IKEv2 ప్రొఫైల్ నిర్వచించబడింది కానీ జోడించబడలేదు: గొలుసును అనుసరించండి

IKEv2 ప్రొఫైల్ సేవ్ చేసిన కాన్ఫిగరేషన్లో ఉంది, కీ రింగ్ కూడా అక్కడే ఉంది, అయినా టన్నెల్ ఇంకా పైకి రాదు. Cisco IOS XEలో ప్రొఫైల్ అనేది గుర్తింపు సరిపోలిక మరియు ప్రామాణీకరణ ఎంపికలను మోసే వస్తువు, మరో వస్తువు దానిని సూచించి, ఇంటర్ఫేస్ ఆ వస్తువును మార్గానికి జోడించే వరకు వస్తువు ఏమీ చేయదు. విఫలమైన దశ 1 డీబగ్ సెషన్లు ఈ సూచనలలో ఒకటి దాటవేస్తాయి. ఏదైనా ప్రతిపాదన లేదా విధానాన్ని మార్చే ముందు కీ రింగ్ నుండి బయటకు గొలుసును చదవండి.

ప్రొఫైల్ వస్తువు నిజంగా ఏమిటి

IKEv2 ప్రొఫైల్ దూర గుర్తింపు సరిపోలిక, స్థానిక మరియు దూర ప్రామాణీకరణ పద్ధతులు, ముందుగా పంచుకున్న కీ రూపకల్పనల కోసం కీ రింగ్ సూచనను ఉంచుతుంది. పీర్ ఎలా గుర్తించబడుతుంది, తనను తాను ఎలా నిరూపించుకుంటుంది అని వివరిస్తుంది, ఏ ఇంటర్ఫేస్ పేరును చెప్పదు.

కీ రింగ్ ముందుగా పంచుకున్న కీలను ఉంచే వేరే వస్తువు. Crypto map లేదా IPsec ప్రొఫైల్ IKEv2 ప్రొఫైల్ను సూచించి రక్షణ సెట్టింగులను అందించే మూడవ వస్తువు. ఇంటర్ఫేస్ అనుసంధానం నాల్గవ దశ, అక్కడ crypto map వర్తించబడుతుంది లేదా tunnel protection ప్రారంభమవుతుంది. ప్రతి దూకుడు వేరే సూచన, మరియు తప్పిపోయిన దూకుడు ప్రతి వస్తువును విడిగా సరిగ్గా కనిపించేలా చేస్తుంది.

సూచనల గొలుసును క్రమంగా అనుసరించండి

ప్రొఫైల్ పేరు చెప్పే కీ రింగ్ నుండి ప్రారంభించండి, తర్వాత crypto map లేదా IPsec ప్రొఫైల్ సూచించే ప్రొఫైల్ పేరును నిర్ధారించండి, తర్వాత ఆ చివరి వస్తువును ఉపయోగించే ఇంటర్ఫేస్ను కనుగొనండి. ప్రతి పేరును దానిని ఉపయోగించే వస్తువు పక్కన రాయండి; కాన్ఫిగరేషన్లో ఎక్కడో ప్రతి ఆశించిన బ్లాక్ ఉందా అని తనిఖీ చేయడం కంటే ఈ చిన్న జాబితా ఉపయోగకరం.

సాధారణ విరిగినవి యాంత్రికం. ప్రొఫైల్ పేరు crypto map సూచించే పేరు నుండి ఒక అక్షరం భిన్నంగా ఉంటుంది. Crypto map ఉంది కానీ ఇంటర్ఫేస్కు ఎప్పుడూ వర్తించబడలేదు. Tunnel protection ఆదేశం మరో IKEv2 ప్రొఫైల్ను సూచించే IPsec ప్రొఫైల్ను చూపుతుంది. స్పష్టమైన అనుసంధానం లేని responder డాక్యుమెంట్ చేయబడిన సందర్భం, కానీ అనుసంధానం లేని initiator ఆ మార్గానికి కాన్ఫిగర్ చేయబడనే లేదు.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

ఈ భాగాన్ని టెంప్లేట్గా కాదు, గొలుసుగా చదవండి. ఇంటర్ఫేస్ IPsec ప్రొఫైల్ను పేరు చెబుతుంది, IPsec ప్రొఫైల్ IKEv2 ప్రొఫైల్ను పేరు చెబుతుంది, IKEv2 ప్రొఫైల్ కీ రింగ్ను పేరు చెబుతుంది. ఈ పేర్లలో ఏదైనా విరిచినా కాన్ఫిగరేషన్ ఇప్పటికీ పార్స్ అవుతుంది, అందుకే రౌటర్ దానిని ఆమోదిస్తుంది మరియు టన్నెల్ కిందే ఉంటుంది.

Crypto map మరియు tunnel protection ప్రత్యామ్నాయాలు

Cisco రెండు అనుసంధాన ఏర్పాట్లను డాక్యుమెంట్ చేస్తుంది. Crypto map ఒక ఇంటర్ఫేస్కు వర్తించవచ్చు మరియు దాని set ఆదేశం ద్వారా IKEv2 ప్రొఫైల్ను సూచించవచ్చు. Tunnel protection ఒక IPsec ప్రొఫైల్ను టన్నెల్ ఇంటర్ఫేస్కు జోడిస్తుంది. రెండూ చెల్లుబాటు అవుతాయి, మరియు రెట్టింపు రక్షణగా కలిసి ఇన్స్టాల్ చేయడానికి ఉద్దేశించినవి కావు.

టన్నెల్ మూలం మరియు గమ్యం బాహ్య డెలివరీ ఏర్పాటును నిర్ణయిస్తాయి, అవి రక్షణ అనుసంధానం నుండి వేరుగా ఉంటాయి. LAN ఇంటర్ఫేస్, టన్నెల్ ఇంటర్ఫేస్ మరియు బాహ్య మూల ఇంటర్ఫేస్ మూడు వేర్వేరు పాత్రలు పోషిస్తాయి. LAN ఇంటర్ఫేస్పై crypto map టన్నెల్ను రక్షించదు, రక్షణ ప్రారంభమైనా చేరుకోగల మూల చిరునామా లేని టన్నెల్ తన పీర్కు ఎప్పుడూ ప్యాకెట్ పంపదు.

లోడ్ అయిన స్థితిని పరిశీలించండి, వచనాన్ని మాత్రమే కాదు. ఇన్స్టాల్ చేసిన విడుదలలో కాన్ఫిగర్ చేసిన వస్తువులను చర్చించిన సెషన్తో కలిపే ఆదేశాలు ఉన్నాయి, వాటినే టికెట్లో ఉదహరించాలి. సేవ్ చేసిన కాన్ఫిగరేషన్ ఉద్దేశాన్ని నిరూపిస్తుంది; సెషన్ పట్టిక మార్గాన్ని నిరూపిస్తుంది.

Responder మినహాయింపు initiator లకు నియమం కాదు

IOS XE మార్గదర్శిని responder పై స్పష్టమైన IKEv2 ప్రొఫైల్ అనుసంధానం ఐచ్ఛికంగా ఉండవచ్చని గమనిస్తుంది. ఆ మినహాయింపు ప్రామాణీకరణ లేదా గుర్తింపు తనిఖీలను తొలగించదు, కనెక్షన్ ప్రారంభించే వైపు ప్రొఫైల్ను ఐచ్ఛికం చేయదు.

మీ రౌటర్ ప్రారంభిస్తే, అనుసంధానాన్ని తప్పనిసరిగా భావించి మొదటి నుండి చివరి వరకు అనుసరించండి. మీ రౌటర్ సమాధానం మాత్రమే ఇస్తే, వచ్చే పీర్తో నిజంగా ఏ ప్రొఫైల్ సరిపోలిందో నిర్ధారించండి, ఎందుకంటే responder ఇంటర్ఫేస్ సూచనకు బదులు గుర్తింపు ద్వారా ప్రొఫైల్ను ఎంచుకోవచ్చు.

మార్గాన్ని తనిఖీ చేయండి, సేవ్ చేసిన కాన్ఫిగరేషన్ను కాదు

అనుసంధానాలు సరిపోలిన తర్వాత, అనుమతించబడిన ఒక అప్లికేషన్ను పరీక్షించి దాని అంతర్గత మూలం, గమ్యం మరియు మార్గాన్ని నమోదు చేయండి. రౌటర్ ప్రారంభించిన అభ్యర్థన LAN నుండి పంపబడే ట్రాఫిక్ కంటే వేరే మూల చిరునామాను ఉపయోగించవచ్చు, రక్షణ పరిధి వాటిలో ఒకదాన్ని మాత్రమే కవర్ చేయవచ్చు.

సరిగ్గా అనుసంధానించిన నిర్వచనం సెలెక్టర్లు, తిరిగి వచ్చే మార్గం మరియు ఇంటర్ఫేస్ విధానం మీ ప్రవాహాన్ని కవర్ చేస్తాయని నిరూపించదు. నిజమైన ట్రాఫిక్ పంపి చర్చించిన స్థితిని చదవండి, తర్వాత మళ్లీ కనెక్ట్ అయిన తర్వాత పునరావృతం చేయండి, గొలుసు కొత్త చర్చను తట్టుకుంటుందని తెలుసుకోవడానికి. వివరణను IOS XE IKEv2 పరిధిలో ఉంచండి; చారిత్రక IKEv1 crypto map అమరికకు వేరే వస్తువు నమూనా ఉంది, దానిని ఈ గొలుసుతో డీబగ్ చేయకూడదు.

టన్నెల్ పనిచేసినప్పుడు ఆ నాలుగు పేర్లను మార్పు రికార్డులో రాయండి. crypto map ను తర్వాత తాకే వ్యక్తికి అవి అవసరం, గొలుసు అనేది నడుస్తున్న కాన్ఫిగరేషన్ వివరించని రూపకల్పన భాగం.