IKEv2-profil definierad men inte ansluten: följ kedjan

IKEv2-profilen finns i den sparade konfigurationen, nyckelringen finns också där, och tunneln kommer ändå inte upp. På Cisco IOS XE är en profil ett objekt som bär val för identitetsmatchning och autentisering, och ett objekt gör ingenting förrän ett annat objekt refererar till det och ett gränssnitt kopplar objektet till en väg. De flesta misslyckade felsökningssessionerna för fas 1 hoppar över en av dessa referenser. Läs kedjan från nyckelringen och utåt innan du ändrar ett förslag eller en policy.

Vad ett profilobjekt egentligen är

IKEv2-profilen håller matchningen av den fjärran identiteten, de lokala och fjärran autentiseringsmetoderna och en referens till en nyckelring för designer med fördelad nyckel. Den beskriver hur en peer känns igen och hur den bevisar sig, och den namnger inget gränssnitt.

Nyckelringen är ett separat objekt som håller de fördelade nycklarna. Crypto map eller IPsec-profilen är ett tredje objekt som refererar till IKEv2-profilen och levererar skyddsinställningarna. Gränssnittsanslutningen är det fjärde steget, där en crypto map tillämpas eller tunnel protection aktiveras. Varje hopp är en egen referens, och ett saknat hopp låter varje objekt se korrekt ut för sig.

Följ referenskedjan i ordning

Börja vid nyckelringen som profilen namnger, bekräfta sedan profilnamnet som crypto map eller IPsec-profilen refererar till, och hitta sedan gränssnittet som förbrukar det sista objektet. Skriv varje namn bredvid objektet som förbrukar det; den korta listan är mer användbar än att kontrollera att varje förväntat block finns någonstans i konfigurationen.

De vanliga brotten är mekaniska. Ett profilnamn skiljer sig med ett tecken från det som crypto map refererar till. Crypto map finns men tillämpades aldrig på gränssnittet. Kommandot tunnel protection pekar på en IPsec-profil som refererar till en annan IKEv2-profil. En responder utan uttrycklig anslutning är ett dokumenterat fall, men en initiator utan anslutning är helt enkelt inte konfigurerad för vägen.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Läs utdraget som en kedja och inte som en mall. Gränssnittet namnger IPsec-profilen, IPsec-profilen namnger IKEv2-profilen, och IKEv2-profilen namnger nyckelringen. Bryt något av dessa namn och konfigurationen tolkas ändå, därför accepterar routern den och tunneln ligger kvar.

Crypto map och tunnel protection är alternativ

Cisco dokumenterar två anslutningssätt. En crypto map kan tillämpas på ett gränssnitt och kan referera till IKEv2-profilen via sitt set-kommando. Tunnel protection kopplar en IPsec-profil till ett tunnelgränssnitt. Båda är giltiga, och de är inte avsedda att installeras tillsammans som en dubbel säkerhetsåtgärd.

Tunnelns källa och mål anger det yttre leveranssättet, och de är åtskilda från skyddsanslutningen. Ett LAN-gränssnitt, tunnelgränssnittet och det yttre källgränssnittet spelar tre olika roller. En crypto map på LAN-gränssnittet skyddar inte tunneln, och en tunnel med skydd aktiverat men utan nåbar källadress skickar aldrig ett paket till sin peer.

Granska det laddade tillståndet, inte bara texten. Den installerade versionen har kommandon som kopplar de konfigurerade objekten till den förhandlade sessionen, och det är dem du ska citera i ett ärende. En sparad konfiguration bevisar avsikten; en sessionstabell bevisar vägen.

Responder-undantaget är ingen regel för initiatorer

IOS XE-guiden noterar att en uttrycklig IKEv2-profilanslutning kan vara valfri på en responder. Det undantaget tar inte bort autentisering eller identitetskontroller, och det gör inte profilen valfri på den sida som startar anslutningen.

Om din router initierar, behandla anslutningen som obligatorisk och följ den från början till slut. Om din router bara svarar, bekräfta vilken profil som faktiskt matchade den inkommande peeren, eftersom en responder kan välja profil efter identitet i stället för efter gränssnittsreferens.

Kontrollera vägen, inte den sparade konfigurationen

När anslutningarna stämmer, testa en tillåten applikation och registrera dess inre källa, mål och rutt. En begäran som routern startar kan använda en annan källadress än trafik som vidarebefordras från LAN, och skyddsomfånget kanske bara täcker en av dem.

En korrekt ansluten definition bevisar inte att selektorerna, returrutten och gränssnittspolicyn täcker ditt flöde. Skicka verklig trafik och läs det förhandlade tillståndet, och upprepa efter en återanslutning så att du vet att kedjan överlever en ny förhandling. Håll förklaringen inom IOS XE IKEv2; en historisk IKEv1 crypto map-distribution har en annan objektmodell och bör inte felsökas med den här kedjan.

Skriv de fyra namnen i ändringsregistret när tunneln fungerar. Nästa person som rör crypto map behöver dem, och kedjan är den del av designen som den körande konfigurationen inte förklarar.