Cili VRF arrin partnerin VPN dhe cili e mban paketën?

Çdo tunel brenda një konteksti rrugëtimi të klientit duhet ende të arrijë partnerin e tij të largët, dhe ai kërkim mund të ndodhë në një tabelë krejt tjetër. Kjo gabim prodhon një nga dështimet më konfuze në IPsec me vetëdije VRF: tuneli ngrihet, rrugët duken të pranishme dhe trafiku vdes sepse njëri nga dy kërkimet përdori kontekstin e gabuar. Kryeni katër hapat më poshtë me radhë dhe shkruani dy destinacionet veçmas.

Dy kërkime, një tunel

Paketa e jashtme e inkapsuluar adresohet drejt adresës së transportit të partnerit dhe rrugëtohet përpara se të ekzistojë çfarëdo mbrojtje. Paketa e brendshme adresohet drejt një serveri të klientit dhe rrugëtohet pas dekapsulimit, brenda kontekstit të klientit. Këto janë dy destinacione, dy kërkime dhe shpesh dy tabela të ndryshme.

Dokumentacioni i Cisco për IPsec me vetëdije VRF i quan VRF e derës së përparme dhe VRF i brendshëm. Dera e përparme mban transportin e kriptuar dhe konteksti i brendshëm mban trafikun e mbrojtur. Asgjë rreth emërtimit të një tuneli sipas një klienti nuk bën që të shfaqet ndonjëra nga dy rrugët.

Prandaj renditni katër fakte përpara se të ndryshoni një konfigurim: adresën e transportit të partnerit dhe kontekstin që e arrin atë, pastaj prefiksin e serverit dhe kontekstin që e arrin atë. Nëse nuk mund t'i plotësoni të katërta, jeni duke gati për të hamendësuar. Hamendësimi në këtë fushë është i shtrenjtë, sepse një rrugë e shtuar në tabelën e gabuar mund ta bëjë një rrjedhë të punojë ndërsa thyen në heshtje një tjetër. Katër faktet kërkojnë dhjetë minuta për t'u mbledhur dhe kursejnë një ditë analize regjistrimesh.

Konfirmoni kërkimin e transportit për partnerin

Filloni nga dera e përparme, sepse një tunel që nuk arrin dot partnerin e tij nuk do të lejojë kurrë të kalojë as edhe një paketë të mbrojtur. Në IOS kërkoni rrugën drejt partnerit brenda VRF-së së transportit dhe jo në tabelën globale.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Komanda e parë përgjigjet nëse adresa e partnerit është e arritshme në atë kontekst, e dyta liston VRF-të që ekzistojnë vërtet, dhe e treta tregon nëse u formua një shoqatë sigurie. Një adresë partneri që zgjidhet vetëm në tabelën globale është gabimi klasik i derës së përparme dhe shfaqet si një negocim IKE që nuk fillon kurrë.

Kontrolloni edhe caktimin e ndërfaqes. Sjellja e dokumentuar kërkon që VRF-ja e derës së përparme të tunelit dhe VRF-ja e ndërfaqes WAN të përputhen; një mospërputhje mund të lejojë një paketë të dalë dhe prapëseprapë të pengojë përpunimin e përgjigjes në kontekstin e duhur.

Konfirmoni kërkimin e brendshëm për serverin

Pasi dera e përparme të jetë vërtetuar, kaloni në kontekstin e klientit dhe bëni të njëjtën pyetje për prefiksin e serverit. Ky kërkim vendos nëse një paketë e dekapsuluar mund të përcillet më tej.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Komanda e parë tregon rrugën e brendshme, dhe e dyta tregon gjendjen e sesionit bashkë me kontekstet që platforma lidhi me të. Nëse rruga ekziston por detajet e sesionit përmendin kontekstin e brendshëm të gabuar, tuneli po përcjell në një tabelë që nuk e njeh prefiksin e klientit.

Një rrugë në tabelën globale nuk është provë për asnjërën nga dy kërkimet. Rrugët globale përdoren kur një paketë nuk lidhet me një VRF, dhe një ndërfaqe tuneli e caktuar për një kontekst klienti e ndryshon atë lidhje. Nëse rruga e brendshme mungon, paketa dekapsulohet dhe më pas hidhet për shkak të mungesës së një zëri përcjelljeje, gjë që duket si humbje paketash dhe jo si gabim rrugëtimi.

Vendosni cilësimin aty ku modeli e pret

I njëjti dokumentacion dallon modelet e konfigurimit, dhe një cilësim që i përket njërit nuk i përket domosdoshmërisht tjetrit. Për ndërfaqet e tunelit që përdorin mbrojtje tuneli, VRF-ja e brendshme përcaktohet në ndërfaqen e tunelit. Në modelet e bazuara në crypto map, VRF-ja e brendshme është pjesë e zërit crypto map. Kalimi i një komande me emër të ngjashëm midis modeleve pa kontrolluar rolin e saj është mënyra se si një model që funksionon bëhet i ndërprerë.

Rrugëtimi dhe identiteti janë çështje të ndara. Arritshmëria nuk zëvendëson kurrë një profil partneri që pajisja do të pranojë, dhe riemërtimi i një VRF nuk duhet të ndryshojë kredencialet e ofruara. Kontrolloni të dyja pas çdo ndryshimi, sepse një tunel që negocion me profilin e gabuar mund të formojë ende një shoqatë dhe të mos përcjellë asgjë.

Së fundi, regjistroni katër faktet dhe komandat që i vërtetuan në regjistrin e ndryshimeve. Inxhinieri i ardhshëm do të trashëgojë tunelin dhe jo arsyetimin, dhe një shënim i shkurtër që përmend të dy kontekstet vlen më shumë se një diagram që askush nuk e përditëson.