IKEv2 profili belgilangan, lekin ulanmagan: zanjirni kuzatib boring

IKEv2 profili saqlangan konfiguratsiyada, kalit halqasi ham o‘sha yerda, ammo tunnel baribir ko‘tarilmaydi. Cisco IOS XE da profil identifikatsiya mosligi va autentifikatsiya tanlovlarini olib yuruvchi obyekt bo‘lib, obyekt boshqa obyekt unga havola qilmaguncha va interfeys o‘sha obyektni yo‘lga ulamaguncha hech narsa qilmaydi. Muvaffaqiyatsiz 1-bosqich tuzatish seanslarining aksariyati shu havolalardan birini o‘tkazib yuboradi. Har qanday taklif yoki siyosatni o‘zgartirishdan oldin zanjirni kalit halqasidan tashqariga qarab o‘qing.

Profil obyekti aslida nima

IKEv2 profili masofaviy identifikatsiya mosligini, mahalliy va masofaviy autentifikatsiya usullarini va oldindan bo‘lishilgan kalitli loyihalar uchun kalit halqasiga havolani saqlaydi. U peer qanday tanilishini va o‘zini qanday isbotlashini tavsiflaydi va hech qanday interfeysni nomlamaydi.

Kalit halqasi oldindan bo‘lishilgan kalitlarni saqlovchi alohida obyekt. Crypto map yoki IPsec profili IKEv2 profiliga havola qiluvchi va himoya sozlamalarini beruvchi uchinchi obyekt. Interfeysga ulanish to‘rtinchi qadam bo‘lib, unda crypto map qo‘llaniladi yoki tunnel protection yoqiladi. Har bir sakrash alohida havola, va yetishmayotgan sakrash har bir obyektni yakka holda to‘g‘ri ko‘rinishda qoldiradi.

Havolalar zanjirini tartib bilan kuzatib boring

Profil nomlaydigan kalit halqasidan boshlang, so‘ng crypto map yoki IPsec profili havola qiladigan profil nomini tasdiqlang, so‘ng o‘sha oxirgi obyektni ishlatadigan interfeysni toping. Har bir nomni uni ishlatadigan obyekt yoniga yozing; bu qisqa ro‘yxat konfiguratsiyada kutilgan har bir blok bor-yo‘qligini tekshirishdan foydaliroq.

Odatiy uzilishlar mexanik. Profil nomi crypto map havola qiladigan nomdan bir belgi bilan farq qiladi. Crypto map mavjud, ammo interfeysga hech qachon qo‘llanilmagan. Tunnel protection buyrug‘i boshqa IKEv2 profiliga havola qiladigan IPsec profilini ko‘rsatadi. Aniq ulanishsiz responder hujjatlashtirilgan holat, ammo ulanishsiz initiator shunchaki bu yo‘l uchun sozlanmagan.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Bu parchani shablon emas, zanjir sifatida o‘qing. Interfeys IPsec profilini nomlaydi, IPsec profili IKEv2 profilini nomlaydi, IKEv2 profili esa kalit halqasini nomlaydi. Shu nomlardan birini uzsangiz ham konfiguratsiya tahlil qilinadi, shuning uchun router uni qabul qiladi va tunnel pastda qoladi.

Crypto map va tunnel protection alternativalardir

Cisco ikkita ulanish tartibini hujjatlashtiradi. Crypto map interfeysga qo‘llanishi mumkin va o‘zining set buyrug‘i orqali IKEv2 profiliga havola qilishi mumkin. Tunnel protection IPsec profilini tunnel interfeysiga ulaydi. Ikkalasi ham to‘g‘ri, va ular qo‘shaloq himoya sifatida birga o‘rnatish uchun mo‘ljallanmagan.

Tunnel manbasi va manzili tashqi yetkazib berish tartibini belgilaydi va ular himoya ulanishidan alohida. LAN interfeysi, tunnel interfeysi va tashqi manba interfeysi uch xil rolni o‘ynaydi. LAN interfeysidagi crypto map tunnelni himoya qilmaydi, va himoyasi yoqilgan, ammo erishiladigan manba manzili yo‘q tunnel hech qachon peeriga paket yubormaydi.

Yuklangan holatni tekshiring, faqat matnni emas. O‘rnatilgan versiyada sozlangan obyektlarni kelishilgan sessiya bilan bog‘laydigan buyruqlar bor, va ticketda aynan o‘shalarni keltirish kerak. Saqlangan konfiguratsiya niyatni isbotlaydi; sessiyalar jadvali yo‘lni isbotlaydi.

Responder istisnosi initiator uchun qoida emas

IOS XE qo‘llanmasi responderda IKEv2 profilining aniq ulanishi ixtiyoriy bo‘lishi mumkinligini qayd etadi. Bu istisno autentifikatsiya yoki identifikatsiya tekshiruvlarini olib tashlamaydi va ulanishni boshlovchi tomonda profilni ixtiyoriy qilmaydi.

Agar routeringiz boshlansa, ulanishni majburiy deb hisoblang va uni boshidan oxirigacha kuzatib boring. Agar routeringiz faqat javob bersa, kiruvchi peer bilan qaysi profil haqiqatan mos kelganini tasdiqlang, chunki responder profilni interfeys havolasi emas, identifikatsiya bo‘yicha tanlashi mumkin.

Yo‘lni tekshiring, saqlangan konfiguratsiyani emas

Ulanishlar mos kelgach, bitta ruxsat etilgan ilovani sinab ko‘ring va uning ichki manbasi, manzili va marshrutini yozib oling. Router boshlagan so‘rov LANdan uzatiladigan trafikdan boshqa manba manzilini ishlatishi mumkin, va himoya doirasi ulardan faqat bittasini qamrab olishi mumkin.

To‘g‘ri ulangan ta'rif selektorlar, qaytish marshruti va interfeys siyosati sizning oqimingizni qamrab olishini isbotlamaydi. Haqiqiy trafik yuboring va kelishilgan holatni o‘qing, so‘ng qayta ulangandan keyin takrorlang, zanjir yangi muzokaradan omon qolishini bilish uchun. Tushuntirishni IOS XE IKEv2 doirasida saqlang; tarixiy IKEv1 crypto map joylashtirilmasi boshqa obyekt modeliga ega va uni bu zanjir bilan tuzatmaslik kerak.

Tunnel ishlaganda o‘sha to‘rt nomni o‘zgarishlar jurnaliga yozing. Crypto mapga keyingi tegadigan odamga ular kerak bo‘ladi, va zanjir — ishlab turgan konfiguratsiya tushuntirmaydigan loyiha qismi.