Hangi VRF VPN eşine ulaşır ve hangisi paketi taşır?

Bir müşteri yönlendirme bağlamındaki her tünel yine de uzak eşine ulaşmak zorundadır ve bu arama tamamen farklı bir tabloda gerçekleşebilir. Bunu yanlış yapmak VRF farkında IPsec'teki en kafa karıştırıcı arızalardan birini üretir: tünel ayağa kalkar, yollar mevcut görünür ve trafik ölür çünkü iki aramadan biri yanlış bağlamı kullanmıştır. Aşağıdaki dört adımı sırayla uygulayın ve iki hedefi ayrı ayrı yazın.

İki arama, tek tünel

Dış kapsüllenmiş paket eşin taşıma adresine yönlendirilir ve herhangi bir koruma yokken yönlendirilir. İç paket müşteri sunucusuna yönlendirilir ve kapsül çözüldükten sonra müşteri bağlamı içinde yönlendirilir. Bunlar iki hedef, iki arama ve genellikle iki farklı tablodur.

VRF farkında IPsec için Cisco belgeleri bunları ön kapı VRF'si ve iç VRF olarak adlandırır. Ön kapı şifrelenmiş taşımayı taşır ve iç bağlam korunan trafiği taşır. Bir tüneli müşterinin adıyla adlandırmak iki yoldan hiçbirini ortaya çıkarmaz.

Bu yüzden bir yapılandırmayı değiştirmeden önce dört olguyu listeleyin: eşin taşıma adresi ve ona ulaşan bağlam, ardından sunucunun öneki ve ona ulaşan bağlam. Dördünü de dolduramıyorsanız tahmin etmek üzeresiniz. Bu alanda tahmin pahalıdır, çünkü yanlış tabloya eklenen bir yol bir akışı çalıştırırken diğerini sessizce bozabilir. Dört olguyu toplamak on dakika sürer ve bir günlük yakalama analizinden tasarruf ettirir.

Eş için taşıma aramasını doğrulayın

Ön kapıdan başlayın, çünkü eşine ulaşamayan bir tünel tek bir korunan paketi bile geçirmez. IOS'ta eşe giden yolu genel tablo yerine taşıma VRF'si içinde sorun.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

İlk komut eş adresine o bağlamda ulaşılıp ulaşılamadığını yanıtlar, ikincisi gerçekten var olan VRF'leri listeler ve üçüncüsü bir güvenlik ilişkisinin oluşup oluşmadığını gösterir. Yalnızca genel tabloda çözülen bir eş adresi klasik ön kapı hatasıdır ve hiç başlamayan bir IKE görüşmesi olarak görünür.

Arayüz atamasını da kontrol edin. Belgelenen davranış, tünelin ön kapı VRF'si ile WAN arayüzünün VRF'sinin uyuşmasını gerektirir; uyuşmazlık bir paketin çıkmasına izin verip yine de yanıtın doğru bağlamda işlenmesini engelleyebilir.

Sunucu için iç aramayı doğrulayın

Ön kapı kanıtlandıktan sonra müşteri bağlamına geçin ve sunucunun öneki hakkında aynı soruyu sorun. Bu arama, kapsülü çözülmüş paketin ileri iletilebilip iletilemeyeceğine karar verir.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

İlk komut iç yolu gösterir, ikincisi oturum durumunu platformun onunla ilişkilendirdiği bağlamlarla birlikte gösterir. Yol varsa ama oturum ayrıntıları yanlış iç bağlamı adlandırıyorsa, tünel müşterinin önekini bilmeyen bir tabloya iletiyor demektir.

Genel tablodaki bir yol iki aramadan hiçbiri için kanıt değildir. Genel yollar bir paket bir VRF ile ilişkili olmadığında kullanılır ve bir müşteri bağlamına atanan tünel arayüzü bu ilişkiyi değiştirir. İç yol yoksa paket kapsülden çıkarılır ve ardından iletme girdisi olmadığı için düşürülür; bu yönlendirme hatası gibi değil paket kaybı gibi görünür.

Ayarı modelin beklediği yere koyun

Aynı belgeler yapılandırma modellerini ayırt eder ve birine ait olan ayar zorunlu olarak diğerine ait değildir. Tünel koruması kullanan tünel arayüzleri için iç VRF tünel arayüzünde tanımlanır. crypto map tabanlı tasarımlarda iç VRF crypto map girdisinin bir parçasıdır. Benzer adlı bir komutu rolünü denetlemeden modeller arasında taşımak, çalışan bir tasarımın aralıklı hale gelme yoludur.

Yönlendirme ve kimlik ayrı konulardır. Erişilebilirlik, cihazın kabul edeceği bir eş profilinin asla yerini almaz ve bir VRF'nin yeniden adlandırılması sunulan kimlik bilgilerini değiştirmemelidir. Her değişiklikten sonra ikisini de kontrol edin, çünkü yanlış profille görüşen bir tünel yine de bir ilişki kurup hiçbir şey iletmeyebilir.

Son olarak, dört olguyu ve bunları kanıtlayan komutları değişiklik kaydına yazın. Bir sonraki mühendis tüneli devralacak, gerekçeyi değil, ve iki bağlamı adlandıran kısa bir not kimsenin güncellemediği bir diyagramdan daha değerlidir.