Qaysi VRF VPN hamkoriga yetadi va qaysi biri paketni tashiydi?

Mijoz marshrutlash konteksti ichidagi har bir tunnel baribir o’zining uzoqdagi hamkoriga yetishi kerak, va bu qidiruv butunlay boshqa jadvalda sodir bo’lishi mumkin. Buni noto’g’ri qilish VRFdan xabardor IPsecdagi eng chalkash nosozliklardan birini keltirib chiqaradi: tunnel ko’tariladi, marshrutlar mavjud ko’rinadi va trafik o’ladi, chunki ikki qidiruvdan biri noto’g’ri kontekstdan foydalangan. Quyidagi to’rt qadamni tartib bilan bajaring va ikkala manzilni alohida yozib qo’ying.

Ikki qidiruv, bitta tunnel

Tashqi kapsulalangan paket hamkorning transport manziliga yo’naltirilgan va u har qanday himoya paydo bo’lishidan oldin marshrutlanadi. Ichki paket mijoz serveriga yo’naltirilgan va dekapsulatsiyadan keyin, mijoz konteksti ichida marshrutlanadi. Bular ikki manzil, ikki qidiruv va ko’pincha ikki xil jadval.

VRFdan xabardor IPsec uchun Cisco hujjatlari ularni old eshik VRF va ichki VRF deb ataydi. Old eshik shifrlangan transportni, ichki kontekst esa himoyalangan trafikni tashiydi. Tunnelni mijoz nomi bilan atash ikki marshrutdan hech birini ko’rinadigan qilmaydi.

Shuning uchun konfiguratsiyani o’zgartirishdan oldin to’rt faktni sanab o’ting: hamkorning transport manzili va unga yetadigan kontekst, so’ngra server prefiksi va unga yetadigan kontekst. Agar to’rttasini ham to’ldira olmasangiz, siz taxmin qilmoqchisiz. Bu sohada taxmin qilish qimmat, chunki noto’g’ri jadvalga qo’shilgan marshrut bir oqimni ishlatib, boshqasini jimgina buzishi mumkin. To’rt faktni yig’ish o’n daqiqa vaqt oladi va bir kunlik ushlash tahlilini tejaydi.

Hamkor uchun transport qidiruvini tasdiqlang

Old eshikdan boshlang, chunki hamkoriga yeta olmaydigan tunnel birorta himoyalangan paketni o’tkazmaydi. IOSda hamkorga boradigan marshrutni global jadvaldan emas, transport VRF ichidan so’rang.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Birinchi buyruq hamkor manzili shu kontekstda yetib borishini, ikkinchisi haqiqatda mavjud VRFlarni sanaydi, uchinchisi esa xavfsizlik assotsiatsiyasi shakllanganini ko’rsatadi. Faqat global jadvalda hal bo’ladigan hamkor manzili klassik old eshik xatosi bo’lib, u hech qachon boshlanmaydigan IKE muzokaralari sifatida ko’rinadi.

Interfeys biriktirilishini ham tekshiring. Hujjatlashtirilgan xatti-harakat tunnelning old eshik VRFsi va WAN interfeysining VRFsi mos kelishini talab qiladi; nomuvofiqlik paketning chiqishiga yo’l qo’yib, javobning to’g’ri kontekstda qayta ishlanishiga to’sqinlik qilishi mumkin.

Server uchun ichki qidiruvni tasdiqlang

Old eshik isbotlangandan keyin mijoz kontekstiga o’ting va server prefiksi haqida xuddi shu savolni bering. Bu qidiruv dekapsulatsiyalangan paketni oldinga uzatish mumkinligini hal qiladi.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Birinchi buyruq ichki marshrutni, ikkinchisi esa sessiya holatini platforma u bilan bog’lagan kontekstlar bilan birga ko’rsatadi. Marshrut mavjud bo’lsa-da, sessiya tafsilotlari noto’g’ri ichki kontekstni ko’rsatsa, tunnel mijoz prefiksini bilmaydigan jadvalga uzatmoqda.

Global jadvaldagi marshrut ikki qidiruvdan hech biriga dalil emas. Global marshrutlar paket biror VRF bilan bog’lanmaganida ishlatiladi, mijoz kontekstiga biriktirilgan tunnel interfeysi esa bu bog’lanishni o’zgartiradi. Ichki marshrut bo’lmasa, paket dekapsulatsiyalanadi va keyin uzatish yozuvi yo’qligi sababli tashlab yuboriladi, bu marshrutlash xatosi emas, paket yo’qolishiga o’xshaydi.

Sozlamani model kutgan joyga qo’ying

Xuddi shu hujjat konfiguratsiya modellarini farqlaydi va biriga tegishli sozlama ikkinchisiga albatta tegishli emas. Tunnel himoyasidan foydalanadigan tunnel interfeyslari uchun ichki VRF tunnel interfeysida belgilanadi. crypto map asosidagi yechimlarda ichki VRF crypto map yozuvining bir qismidir. O’xshash nomdagi buyruqni rolni tekshirmasdan modellar orasida ko’chirish ishlaydigan yechimning uzilishli bo’lib qolish yo’lidir.

Marshrutlash va identifikatsiya alohida masalalar. Yetib borish qurilma qabul qiladigan hamkor profilini hech qachon almashtirmaydi, VRF nomini o’zgartirish esa taklif etilgan hisob ma’lumotlarini o’zgartirmasligi kerak. Har qanday o’zgarishdan keyin ikkalasini ham tekshiring, chunki noto’g’ri profil bilan muzokara qilayotgan tunnel ham assotsiatsiya tuzib, hech narsa uzatmasligi mumkin.

Nihoyat, to’rt faktni va ularni isbotlagan buyruqlarni o’zgarishlar jurnaliga yozing. Keyingi muhandis tunnelni meros qilib oladi, mulohazani emas, va ikki kontekstni nomlaydigan qisqa eslatma hech kim yangilamaydigan diagrammadan qimmatroq.