Profili IKEv2 i përcaktuar por i palidhur: ndiqni zinxhirin

Profili IKEv2 ndodhet në konfigurimin e ruajtur, unaza e çelësave është gjithashtu aty, dhe tuneli prapë nuk ngrihet. Në Cisco IOS XE një profil është objekt që mban zgjedhjet e përputhjes së identitetit dhe të vërtetimit, dhe një objekt nuk bën asgjë derisa një objekt tjetër t'i referohet dhe një ndërfaqe ta lidhë atë objekt me një shteg. Shumica e sesioneve të dështuara të korrigjimit të fazës 1 anashkalojnë një nga këto referenca. Lexoni zinxhirin nga unaza e çelësave nga jashtë përpara se të ndryshoni ndonjë propozim ose politikë.

Çfarë është në të vërtetë një objekt profili

Profili IKEv2 mban përputhjen e identitetit të largët, metodat e vërtetimit lokale dhe të largëta, dhe një referencë për një unazë çelësash për modelet me çelës të paracaktuar. Përshkruan si njihet një peer dhe si e dëshmon veten, dhe nuk emërton asnjë ndërfaqe.

Unaza e çelësave është objekt i veçantë që mban çelësat e paracaktuar. Crypto map ose profili IPsec është objekti i tretë që i referohet profilit IKEv2 dhe furnizon cilësimet e mbrojtjes. Lidhja me ndërfaqen është hapi i katërt, ku aplikohet një crypto map ose aktivizohet tunnel protection. Çdo kërcim është referencë e veçantë, dhe një kërcim që mungon i lë të gjitha objektet të duken të sakta veç e veç.

Ndiqni zinxhirin e referencave sipas rendit

Filloni nga unaza e çelësave që emërton profili, më pas konfirmoni emrin e profilit të cilit i referohet crypto map ose profili IPsec, dhe më pas gjeni ndërfaqen që konsumon atë objekt të fundit. Shkruani çdo emër pranë objektit që e konsumon; ajo listë e shkurtër është më e dobishme sesa të kontrolloni që çdo bllok i pritur ekziston diku në konfigurim.

Thyerjet e zakonshme janë mekanike. Një emër profili ndryshon me një karakter nga ai të cilit i referohet crypto map. Crypto map ekziston por nuk u aplikua kurrë në ndërfaqe. Komanda tunnel protection tregon një profil IPsec që i referohet një profili tjetër IKEv2. Një responder pa lidhje të shprehur është rast i dokumentuar, por një initiator pa lidhje thjesht nuk është konfiguruar për atë shteg.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Lexoni fragmentin si zinxhir dhe jo si shabllon. Ndërfaqja emërton profilin IPsec, profili IPsec emërton profilin IKEv2, dhe profili IKEv2 emërton unazën e çelësave. Thyeni cilindo nga këta emra dhe konfigurimi prapë analizohet, prandaj router-i e pranon dhe tuneli mbetet poshtë.

Crypto map dhe tunnel protection janë alternativa

Cisco dokumenton dy mënyra lidhjeje. Një crypto map mund të aplikohet në një ndërfaqe dhe mund t'i referohet profilit IKEv2 përmes komandës së tij set. Tunnel protection lidh një profil IPsec me një ndërfaqe tuneli. Të dyja janë të vlefshme, dhe nuk janë menduar të instalohen së bashku si masë sigurie e dyfishtë.

Burimi dhe destinacioni i tunelit përcaktojnë mënyrën e jashtme të dorëzimit, dhe janë të ndara nga lidhja e mbrojtjes. Një ndërfaqe LAN, ndërfaqja e tunelit dhe ndërfaqja e burimit të jashtëm luajnë tre role të ndryshme. Një crypto map në ndërfaqen LAN nuk e mbron tunelin, dhe një tunel me mbrojtje të aktivizuar por pa adresë burimi të arritshme nuk dërgon kurrë paketë te peer-i i tij.

Inspektoni gjendjen e ngarkuar, jo vetëm tekstin. Versioni i instaluar ka komanda që lidhin objektet e konfiguruara me sesionin e negociuar, dhe ato duhen cituar në një tiketë. Një konfigurim i ruajtur dëshmon qëllimin; një tabelë sesionesh dëshmon shtegun.

Përjashtimi i responder-it nuk është rregull për initiator-ët

Udhëzuesi i IOS XE vëren se një lidhje e shprehur e profilit IKEv2 mund të jetë opsionale te një responder. Ai përjashtim nuk heq vërtetimin ose kontrollet e identitetit, dhe nuk e bën profilin opsional në anën që fillon lidhjen.

Nëse router-i juaj fillon, trajtojeni lidhjen si të detyrueshme dhe ndiqeni nga fillimi në fund. Nëse router-i juaj vetëm përgjigjet, konfirmoni cili profil përputhej vërtet me peer-in hyrës, sepse një responder mund të zgjedhë profil sipas identitetit dhe jo sipas referencës së ndërfaqes.

Kontrolloni shtegun, jo konfigurimin e ruajtur

Kur lidhjet përputhen, provoni një aplikacion të lejuar dhe regjistroni burimin, destinacionin dhe rrugën e tij të brendshme. Një kërkesë e nisur nga router-i mund të përdorë një adresë burimi të ndryshme nga trafiku i përcjellë nga LAN, dhe shtrirja e mbrojtjes mund të mbulojë vetëm njërën prej tyre.

Një përcaktim i lidhur saktë nuk dëshmon që selektorët, rruga e kthimit dhe politika e ndërfaqes mbulojnë rrjedhën tuaj. Dërgoni trafik real dhe lexoni gjendjen e negociuar, pastaj përsëriteni pas një rilidhjeje që të dini se zinxhiri i mbijeton një negociate të re. Mbani shpjegimin brenda IOS XE IKEv2; një vendosje historike e crypto map me IKEv1 ka model tjetër objektesh dhe nuk duhet korrigjuar me këtë zinxhir.

Shkruani ata katër emra në regjistrin e ndryshimeve kur tuneli funksionon. Personi tjetër që prek crypto map do t'i ketë të nevojshëm, dhe zinxhiri është pjesa e projektimit që konfigurimi në punë nuk e shpjegon.