โปรไฟล์ IKEv2 ถูกกำหนดแล้วแต่ไม่ได้เชื่อมต่อ: ตามรอยห่วงโซ่

โปรไฟล์ IKEv2 อยู่ในคอนฟิกูเรชันที่บันทึกไว้ วงแหวนคีย์ก็อยู่ที่นั่นด้วย แต่ tunneling ยังไม่ขึ้น Cisco IOS XE ถือว่าโปรไฟล์เป็นออบเจ็กต์ที่บรรจุตัวเลือกการจับคู่ตัวตนและการพิสูจน์ตัวตน และออบเจ็กต์จะไม่ทำอะไรจนกว่าออบเจ็กต์อื่นจะอ้างถึงและอินเทอร์เฟซเชื่อมต่อออบเจ็กต์นั้นเข้ากับเส้นทาง เซสชันดีบักเฟส 1 ที่ล้มเหลวส่วนใหญ่มักข้ามการอ้างอิงหนึ่งในนั้น อ่านห่วงโซ่จากวงแหวนคีย์ออกไปด้านนอกก่อนเปลี่ยนข้อเสนอหรือนโยบายใด ๆ

ออบเจ็กต์โปรไฟล์คืออะไรกันแน่

โปรไฟล์ IKEv2 เก็บการจับคู่ตัวตนระยะไกล วิธีการพิสูจน์ตัวตนภายในและระยะไกล และการอ้างอิงถึงวงแหวนคีย์สำหรับการออกแบบที่ใช้คีย์ที่แชร์ไว้ล่วงหน้า อธิบายว่าเพียร์ถูกจดจำอย่างไรและพิสูจน์ตัวเองอย่างไร และไม่ได้ระบุอินเทอร์เฟซใดเลย

วงแหวนคีย์เป็นออบเจ็กต์แยกที่เก็บคีย์ที่แชร์ไว้ล่วงหน้า Crypto map หรือโปรไฟล์ IPsec เป็นออบเจ็กต์ที่สามที่อ้างถึงโปรไฟล์ IKEv2 และให้การตั้งค่าการป้องกัน การเชื่อมต่อกับอินเทอร์เฟซเป็นขั้นที่สี่ ซึ่งจะมีการใช้ crypto map หรือเปิดใช้ tunnel protection ทุกการกระโดดเป็นการอ้างอิงแยกกัน และการกระโดดที่หายไปทำให้แต่ละออบเจ็กต์ดูถูกต้องเมื่อมองแยก

ติดตามห่วงโซ่การอ้างอิงตามลำดับ

เริ่มจากวงแหวนคีย์ที่โปรไฟล์ระบุชื่อ จากนั้นยืนยันชื่อโปรไฟล์ที่ crypto map หรือโปรไฟล์ IPsec อ้างถึง แล้วหาอินเทอร์เฟซที่ใช้ประโยชน์จากออบเจ็กต์สุดท้ายนั้น เขียนชื่อแต่ละชื่อไว้ข้างออบเจ็กต์ที่ใช้มัน รายการสั้น ๆ นี้มีประโยชน์กว่าการตรวจสอบว่าบล็อกที่คาดไว้ทุกบล็อกมีอยู่ที่ใดที่หนึ่งในคอนฟิกูเรชัน

การแตกหักที่พบบ่อยเป็นเรื่องทางกล ชื่อโปรไฟล์ต่างจากชื่อที่ crypto map อ้างถึงหนึ่งอักขระ Crypto map มีอยู่แต่ไม่เคยถูกนำไปใช้กับอินเทอร์เฟซ คำสั่ง tunnel protection ชี้ไปที่โปรไฟล์ IPsec ที่อ้างถึงโปรไฟล์ IKEv2 อื่น Responder ที่ไม่มีการเชื่อมต่ออย่างชัดเจนเป็นกรณีที่มีเอกสารกำกับ แต่ initiator ที่ไม่มีการเชื่อมต่อก็เพียงแต่ไม่ได้ถูกกำหนดค่าสำหรับเส้นทางนั้น

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

อ่านตัวอย่างนี้เป็นห่วงโซ่ ไม่ใช่แม่แบบ อินเทอร์เฟซระบุชื่อโปรไฟล์ IPsec โปรไฟล์ IPsec ระบุชื่อโปรไฟล์ IKEv2 และโปรไฟล์ IKEv2 ระบุชื่อวงแหวนคีย์ แตกชื่อใดชื่อหนึ่งเหล่านี้แล้วคอนฟิกูเรชันก็ยังถูกแยกวิเคราะห์ได้ นั่นคือเหตุผลที่เราเตอร์ยอมรับและ tunneling ยังคงล่มอยู่

Crypto map และ tunnel protection เป็นทางเลือกแทนกัน

Cisco เอกสารอธิบายรูปแบบการเชื่อมต่อสองแบบ Crypto map นำไปใช้กับอินเทอร์เฟซได้และอ้างถึงโปรไฟล์ IKEv2 ผ่านคำสั่ง set ได้ Tunnel protection เชื่อมต่อโปรไฟล์ IPsec เข้ากับอินเทอร์เฟซ tunnel ทั้งสองแบบใช้ได้ และไม่ได้ออกแบบให้ติดตั้งร่วมกันเป็นมาตรการป้องกันซ้ำซ้อน

ต้นทางและปลายทางของ tunnel กำหนดรูปแบบการส่งมอบภายนอก และแยกจากส่วนเชื่อมต่อการป้องกัน อินเทอร์เฟซ LAN อินเทอร์เฟซ tunnel และอินเทอร์เฟซต้นทางภายนอกมีบทบาทต่างกันสามอย่าง Crypto map บนอินเทอร์เฟซ LAN ไม่ได้ป้องกัน tunnel และ tunnel ที่เปิดการป้องกันแต่ไม่มีที่อยู่ต้นทางที่เข้าถึงได้จะไม่ส่งแพ็กเก็ตถึงเพียร์เลย

ตรวจสอบสถานะที่โหลดไว้ ไม่ใช่แค่ข้อความ รีลีสที่ติดตั้งมีคำสั่งที่เชื่อมต่อออบเจ็กต์ที่กำหนดค่าไว้กับเซสชันที่เจรจาแล้ว และคำสั่งเหล่านั้นคือสิ่งที่ต้องอ้างในตั๋ว คอนฟิกูเรชันที่บันทึกไว้พิสูจน์เจตนา; ตารางเซสชันพิสูจน์เส้นทาง

ข้อยกเว้นของ responder ไม่ใช่กฎสำหรับ initiator

คู่มือ IOS XE ระบุว่าการเชื่อมต่อโปรไฟล์ IKEv2 อย่างชัดเจนอาจเป็นทางเลือกบน responder ข้อยกเว้นนั้นไม่ได้ลบการพิสูจน์ตัวตนหรือการตรวจสอบตัวตน และไม่ได้ทำให้โปรไฟล์เป็นทางเลือกในฝั่งที่เริ่มการเชื่อมต่อ

ถ้าเราเตอร์ของคุณเป็นผู้เริ่ม ให้ถือว่าการเชื่อมต่อเป็นสิ่งจำเป็นและติดตามตั้งแต่ต้นจนจบ ถ้าเราเตอร์ของคุณเพียงตอบกลับ ให้ยืนยันว่าโปรไฟล์ใดตรงกับเพียร์ที่เข้ามาจริง ๆ เพราะ responder เลือกโปรไฟล์ตามตัวตนแทนการอ้างอิงอินเทอร์เฟซได้

ตรวจสอบเส้นทาง ไม่ใช่คอนฟิกูเรชันที่บันทึกไว้

เมื่อการเชื่อมต่อตรงกัน ทดสอบแอปพลิเคชันที่ได้รับอนุญาตหนึ่งตัวและบันทึกต้นทาง ปลายทาง และเส้นทางภายใน คำขอที่เริ่มจากเราเตอร์อาจใช้ที่อยู่ต้นทางต่างจากทราฟฟิกที่ส่งต่อจาก LAN และขอบเขตการป้องกันอาจครอบคลุมเพียงอย่างใดอย่างหนึ่ง

คำจำกัดความที่เชื่อมต่ออย่างถูกต้องไม่ได้พิสูจน์ว่าตัวเลือก เส้นทางขากลับ และนโยบายอินเทอร์เฟซครอบคลุมโฟลว์ของคุณ ส่งทราฟฟิกจริงและอ่านสถานะที่เจรจาแล้ว จากนั้นทำซ้ำหลังเชื่อมต่อใหม่เพื่อให้รู้ว่าห่วงโซ่ยังคงอยู่รอดจากการเจรจารอบใหม่ จำกัดคำอธิบายไว้ใน IOS XE IKEv2 การติดตั้ง crypto map แบบ IKEv1 ในอดีตมีโมเดลออบเจ็กต์ต่างกันและไม่ควรดีบักด้วยห่วงโซ่นี้

เขียนชื่อทั้งสี่ลงในบันทึกการเปลี่ยนแปลงเมื่อ tunnel ทำงาน คนถัดไปที่แตะ crypto map จะต้องใช้มัน และห่วงโซ่คือส่วนของการออกแบบที่คอนฟิกูเรชันที่กำลังทำงานอยู่อธิบายไม่ได้