Hồ sơ IKEv2 đã định nghĩa nhưng chưa gắn: lần theo chuỗi

Hồ sơ IKEv2 nằm trong cấu hình đã lưu, vòng khóa cũng ở đó, và đường hầm vẫn không lên. Trên Cisco IOS XE, hồ sơ là một đối tượng mang các lựa chọn khớp nhận dạng và xác thực, và một đối tượng không làm gì cho đến khi một đối tượng khác tham chiếu đến nó và một giao diện gắn đối tượng đó vào một đường đi. Hầu hết các phiên gỡ lỗi pha 1 thất bại đều bỏ qua một trong những tham chiếu đó. Hãy đọc chuỗi từ vòng khóa ra ngoài trước khi thay đổi bất kỳ đề xuất hay chính sách nào.

Một đối tượng hồ sơ thực sự là gì

Hồ sơ IKEv2 giữ việc khớp nhận dạng từ xa, các phương thức xác thực cục bộ và từ xa, và một tham chiếu đến vòng khóa cho các thiết kế dùng khóa chia sẻ trước. Nó mô tả cách một peer được nhận ra và cách nó chứng minh bản thân, và nó không nêu tên giao diện nào.

Vòng khóa là một đối tượng riêng giữ các khóa chia sẻ trước. Crypto map hoặc hồ sơ IPsec là đối tượng thứ ba tham chiếu hồ sơ IKEv2 và cung cấp các thiết lập bảo vệ. Việc gắn vào giao diện là bước thứ tư, nơi một crypto map được áp dụng hoặc tunnel protection được bật. Mỗi bước là một tham chiếu riêng, và một bước thiếu khiến mọi đối tượng trông đúng khi xét riêng lẻ.

Lần theo chuỗi tham chiếu theo thứ tự

Bắt đầu từ vòng khóa mà hồ sơ nêu tên, sau đó xác nhận tên hồ sơ mà crypto map hoặc hồ sơ IPsec tham chiếu, rồi tìm giao diện tiêu thụ đối tượng cuối cùng đó. Viết từng tên bên cạnh đối tượng tiêu thụ nó; danh sách ngắn đó hữu ích hơn việc kiểm tra rằng mọi khối mong đợi đều tồn tại ở đâu đó trong cấu hình.

Những chỗ đứt thường gặp mang tính cơ học. Tên hồ sơ khác một ký tự so với tên mà crypto map tham chiếu. Crypto map tồn tại nhưng chưa bao giờ được áp dụng vào giao diện. Lệnh tunnel protection trỏ tới một hồ sơ IPsec tham chiếu một hồ sơ IKEv2 khác. Một responder không có gắn kết rõ ràng là trường hợp đã được ghi nhận, nhưng một initiator không có gắn kết đơn giản là chưa được cấu hình cho đường đi đó.

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

Hãy đọc đoạn trích như một chuỗi chứ không phải một mẫu. Giao diện nêu tên hồ sơ IPsec, hồ sơ IPsec nêu tên hồ sơ IKEv2, và hồ sơ IKEv2 nêu tên vòng khóa. Phá vỡ bất kỳ tên nào trong số đó và cấu hình vẫn được phân tích, đó là lý do bộ định tuyến chấp nhận nó và đường hầm vẫn nằm dưới.

Crypto map và tunnel protection là các lựa chọn thay thế

Cisco ghi nhận hai cách bố trí gắn kết. Một crypto map có thể được áp dụng vào giao diện và có thể tham chiếu hồ sơ IKEv2 qua lệnh set của nó. Tunnel protection gắn một hồ sơ IPsec vào giao diện đường hầm. Cả hai đều hợp lệ, và chúng không nhằm được cài đặt cùng nhau như một biện pháp bảo vệ kép.

Nguồn và đích của đường hầm xác định cách bố trí phân phối bên ngoài, và chúng tách biệt với việc gắn kết bảo vệ. Một giao diện LAN, giao diện đường hầm và giao diện nguồn bên ngoài đóng ba vai trò khác nhau. Crypto map trên giao diện LAN không bảo vệ đường hầm, và một đường hầm có bảo vệ được bật nhưng không có địa chỉ nguồn tiếp cận được sẽ không bao giờ gửi gói tin tới peer của nó.

Hãy kiểm tra trạng thái đã nạp, không chỉ văn bản. Bản phát hành đã cài có các lệnh nối các đối tượng đã cấu hình với phiên đã thương lượng, và đó là những gì cần trích dẫn trong phiếu. Cấu hình đã lưu chứng minh ý định; bảng phiên chứng minh đường đi.

Ngoại lệ của responder không phải quy tắc cho initiator

Hướng dẫn IOS XE ghi nhận rằng việc gắn kết hồ sơ IKEv2 rõ ràng có thể là tùy chọn trên responder. Ngoại lệ đó không loại bỏ việc xác thực hay kiểm tra nhận dạng, và nó không làm hồ sơ thành tùy chọn ở phía khởi tạo kết nối.

Nếu bộ định tuyến của bạn khởi tạo, hãy coi việc gắn kết là bắt buộc và lần theo từ đầu đến cuối. Nếu bộ định tuyến của bạn chỉ trả lời, hãy xác nhận hồ sơ nào thực sự khớp với peer đi vào, vì responder có thể chọn hồ sơ theo nhận dạng thay vì theo tham chiếu giao diện.

Kiểm tra đường đi, không phải cấu hình đã lưu

Khi các gắn kết khớp nhau, hãy thử một ứng dụng được cho phép và ghi lại nguồn, đích và tuyến bên trong của nó. Một yêu cầu do bộ định tuyến khởi tạo có thể dùng địa chỉ nguồn khác với lưu lượng được chuyển tiếp từ LAN, và phạm vi bảo vệ có thể chỉ bao phủ một trong hai.

Một định nghĩa được gắn đúng không chứng minh rằng các bộ chọn, tuyến quay về và chính sách giao diện bao phủ luồng của bạn. Hãy gửi lưu lượng thật và đọc trạng thái đã thương lượng, rồi lặp lại sau khi kết nối lại để biết chuỗi sống sót qua một lần thương lượng mới. Giữ phần giải thích trong phạm vi IOS XE IKEv2; một triển khai crypto map IKEv1 lịch sử có mô hình đối tượng khác và không nên được gỡ lỗi bằng chuỗi này.

Hãy viết bốn cái tên đó vào biên bản thay đổi khi đường hầm hoạt động. Người tiếp theo chạm vào crypto map sẽ cần chúng, và chuỗi là phần của thiết kế mà cấu hình đang chạy không giải thích.