka xidhitaannadu is waafaqaan, tijaabi hal barnaamij oo la oggol yahay oo qor isha gudaha, halka uu tagayo iyo waddada. Codsi uu router-ku bilaabo wuxuu isticmaali karaa cinwaan isha ka duwan taraafikada laga gudbiyo LAN, baaxadda ilaalintuna waxaa laga yaabaa inay qabato mid ka mid ah oo kaliya.

Qeexitaan si sax ah loo xidhay ma caddeeyo in doorashooyinka, waddada soo noqodka iyo siyaasadda interface-ku ay qabtaan qulqulkaaga. Dir taraafik dhab ah oo akhri xaaladda la gorgortamay, ka dibna ku celi isku-xidhka ka dib si aad u ogaato in silsiladdu ka gudubto gorgortan cusub. Ku hay sharraxaadda IOS XE IKEv2 gudihiisa; hirgelinta taariikhiga ah ee crypto map IKEv1 waxay leedahay qaab shay oo kale oo aan silsiladdan lagu debug-gelin.

Qor afartaas magac ee diiwaanka isbeddelka marka tunnel-ku shaqeeyo. Qofka xiga ee taabta crypto map wuu u baahan doonaa, silsiladduna waa qaybta naqshadda ee qaabeynta socota aanay sharraxayn.