Profile ng IKEv2 na tinukoy pero hindi nakakabit: sundan ang kadena

Ang profile ng IKEv2 ay nasa naka-save na configuration, naroon din ang key ring, at hindi pa rin bumabangon ang tunnel. Sa Cisco IOS XE ang profile ay isang object na nagdadala ng mga pagpipilian sa pagtutugma ng pagkakakilanlan at pagpapatotoo, at walang ginagawa ang isang object hanggang sa may ibang object na tumukoy dito at may interface na magkabit sa object na iyon sa isang landas. Karamihan sa mga bigong sesyon ng pag-debug ng phase 1 ay nilalaktawan ang isa sa mga sangguniang ito. Basahin ang kadena mula sa key ring palabas bago baguhin ang anumang panukala o patakaran.

Ano ba talaga ang object ng profile

Hawak ng profile ng IKEv2 ang pagtutugma ng malayong pagkakakilanlan, ang lokal at malayong mga paraan ng pagpapatotoo, at isang sanggunian sa key ring para sa mga disenyong may paunang ibinahaging key. Inilalarawan nito kung paano nakikilala ang isang peer at kung paano ito nagpapatunay sa sarili, at wala itong pinapangalanang interface.

Ang key ring ay hiwalay na object na may hawak ng mga paunang ibinahaging key. Ang crypto map o profile ng IPsec ay ikatlong object na tumutukoy sa profile ng IKEv2 at nagbibigay ng mga setting ng proteksyon. Ang pagkakabit sa interface ay ikaapat na hakbang, kung saan inilalapat ang crypto map o binubuksan ang tunnel protection. Bawat pagtalon ay hiwalay na sanggunian, at ang kulang na pagtalon ay nag-iiwan sa bawat object na mukhang tama kapag nag-iisa.

Sundan ang kadena ng mga sanggunian sa pagkakasunod-sunod

Magsimula sa key ring na pinapangalanan ng profile, pagkatapos ay tiyakin ang pangalan ng profile na tinutukoy ng crypto map o profile ng IPsec, at pagkatapos ay hanapin ang interface na gumagamit ng huling object na iyon. Isulat ang bawat pangalan sa tabi ng object na gumagamit nito; mas kapaki-pakinabang ang maikling listahang iyon kaysa sa pagsuri na ang bawat inaasahang bloke ay mayroon saanman sa configuration.

Ang karaniwang pagkasira ay mekanikal. Ang pangalan ng profile ay naiiba ng isang karakter sa tinutukoy ng crypto map. May crypto map ngunit hindi kailanman inilapat sa interface. Ang utos na tunnel protection ay tumuturo sa profile ng IPsec na tumutukoy sa ibang profile ng IKEv2. Ang responder na walang malinaw na pagkakabit ay dokumentadong kaso, ngunit ang initiator na walang pagkakabit ay talagang hindi naka-configure para sa landas.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Basahin ang sipi bilang kadena at hindi bilang template. Pinapangalanan ng interface ang profile ng IPsec, pinapangalanan ng profile ng IPsec ang profile ng IKEv2, at pinapangalanan ng profile ng IKEv2 ang key ring. Putulin ang alinman sa mga pangalang iyon at napa-parse pa rin ang configuration, kaya tinatanggap ito ng router at nananatiling bumagsak ang tunnel.

Ang crypto map at tunnel protection ay magkaagapay na pagpipilian

Dalawang kaayusan ng pagkakabit ang dokumentado ng Cisco. Maaaring ilapat ang crypto map sa isang interface at maaari itong tumukoy sa profile ng IKEv2 sa pamamagitan ng utos nitong set. Ang tunnel protection ay nagkakabit ng profile ng IPsec sa interface ng tunnel. Pareho silang wasto, at hindi sila inilaan na i-install nang magkasama bilang dobleng panseguro.

Ang pinagmulan at patutunguhan ng tunnel ang tumutukoy sa panlabas na kaayusan ng paghahatid, at hiwalay sila sa pagkakabit ng proteksyon. Ang interface ng LAN, interface ng tunnel at panlabas na interface ng pinagmulan ay may tatlong magkakaibang papel. Ang crypto map sa interface ng LAN ay hindi nagpoprotekta sa tunnel, at ang tunnel na may proteksyong bukas ngunit walang maabot na address ng pinagmulan ay hindi kailanman nagpapadala ng packet sa peer nito.

Suriin ang na-load na estado, hindi lamang ang teksto. Ang naka-install na release ay may mga utos na nag-uugnay sa mga naka-configure na object sa napag-usapang sesyon, at iyon ang dapat sipiin sa ticket. Pinatutunayan ng naka-save na configuration ang layunin; pinatutunayan ng talahanayan ng sesyon ang landas.

Ang eksepsiyon ng responder ay hindi patakaran para sa initiator

Binabanggit ng gabay sa IOS XE na ang malinaw na pagkakabit ng profile ng IKEv2 ay maaaring opsyonal sa responder. Hindi inaalis ng eksepsiyong iyon ang pagpapatotoo o mga pagsusuri ng pagkakakilanlan, at hindi nito ginagawang opsyonal ang profile sa panig na nag-uumpisa ng koneksyon.

Kung ang router mo ang nag-uumpisa, ituring na sapilitan ang pagkakabit at sundan ito mula simula hanggang dulo. Kung ang router mo ay sumasagot lamang, tiyakin kung aling profile ang talagang tumugma sa papasok na peer, dahil ang responder ay maaaring pumili ng profile sa pamamagitan ng pagkakakilanlan kaysa sa sanggunian ng interface.

Suriin ang landas, hindi ang naka-save na configuration

Kapag nagtugma ang mga pagkakabit, subukan ang isang pinapayagang aplikasyon at itala ang panloob na pinagmulan, patutunguhan at ruta nito. Ang kahilingang sinimulan ng router ay maaaring gumamit ng ibang address ng pinagmulan kaysa sa trapikong ipinapasa mula sa LAN, at maaaring saklawin ng proteksyon ang isa lamang sa kanila.

Ang wastong nakakabit na depinisyon ay hindi nagpapatunay na ang mga selector, ruta ng pagbalik at patakaran ng interface ay sumasaklaw sa flow mo. Magpadala ng tunay na trapiko at basahin ang napag-usapang estado, pagkatapos ay ulitin pagkatapos ng muling pagkonekta upang malaman mong nakakaligtas ang kadena sa bagong negosasyon. Panatilihin ang paliwanag sa loob ng IOS XE IKEv2; ang makasaysayang deployment ng crypto map na IKEv1 ay may ibang modelo ng object at hindi dapat i-debug gamit ang kadenang ito.

Isulat ang apat na pangalan sa talaan ng pagbabago kapag gumana ang tunnel. Kakailanganin ito ng susunod na taong gagalaw sa crypto map, at ang kadena ang bahagi ng disenyo na hindi ipinapaliwanag ng tumatakbong configuration.