IKEv2 profili tanımlı ama bağlı değil: zinciri izleyin

IKEv2 profili kaydedilmiş yapılandırmada, anahtar halkası da orada, ama tünel yine de kalkmıyor. Cisco IOS XE'de profil, kimlik eşleştirme ve kimlik doğrulama seçeneklerini taşıyan bir nesnedir ve bir nesne, başka bir nesne ona başvurup bir arayüz o nesneyi bir yola bağlamadıkça hiçbir şey yapmaz. Başarısız 1'inci aşama hata ayıklama oturumlarının çoğu bu başvurulardan birini atlar. Herhangi bir öneriyi veya politikayı değiştirmeden önce zinciri anahtar halkasından dışarı doğru okuyun.

Profil nesnesi gerçekte nedir

IKEv2 profili, uzak kimlik eşleştirmesini, yerel ve uzak kimlik doğrulama yöntemlerini ve önceden paylaşılan anahtar tasarımları için bir anahtar halkası başvurusunu tutar. Bir eşin nasıl tanındığını ve kendini nasıl kanıtladığını açıklar ve hiçbir arayüz adı vermez.

Anahtar halkası, önceden paylaşılan anahtarları tutan ayrı bir nesnedir. Crypto map veya IPsec profili, IKEv2 profiline başvuran ve koruma ayarlarını sağlayan üçüncü nesnedir. Arayüz bağlantısı, bir crypto map'in uygulandığı veya tunnel protection'ın etkinleştirildiği dördüncü adımdır. Her sıçrama ayrı bir başvurudur ve eksik bir sıçrama her nesneyi tek başına doğru görünür bırakır.

Başvuru zincirini sırayla izleyin

Profilin adlandırdığı anahtar halkasından başlayın, sonra crypto map veya IPsec profilinin başvurduğu profil adını doğrulayın, sonra o son nesneyi tüketen arayüzü bulun. Her adı onu tüketen nesnenin yanına yazın; bu kısa liste, her beklenen bloğun yapılandırmada bir yerde bulunduğunu kontrol etmekten daha faydalıdır.

Olağan kopmalar mekaniktir. Bir profil adı, crypto map'in başvurduğu addan bir karakter farklıdır. Crypto map vardır ama arayüze hiç uygulanmamıştır. Tunnel protection komutu, başka bir IKEv2 profiline başvuran bir IPsec profilini gösterir. Açık bağlantısı olmayan responder belgelenmiş bir durumdur, ancak bağlantısı olmayan initiator o yol için yapılandırılmamıştır.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Parçayı şablon değil zincir olarak okuyun. Arayüz IPsec profilini adlandırır, IPsec profili IKEv2 profilini adlandırır ve IKEv2 profili anahtar halkasını adlandırır. Bu adlardan birini koparın ve yapılandırma yine de ayrıştırılır, bu yüzden yönlendirici onu kabul eder ve tünel aşağıda kalır.

Crypto map ve tunnel protection alternatiftir

Cisco iki bağlantı düzeni belgeler. Bir crypto map bir arayüze uygulanabilir ve set komutuyla IKEv2 profiline başvurabilir. Tunnel protection, bir IPsec profilini tünel arayüzüne bağlar. İkisi de geçerlidir ve çift emniyet olarak birlikte kurulmak için tasarlanmamıştır.

Tünelin kaynağı ve hedefi dış teslim düzenini belirler ve koruma bağlantısından ayrıdır. Bir LAN arayüzü, tünel arayüzü ve dış kaynak arayüzü üç farklı rol oynar. LAN arayüzündeki crypto map tüneli korumaz ve koruması açık ama erişilebilir kaynak adresi olmayan bir tünel eşine hiç paket göndermez.

Yüklenen durumu inceleyin, yalnızca metni değil. Kurulu sürümde, yapılandırılmış nesneleri görüşülen oturuma bağlayan komutlar vardır ve bir bilete alıntılanması gerekenler bunlardır. Kaydedilmiş yapılandırma niyeti kanıtlar; oturum tablosu yolu kanıtlar.

Responder istisnası initiator için kural değildir

IOS XE kılavuzu, açık bir IKEv2 profili bağlantısının responder üzerinde isteğe bağlı olabileceğini belirtir. Bu istisna kimlik doğrulamayı veya kimlik denetimlerini kaldırmaz ve bağlantıyı başlatan tarafta profili isteğe bağlı yapmaz.

Yönlendiriciniz başlatıyorsa bağlantıyı zorunlu sayın ve baştan sona izleyin. Yönlendiriciniz yalnızca yanıtlıyorsa gelen eşle hangi profilin gerçekten eşleştiğini doğrulayın, çünkü responder bir profili arayüz başvurusu yerine kimliğe göre seçebilir.

Yolu denetleyin, kaydedilmiş yapılandırmayı değil

Bağlantılar hizalandığında, izin verilen bir uygulamayı test edin ve iç kaynağını, hedefini ve rotasını kaydedin. Yönlendiricinin başlattığı bir istek, LAN'dan iletilen trafikten farklı bir kaynak adresi kullanabilir ve koruma kapsamı yalnızca birini kapsayabilir.

Doğru bağlanmış bir tanım, seçicilerin, dönüş rotasının ve arayüz politikasının akışınızı kapsadığını kanıtlamaz. Gerçek trafik gönderin ve görüşülen durumu okuyun, ardından yeniden bağlandıktan sonra tekrarlayın ki zincirin yeni bir görüşmeyi atlattığını bilin. Açıklamayı IOS XE IKEv2 kapsamında tutun; tarihsel bir IKEv1 crypto map kurulumu farklı bir nesne modeline sahiptir ve bu zincirle hata ayıklanmamalıdır.

Tünel çalıştığında bu dört adı değişiklik kaydına yazın. Crypto map'e sonra dokunacak kişinin bunlara ihtiyacı olacak ve zincir, çalışan yapılandırmanın açıklamadığı tasarım parçasıdır.