Који VRF стиже до VPN партнера, а који носи пакет?

Сваки тунел унутар контекста рутирања клијента ипак мора да стигне до свог удаљеног партнера, и то претраживање може да се догоди у потпуно другој табели. Грешка овде производи један од најзбуњујућих кварова у IPsec-у свесном VRF-а: тунел се подигне, руте изгледају присутно, а саобраћај умире јер је једно од два претраживања користило погрешан контекст. Изведите четири корака испод по реду и запишите две дестинације одвојено.

Два претраживања, један тунел

Спољашњи инкапсулирани пакет адресиран је на транспортну адресу партнера и рутира се пре него што постоји било каква заштита. Унутрашњи пакет адресиран је на сервер клијента и рутира се после декапсулације, унутар контекста клијента. То су две дестинације, два претраживања и често две различите табеле.

Документација Cisco-а за IPsec свестан VRF-а назива их VRF предњих врата и унутрашњи VRF. Предња врата носе шифровани транспорт, а унутрашњи контекст носи заштићени саобраћај. Ништа у томе што тунел назовете по клијенту не чини да се појави било која од две руте.

Зато наведите четири чињенице пре промене конфигурације: транспортну адресу партнера и контекст који до ње стиже, затим префикс сервера и контекст који до њега стиже. Ако не можете да попуните сва четири, спремате се да нагађате. Нагађање је у овој области скупо, јер рута додата у погрешну табелу може пустити један ток да ради док тихо квари други. Четири чињенице трају десет минута прикупљања и штеде дан анализе снимка.

Потврдите транспортно претраживање за партнера

Почните од предњих врата, јер тунел који не може да стигне до партнера никада неће пропустити ни један заштићени пакет. На IOS-у тражите руту до партнера унутар транспортног VRF-а, а не у глобалној табели.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Прва команда одговара да ли је адреса партнера доступна у том контексту, друга наводи VRF-ове који заиста постоје, а трећа показује да ли се формирала безбедносна асоцијација. Адреса партнера која се разрешава само у глобалној табели класична је грешка предњих врата и појављује се као IKE преговарање које никада не почиње.

Проверите и доделу интерфејса. Документовано понашање захтева да се VRF предњих врата тунела и VRF WAN интерфејса слажу; неслагање може пустити пакет да изађе, а ипак спречити да се одговор обради у исправном контексту.

Потврдите унутрашње претраживање за сервер

Када су предња врата доказана, пређите на контекст клијента и поставите исто питање о префиксу сервера. Ово претраживање одлучује да ли се декапсулирани пакет може проследити даље.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Прва команда приказује унутрашњу руту, а друга приказује стање сесије заједно са контекстима које је платформа повезала са њом. Ако рута постоји, али детаљи сесије наводе погрешан унутрашњи контекст, тунел прослеђује у табелу која не познаје префикс клијента.

Рута у глобалној табели није доказ ни за једно од два претраживања. Глобалне руте се користе када пакет није повезан са VRF-ом, а интерфејс тунела додељен контексту клијента мења ту везу. Ако унутрашња рута недостаје, пакет се декапсулира и затим одбацује због недостатка уноса за прослеђивање, што изгледа као губитак пакета, а не као грешка рутирања.

Поставите подешавање тамо где га модел очекује

Иста документација разликује конфигурационе моделе, а подешавање које припада једном не припада нужно другом. За интерфејсе тунела са заштитом тунела, унутрашњи VRF се дефинише на интерфејсу тунела. У решењима заснованим на crypto map, унутрашњи VRF је део уноса crypto map. Премештање сличне команде између модела без провере њене улоге је начин на који радни дизајн постаје нестабилан.

Рутирање и идентитет су одвојена питања. Доступност никада не замењује профил партнера који ће уређај прихватити, а преименовање VRF-а не сме да промени понуђене акредитиве. Проверите обоје после сваке промене, јер тунел који преговара са погрешним профилом ипак може да формира асоцијацију и да ништа не проследи.

На крају, запишите четири чињенице и команде које су их доказале у запис промена. Следећи инжењер ће наследити тунел, а не резоновање, и кратка белешка која именује оба контекста вреди више од дијаграма који нико не ажурира.