IKEv2 профил је дефинисан али није придружен: пратите ланац

Сачувани IKEv2 профил је објекат, а не путања. Пратите привезак кључева, профил, crypto map или IPsec профил и придруживање интерфејсу пре отклањања грешака фазе 2.

IKEv2 профил се налази у сачуваној конфигурацији, привезак кључева је такође тамо, а тунел се ипак не подиже. На Cisco IOS XE профил је објекат који носи изборе подударања идентитета и аутентикације, а објекат не чини ништа док га други објекат не референцира и интерфејс не придружи тај објекат путањи. Већина неуспешних сесија отклањања грешака фазе 1 прескочи једну од тих референци. Прочитајте ланац од привеска кључева ка споља пре него што промените било који предлог или правило.

Шта је заправо објекат профила

IKEv2 профил држи подударање удаљеног идентитета, локалне и удаљене методе аутентикације и референцу на привезак кључева за дизајне са унапред дељеним кључем. Описује како се peer препознаје и како доказује себе, и не именује ниједан интерфејс.

Привезак кључева је засебан објекат који држи унапред дељене кључеве. Crypto map или IPsec профил је трећи објекат који референцира IKEv2 профил и даје поставке заштите. Придруживање интерфејсу је четврти корак, у којем се примењује crypto map или укључује tunnel protection. Сваки скок је засебна референца, а скок који недостаје оставља сваки објекат исправним када се гледа изоловано.

Пратите ланац референци редом

Почните од привеска кључева који профил именује, затим потврдите назив профила на који crypto map или IPsec профил референцира, а затим пронађите интерфејс који троши тај последњи објекат. Запишите сваки назив уз објекат који га троши; тај кратак списак је кориснији од провере да сваки очекивани блок постоји негде у конфигурацији.

Уобичајени прекиди су механички. Назив профила разликује се у једном знаку од онога на који crypto map референцира. Crypto map постоји, али никада није примењен на интерфејс. Наредба tunnel protection показује на IPsec профил који референцира други IKEv2 профил. Responder без изричитог придруживања је документован случај, али initiator без придруживања једноставно није конфигурисан за ту путању.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Читајте исечак као ланац, а не као шаблон. Интерфејс именује IPsec профил, IPsec профил именује IKEv2 профил, а IKEv2 профил именује привезак кључева. Прекините било који од тих назива и конфигурација се ипак парсира, зато је рутер прихвата и тунел остаје доле.

Crypto map и tunnel protection су алтернативе

Cisco документује два начина придруживања. Crypto map може се применити на интерфејс и може референцирати IKEv2 профил својом наредбом set. Tunnel protection придружује IPsec профил тунелском интерфејсу. Оба су ваљана и нису намењена уградњи заједно као мера двоструке заштите.

Извор и одредиште тунела одређују спољашњи распоред доставе и одвојени су од придруживања заштите. LAN интерфејс, тунелски интерфејс и спољашњи изворни интерфејс играју три различите улоге. Crypto map на LAN интерфејсу не штити тунел, а тунел са укљученом заштитом али без доступне изворне адресе никада не шаље пакет свом peer-у.

Прегледајте учитано стање, не само текст. Инсталирано издање има наредбе које повезују конфигурисане објекте са преговараном сесијом, и управо њих треба цитирати у тикету. Сачувана конфигурација доказује намеру; табела сесија доказује путању.

Изузетак за responder није правило за initiatore

Водич за IOS XE бележи да изричито придруживање IKEv2 профила може бити необавезно на responder-у. Тај изузетак не уклања аутентикацију ни провере идентитета и не чини профил необавезним на страни која започиње везу.

Ако ваш рутер започиње, третирајте придруживање као обавезно и пратите га од почетка до краја. Ако ваш рутер само одговара, потврдите који је профил стварно одговарао долазном peer-у, јер responder може одабрати профил према идентитету, а не према референци интерфејса.

Проверите путању, а не сачувану конфигурацију

Када се придруживања поклопе, тестирајте једну дозвољену апликацију и забележите њен унутрашњи извор, одредиште и руту. Захтев који покрене рутер може користити другу изворну адресу од саобраћаја који се прослеђује са LAN-а, а обим заштите може покривати само једно од тога.

Исправно придружена дефиниција не доказује да селектори, повратна рута и правило интерфејса покривају ваш ток. Пошаљите стварни саобраћај и прочитајте преговарано стање, па поновите након поновног повезивања како бисте знали да ланац преживљава ново преговарање. Држите објашњење унутар IOS XE IKEv2; историјско распоређивање IKEv1 crypto map има други модел објеката и не би требало отклањати овим ланцем.

Запишите та четири назива у запис промена када тунел проради. Следећа особа која дотакне crypto map требаће их, а ланац је део дизајна који покренута конфигурација не објашњава.

Повезани чланци