Wasifu wa IKEv2 umefafanuliwa lakini haujaunganishwa: fuata mnyororo

Wasifu wa IKEv2 upo katika usanidi uliohifadhiwa, pete ya funguo pia iko, na handaki bado haipandi. Kwenye Cisco IOS XE wasifu ni kitu kinachobeba chaguo za ulinganishaji wa utambulisho na uthibitishaji, na kitu hakifanyi chochote hadi kitu kingine kikirejelea na kiolesura kuunganisha kitu hicho na njia. Vikao vingi vya utafutaji hitilafu vya awamu 1 vilivyoshindikana huruka moja ya marejeleo haya. Soma mnyororo kutoka pete ya funguo kuelekea nje kabla ya kubadilisha pendekezo au sera yoyote.

Kitu cha wasifu ni nini kwa kweli

Wasifu wa IKEv2 huhifadhi ulinganishaji wa utambulisho wa mbali, mbinu za uthibitishaji za ndani na za mbali, na marejeleo ya pete ya funguo kwa miundo yenye ufunguo ulioshirikiwa mapema. Hueleza jinsi peer inavyotambuliwa na jinsi inavyojithibitisha, na hautaji kiolesura chochote.

Pete ya funguo ni kitu tofauti kinachohifadhi funguo zilizosharikiwa mapema. Crypto map au wasifu wa IPsec ni kitu cha tatu kinachorejelea wasifu wa IKEv2 na kutoa mipangilio ya ulinzi. Uunganishaji wa kiolesura ni hatua ya nne, ambapo crypto map inatumika au tunnel protection inawashwa. Kila kuruka ni marejeleo tofauti, na kuruka kunakokosekana huacha kila kitu kionekane sawa kikielekezwa peke yake.

Fuata mnyororo wa marejeleo kwa mpangilio

Anza na pete ya funguo ambayo wasifu unaitaja, kisha thibitisha jina la wasifu ambalo crypto map au wasifu wa IPsec unarejelea, kisha tafuta kiolesura kinachotumia kitu hicho cha mwisho. Andika kila jina kando ya kitu kinacholitumia; orodha hiyo fupi ni muhimu zaidi kuliko kuangalia kwamba kila kizuizi kinachotarajiwa kipo mahali fulani katika usanidi.

Mivunjiko ya kawaida ni ya kiufundi. Jina la wasifu hutofautiana kwa herufi moja na lile ambalo crypto map inarejelea. Crypto map ipo lakini haikutumika kamwe kwenye kiolesura. Amri ya tunnel protection inaelekeza kwenye wasifu wa IPsec unaorejelea wasifu mwingine wa IKEv2. Responder bila uunganishaji wa wazi ni kisa kilichoandikwa, lakini initiator bila uunganishaji haijasanidiwa kwa njia hiyo.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Soma kipande kama mnyororo na si kama kiolezo. Kiolesura hutaja wasifu wa IPsec, wasifu wa IPsec hutaja wasifu wa IKEv2, na wasifu wa IKEv2 hutaja pete ya funguo. Vunja jina lolote kati ya haya na usanidi bado unachanganuliwa, ndiyo sababu kipanga njia unaukubali na handaki inabaki chini.

Crypto map na tunnel protection ni mbadala

Cisco inaeleza mipangilio miwili ya uunganishaji. Crypto map inaweza kutumika kwenye kiolesura na inaweza kurejelea wasifu wa IKEv2 kupitia amri yake ya set. Tunnel protection inaunganisha wasifu wa IPsec na kiolesura cha handaki. Zote mbili ni halali, na hazikusudiwi kusakinishwa pamoja kama hatua ya usalama maradufu.

Chanzo na lengwa la handaki huainisha mpangilio wa uwasilishaji wa nje, na ni tofauti na uunganishaji wa ulinzi. Kiolesura cha LAN, kiolesura cha handaki na kiolesura cha chanzo cha nje vina majukumu matatu tofauti. Crypto map kwenye kiolesura cha LAN hailindi handaki, na handaki yenye ulinzi umewashwa lakini bila anwani ya chanzo inayofikiwa kamwe haitumi pakiti kwa peer wake.

Kagua hali iliyopakiwa, si maandishi tu. Toleo lililosakinishwa lina amri zinazounganisha vitu vilivyosanidiwa na kikao kilichojadiliwa, na hizo ndizo unazopaswa kunukuu kwenye tiketi. Usanidi uliohifadhiwa huthibitisha nia; jedwali la vikao huthibitisha njia.

Isipokuwa ya responder si sheria kwa initiator

Mwongozo wa IOS XE unabaini kwamba uunganishaji wa wazi wa wasifu wa IKEv2 unaweza kuwa wa hiari kwa responder. Isipokuwa hiyo haiondoa uthibitishaji au ukaguzi wa utambulisho, na haifanyi wasifu uwe wa hiari kwa upande unaoanzisha muunganisho.

Ikiwa kipanga njia chako kinaanzisha, chukulia uunganishaji kama lazima na ufuate kutoka mwanzo hadi mwisho. Ikiwa kipanga njia chako kinajibu tu, thibitisha wasifu upi ulilingana kwa kweli na peer inayoingia, kwa sababu responder anaweza kuchagua wasifu kwa utambulisho badala ya marejeleo ya kiolesura.

Angalia njia, si usanidi uliohifadhiwa

Mara uunganishaji unapolingana, jaribu programu moja inayoruhusiwa na uandike chanzo chake cha ndani, lengwa na njia. Ombi linaloanzishwa na kipanga njia linaweza kutumia anwani ya chanzo tofauti na trafiki inayopitishwa kutoka LAN, na wigo wa ulinzi unaweza kufunika mmoja wao tu.

Ufafanuzi uliounganishwa vizuri hauthibitishi kwamba vichaguzi, njia ya kurudi na sera ya kiolesura vinafunika mtiririko wako. Tuma trafiki halisi na soma hali iliyojadiliwa, kisha rudia baada ya kuunganishwa upya ili ujue mnyororo unastahimili majadiliano mapya. Weka maelezo ndani ya IOS XE IKEv2; usambazaji wa kihistoria wa crypto map wa IKEv1 una muundo tofauti wa vitu na haupaswi kutafutiwa hitilafu na mnyororo huu.

Andika majina hayo manne kwenye rekodi ya mabadiliko handaki inapofanya kazi. Mtu anayefuata kugusa crypto map atayahitaji, na mnyororo ni sehemu ya muundo ambayo usanidi unaoendesha hauelezi.