VRF nào đến được peer VPN và VRF nào mang gói tin?

Mọi đường hầm bên trong ngữ cảnh định tuyến của khách hàng vẫn phải đến được peer từ xa của nó, và lần tra cứu đó có thể diễn ra trong một bảng hoàn toàn khác. Làm sai điều này tạo ra một trong những lỗi khó hiểu nhất trong IPsec nhận biết VRF: đường hầm khởi lên, các tuyến có vẻ tồn tại, và lưu lượng chết vì một trong hai lần tra cứu đã dùng sai ngữ cảnh. Hãy thực hiện bốn bước dưới đây theo thứ tự và ghi riêng hai đích đến.

Hai lần tra cứu, một đường hầm

Gói tin đóng gói bên ngoài được gửi đến địa chỉ vận chuyển của peer và được định tuyến trước khi có bất kỳ bảo vệ nào. Gói tin bên trong được gửi đến một máy chủ của khách hàng và được định tuyến sau khi bóc gói, bên trong ngữ cảnh của khách hàng. Đó là hai đích đến, hai lần tra cứu và thường là hai bảng khác nhau.

Tài liệu của Cisco về IPsec nhận biết VRF gọi chúng là VRF cửa trước và VRF bên trong. Cửa trước mang lưu lượng đã mã hóa, và ngữ cảnh bên trong mang lưu lượng được bảo vệ. Không có gì trong việc đặt tên đường hầm theo tên khách hàng khiến một trong hai tuyến xuất hiện.

Vì vậy hãy liệt kê bốn dữ kiện trước khi thay đổi cấu hình: địa chỉ vận chuyển của peer và ngữ cảnh đến được nó, sau đó là tiền tố máy chủ và ngữ cảnh đến được nó. Nếu bạn không điền được cả bốn, bạn sắp đoán. Đoán trong lĩnh vực này rất đắt, vì một tuyến được thêm vào bảng sai có thể làm một luồng hoạt động trong khi âm thầm phá hỏng luồng khác. Bốn dữ kiện mất mười phút để thu thập và tiết kiệm một ngày phân tích bắt gói.

Xác nhận lần tra cứu vận chuyển cho peer

Hãy bắt đầu từ cửa trước, vì một đường hầm không đến được peer sẽ không bao giờ cho một gói tin được bảo vệ nào đi qua. Trên IOS, hãy hỏi tuyến đến peer bên trong VRF vận chuyển thay vì bảng toàn cục.

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

Lệnh đầu tiên trả lời liệu địa chỉ peer có đến được trong ngữ cảnh đó không, lệnh thứ hai liệt kê các VRF thực sự tồn tại, và lệnh thứ ba cho biết một hiệp hội bảo mật đã hình thành chưa. Một địa chỉ peer chỉ phân giải trong bảng toàn cục là lỗi cửa trước kinh điển, và nó biểu hiện như một cuộc đàm phán IKE không bao giờ bắt đầu.

Cũng hãy kiểm tra việc gán giao diện. Hành vi được tài liệu hóa yêu cầu VRF cửa trước của đường hầm và VRF của giao diện WAN phải khớp nhau; sự không khớp có thể để một gói tin đi ra và vẫn ngăn phản hồi được xử lý trong đúng ngữ cảnh.

Xác nhận lần tra cứu bên trong cho máy chủ

Khi cửa trước đã được chứng minh, hãy chuyển sang ngữ cảnh của khách hàng và đặt câu hỏi tương tự về tiền tố máy chủ. Lần tra cứu này quyết định liệu một gói tin đã bóc gói có thể được chuyển tiếp hay không.

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

Lệnh đầu tiên hiển thị tuyến bên trong, và lệnh thứ hai hiển thị trạng thái phiên cùng các ngữ cảnh mà nền tảng đã liên kết với nó. Nếu tuyến tồn tại nhưng chi tiết phiên nêu sai ngữ cảnh bên trong, đường hầm đang chuyển tiếp vào một bảng không biết tiền tố của khách hàng.

Một tuyến trong bảng toàn cục không phải là bằng chứng cho cả hai lần tra cứu. Các tuyến toàn cục được dùng khi gói tin không liên kết với VRF nào, và một giao diện đường hầm được gán cho ngữ cảnh khách hàng sẽ thay đổi liên kết đó. Nếu thiếu tuyến bên trong, gói tin được bóc gói và sau đó bị bỏ vì không có mục chuyển tiếp, trông giống mất gói hơn là lỗi định tuyến.

Đặt cài đặt ở nơi mô hình mong đợi

Cùng một tài liệu phân biệt các mô hình cấu hình, và một cài đặt thuộc về mô hình này không nhất thiết thuộc về mô hình kia. Với giao diện đường hầm dùng bảo vệ đường hầm, VRF bên trong được định nghĩa trên giao diện đường hầm. Với các thiết kế dựa trên crypto map, VRF bên trong là một phần của mục crypto map. Việc chuyển một lệnh có tên tương tự giữa các mô hình mà không kiểm tra vai trò của nó là cách một thiết kế đang hoạt động trở nên chập chờn.

Định tuyến và danh tính là hai vấn đề riêng biệt. Khả năng đến được không bao giờ thay thế một hồ sơ peer mà thiết bị sẽ chấp nhận, và việc đổi tên VRF không được làm thay đổi thông tin xác thực được cung cấp. Hãy kiểm tra cả hai sau mọi thay đổi, vì một đường hầm đàm phán với hồ sơ sai vẫn có thể hình thành hiệp hội và không chuyển tiếp gì.

Cuối cùng, ghi lại bốn dữ kiện và các lệnh đã chứng minh chúng trong nhật ký thay đổi. Kỹ sư tiếp theo sẽ thừa hưởng đường hầm chứ không phải lập luận, và một ghi chú ngắn nêu tên cả hai ngữ cảnh có giá trị hơn một sơ đồ không ai cập nhật.