Профіль IKEv2 визначено, але не прив'язано: пройдіть ланцюгом

Збережений профіль IKEv2 — це об'єкт, а не шлях. Простежте зв'язку ключів, профіль, crypto map або профіль IPsec і прив'язку до інтерфейсу, перш ніж налагоджувати фазу 2.

Профіль IKEv2 є у збереженій конфігурації, зв'язка ключів також на місці, а тунель усе одно не піднімається. У Cisco IOS XE профіль — це об'єкт, який несе вибір зіставлення ідентичності та автентифікації, і об'єкт нічого не робить, доки інший об'єкт не посилається на нього, а інтерфейс не прив'язує цей об'єкт до шляху. Більшість невдалих сеансів налагодження фази 1 пропускають одне з цих посилань. Прочитайте ланцюг від зв'язки ключів назовні, перш ніж змінювати будь-яку пропозицію чи політику.

Що насправді є об'єктом профілю

Профіль IKEv2 зберігає зіставлення віддаленої ідентичності, локальні та віддалені методи автентифікації та посилання на зв'язку ключів для схем із заздалегідь спільним ключем. Він описує, як розпізнається peer і як він доводить себе, і не називає жодного інтерфейсу.

Зв'язка ключів — окремий об'єкт, що зберігає заздалегідь спільні ключі. Crypto map або профіль IPsec — третій об'єкт, який посилається на профіль IKEv2 і задає параметри захисту. Прив'язка до інтерфейсу — четвертий крок, де застосовується crypto map або вмикається tunnel protection. Кожен крок — окреме посилання, і пропущений крок залишає кожен об'єкт коректним окремо.

Пройдіть ланцюгом посилань по порядку

Почніть зі зв'язки ключів, яку називає профіль, потім підтвердіть ім'я профілю, на яке посилається crypto map або профіль IPsec, і потім знайдіть інтерфейс, який використовує цей останній об'єкт. Запишіть кожне ім'я поряд з об'єктом, який його використовує; цей короткий список корисніший за перевірку того, що кожен очікуваний блок десь є в конфігурації.

Звичайні розриви механічні. Ім'я профілю відрізняється на один символ від того, на яке посилається crypto map. Crypto map існує, але ніколи не застосовувався до інтерфейсу. Команда tunnel protection вказує на профіль IPsec, який посилається на інший профіль IKEv2. Responder без явної прив'язки — документований випадок, але initiator без прив'язки просто не налаштований для цього шляху.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Читайте фрагмент як ланцюг, а не як шаблон. Інтерфейс називає профіль IPsec, профіль IPsec називає профіль IKEv2, а профіль IKEv2 називає зв'язку ключів. Розірвіть будь-яке з цих імен, і конфігурація все одно розбереться, тому маршрутизатор її приймає, а тунель залишається внизу.

Crypto map і tunnel protection — альтернативи

Cisco документує дві схеми прив'язки. Crypto map можна застосувати до інтерфейсу, і він може посилатися на профіль IKEv2 своєю командою set. Tunnel protection прив'язує профіль IPsec до тунельного інтерфейсу. Обидва варіанти чинні, і вони не призначені для встановлення разом як подвійна страховка.

Джерело та призначення тунелю визначають зовнішню схему доставки й відокремлені від прив'язки захисту. Інтерфейс LAN, тунельний інтерфейс і зовнішній інтерфейс джерела відіграють три різні ролі. Crypto map на інтерфейсі LAN не захищає тунель, а тунель із увімкненим захистом, але без доступної адреси джерела, ніколи не надсилає пакет своєму peer.

Перевіряйте завантажений стан, а не лише текст. Встановлений випуск має команди, які пов'язують налаштовані об'єкти з узгодженим сеансом, і саме їх слід цитувати в заявці. Збережена конфігурація доводить намір; таблиця сеансів доводить шлях.

Виняток для responder не є правилом для initiator

Посібник IOS XE зазначає, що явна прив'язка профілю IKEv2 може бути необов'язковою на responder. Цей виняток не скасовує перевірки автентифікації та ідентичності й не робить профіль необов'язковим на боці, який починає з'єднання.

Якщо ваш маршрутизатор ініціює, вважайте прив'язку обов'язковою і простежте її від початку до кінця. Якщо ваш маршрутизатор лише відповідає, підтвердьте, який профіль справді збігся з вхідним peer, адже responder може вибирати профіль за ідентичністю, а не за посиланням на інтерфейс.

Перевіряйте шлях, а не збережену конфігурацію

Коли прив'язки збігаються, перевірте одну дозволену програму й запишіть її внутрішнє джерело, призначення та маршрут. Запит, ініційований маршрутизатором, може використовувати іншу адресу джерела, ніж трафік, що передається з LAN, і область захисту може охоплювати лише одне з них.

Правильно прив'язане визначення не доводить, що селектори, зворотний маршрут і політика інтерфейсу охоплюють ваш потік. Надішліть реальний трафік і прочитайте узгоджений стан, потім повторіть після повторного підключення, щоб знати, що ланцюг переживає нове узгодження. Тримайте пояснення в межах IOS XE IKEv2; історичне розгортання crypto map на IKEv1 має іншу об'єктну модель, і його не слід налагоджувати цим ланцюгом.

Запишіть ці чотири імені в журнал змін, коли тунель запрацює. Наступній людині, яка торкнеться crypto map, вони знадобляться, а ланцюг — це та частина проєкту, яку робоча конфігурація не пояснює.

Схожі статті