Який VRF досягає вузла VPN, а який несе пакет?

Кожен тунель усередині контексту маршрутизації клієнта все одно має досягати свого віддаленого партнера, і цей пошук може відбуватися в цілком іншій таблиці. Помилка тут дає одну з найзаплутаніших відмов у IPsec з підтримкою VRF: тунель піднімається, маршрути виглядають наявними, а трафік помирає, бо один із двох пошуків використав неправильний контекст. Виконайте чотири кроки нижче по порядку й запишіть обидва призначення окремо.

Два пошуки, один тунель

Зовнішній інкапсульований пакет адресований транспортній адресі партнера й маршрутизується до того, як існує будь-який захист. Внутрішній пакет адресований серверу клієнта й маршрутизується після декапсуляції, усередині контексту клієнта. Це два призначення, два пошуки й часто дві різні таблиці.

Документація Cisco для IPsec з підтримкою VRF називає їх VRF передніх дверей і внутрішнім VRF. Передні двері несуть зашифрований транспорт, а внутрішній контекст несе захищений трафік. Ніщо в називанні тунелю іменем клієнта не змушує з’явитися жоден із маршрутів.

Тому перелічіть чотири факти перед зміною конфігурації: транспортну адресу партнера й контекст, який до неї доходить, потім префікс сервера й контекст, який до нього доходить. Якщо ви не можете заповнити всі чотири, ви от-от почнете вгадувати. Вгадування в цій галузі дороге, бо маршрут, доданий у неправильну таблицю, може змусити один потік працювати, тихо ламаючи інший. Збір чотирьох фактів займає десять хвилин і економить день аналізу захоплення.

Підтвердьте транспортний пошук для партнера

Почніть із передніх дверей, бо тунель, який не може досягти партнера, ніколи не пропустить жодного захищеного пакета. В IOS запитайте маршрут до партнера всередині транспортного VRF, а не в глобальній таблиці.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Перша команда відповідає, чи досяжна адреса партнера в цьому контексті, друга перелічує VRF, які справді існують, а третя показує, чи сформувалася асоціація безпеки. Адреса партнера, що розв’язується лише в глобальній таблиці, це класична помилка передніх дверей, і вона виявляється як IKE-переговори, які ніколи не починаються.

Перевірте також призначення інтерфейсу. Документована поведінка вимагає, щоб VRF передніх дверей тунелю й VRF інтерфейсу WAN збігалися; невідповідність може дозволити пакету вийти й усе ж завадити обробці відповіді в правильному контексті.

Підтвердьте внутрішній пошук для сервера

Коли передні двері доведено, перейдіть до контексту клієнта й поставте те саме питання про префікс сервера. Цей пошук вирішує, чи можна передати декапсульований пакет далі.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Перша команда показує внутрішній маршрут, а друга стан сеансу разом із контекстами, які платформа з ним пов’язала. Якщо маршрут існує, але подробиці сеансу називають неправильний внутрішній контекст, тунель передає в таблицю, яка не знає префікса клієнта.

Маршрут у глобальній таблиці не є доказом для жодного з двох пошуків. Глобальні маршрути використовуються, коли пакет не пов’язаний із VRF, а інтерфейс тунелю, призначений контексту клієнта, змінює цей зв’язок. Якщо внутрішній маршрут відсутній, пакет декапсулюється й потім відкидається через відсутність запису пересилання, що виглядає як втрата пакетів, а не як помилка маршрутизації.

Розмістіть налаштування там, де його очікує модель

Та сама документація розрізняє моделі конфігурації, і налаштування, що належить одній, не обов’язково належить іншій. Для інтерфейсів тунелю із захистом тунелю внутрішній VRF визначається на інтерфейсі тунелю. У рішеннях на основі crypto map внутрішній VRF є частиною запису crypto map. Перенесення схоже названої команди між моделями без перевірки її ролі це шлях, яким робоча схема стає нестабільною.

Маршрутизація й ідентичність це окремі питання. Досяжність ніколи не замінює профіль партнера, який пристрій прийме, а перейменування VRF не повинно змінювати запропоновані облікові дані. Перевіряйте обидва після будь-якої зміни, бо тунель, що веде переговори з неправильним профілем, усе одно може сформувати асоціацію й нічого не передавати.

Нарешті, запишіть чотири факти й команди, які їх довели, у журнал змін. Наступний інженер успадкує тунель, а не міркування, і коротка нотатка з назвами обох контекстів цінніша за схему, яку ніхто не оновлює.