Ṣé WAN interface kan lè ṣiṣẹ́ fún VPN láàrín àwọn ibùdó àti VPN jíjìnnà pẹ̀lú?

Àdírẹ́sì gbogbogbò kan lè ṣiṣẹ́ fún tunnel ẹ̀ka àti àgbá àwọn olùlò tí ń rìn kiri ní àkókò kan náà. Ṣùgbọ́n kò lè ṣiṣẹ́ fún ìlànà ìgbàláyè kan tí wọ́n pín. Peer ẹ̀ka àti olùlò tí ń rìn kiri yàtọ̀ ní ẹni tí wọ́n sọ pé àwọn jẹ́, bí wọ́n ṣe ń yẹ̀wò ẹ̀rí yẹn, àwọn àdírẹ́sì tí wọ́n ń gbà àti àwọn prefix tí ó lè dá wọn lóhùn. Ní kété tí o bá ka àdírẹ́sì ìta sí àlàyé ìrìnàjò dípò ìdánimọ̀, àpẹẹrẹ náà yóò rọrùn púpọ̀.

Ìdánwò ìmọ̀-ọ̀rọ̀ kíákíá: gbìyànjú láti kọ àwọn àkọsílẹ̀ ìgbàláyè méjèèjì kí o tó fọwọ́ kan router. Bí ẹ̀yà ìbámu kan bá ní láti bo méjèèjì, ìlànà náà ti di èyí tí kò yéni, àmì àkọ́kọ́ yóò sì dàbí àṣìṣe ìtọ́sọ́nà tàbí ògiri iná nígbà tí ó jẹ́ àṣìṣe ìdánimọ̀ ní tòótọ́.

Àkọsílẹ̀ méjì kí ìṣètò èyíkéyìí tó bẹ̀rẹ̀

Àkọsílẹ̀ ẹ̀ka kúkúrú ó sì dúró ṣinṣin. Ó ń kọ àdírẹ́sì peer tàbí orúkọ ẹ̀rí, kọ́kọ́rọ̀ tí wọ́n pín tẹ́lẹ̀ tàbí ibi ìgbẹ́kẹ̀lé ẹ̀rí, àwọn subnet tí wọ́n dáàbò bo ní ẹ̀gbẹ́ méjèèjì, interface tunnel, àti ọ̀nà àìyẹsẹ̀ tí ń fi ìrìnàjò tí ó lọ sí ẹ̀ka wọ tunnel yẹn. Gbogbo pápá kan dá lórí peer kan tí a mọ̀ àti àkójọ prefix tí ó dúró.

Àkọsílẹ̀ ìrìn kiri gbòòrò ó sì jẹ́ ti ara ẹni. Ó ń kọ protocol àti port client, bí olùlò tàbí ẹ̀rọ ṣe ń jẹ́rìí ara rẹ̀, àgbá àdírẹ́sì tí wọ́n ń fún ní ìgbà ìsopọ̀, àwọn ohun àmúṣọrọ̀ tí àgbá yẹn lè dé, àwọn prefix tunnel tí wọ́n pín, àwọn server DNS tí wọ́n ń tì sí client, àti kókó kejì èyíkéyìí. Gbogbo pápá ń dá ìdáhùn sí ìbéèrè nípa iye olùlò tí a kò mọ̀ dípò gateway kan.

Ìyàtọ̀ yẹn nínú kúlẹ̀kúlẹ̀ ni gbogbo ìdí tí àwọn ipa méjì fi yàtọ̀. Profaili ẹ̀ka lè gbẹ́kẹ̀lé kọ́kọ́rọ̀ kan láìléwu nítorí pé kọ́kọ́rọ̀ náà jẹ́ ti ẹ̀rọ kan ní ibi kan. Profaili ìrìn kiri tí ó gbẹ́kẹ̀lé kọ́kọ́rọ̀ ẹgbẹ́ kan fún gbogbo ènìyàn ń wó ìṣirò ti olùlò kọ̀ọ̀kan, àti pé a sábà máa ń rí i nígbà tí ó ti pẹ́, nínú àyẹ̀wò ìṣẹ̀lẹ̀ dípò nígbà ìfilọ́lẹ̀.

Ibi tí ìbámu peer àti ìjẹ́rìí ti yàtọ̀

Lórí IOS XE profaili IKEv2 ń gbé àwọn paramita tí a kò lè ṣe ìdúnàádúrà wọn àti àwọn ipò tí wọ́n ń lò láti yan peer. Ìyẹn túmọ̀ sí pé ẹ̀gbẹ́ ẹ̀ka àti ẹ̀gbẹ́ ìrìn kiri kọ̀ọ̀kan nílò profaili tirẹ̀, kódà nígbà tí wọ́n bá parí lórí interface kan náà àti kódà nígbà tí wọ́n bá pín PKI crypto kan. Cisco ṣe àkọsílẹ̀ àwọn ipa profaili, ìjẹ́rìí àti ìbámu nínú ìtọ́nisọ́nà ìṣètò IKEv2 fún IOS XE 17.

Profaili ẹ̀ka sábà máa ń bá ìdánimọ̀ tóóró mu: àdírẹ́sì jíjìnnà, FQDN tàbí kókó ẹ̀rí. Nǹkan bí match identity remote address 198.51.100.10 255.255.255.255 ń di peer kan mú, àti authentication remote pre-share pẹ̀lú kọ́kọ́rọ̀ tí a tọ́jú fún ibùdó kọ̀ọ̀kan ti tó. Jẹ́ kí ìbámu wà ní pàtó bí àkójọ peer ṣe gbà, nítorí wildcard tí ó wà lókè nínú ìtẹ̀lé yíyàn lè fa ìrìnàjò ẹ̀ka sínú profaili tí kò tọ́.

Profaili ìrìn kiri kò lè di àdírẹ́sì mú, nítorí náà ó ń bá ẹgbẹ́, key-id tàbí pápá ẹ̀rí mu, lẹ́yìn náà ó fi àyẹ̀wò olùlò gidi fún AAA tàbí fún ìlànà àṣẹ tí ó so mọ́ profaili. Ìpínyà yẹn ṣe pàtàkì: ìjẹ́rìí peer ń dáhùn bóyá a gbà client láyè láti kọ́ tunnel, ìṣàkóso olùlò kọ̀ọ̀kan sì ń dáhùn àgbá àti àwọn ohun àmúṣọrọ̀ tí ó ń gbà. Lílo kọ́kọ́rọ̀ ẹ̀ka gẹ́gẹ́ bí ìwọlé gbogbo ènìyàn ń sọ ìdáhùn kejì nù.

Ìfiránṣẹ́ àti ìtumọ̀ nílò ìpínyà kan náà

Ìgbàláyè àti ìdè àti dé jẹ́ ìṣòro ọ̀tọ̀ọ̀tọ̀. Pàṣípààrọ̀ IKE àti IPsec tí ó ṣàṣeyọrí ń fi hàn pé àwọn ẹ̀gbẹ́ gbà lórí àwọn kọ́kọ́rọ̀; kò dá ọ̀nà sí àgbá tí client gbà. Nítorí náà àwọn àgbá ìwọlé jíjìnnà nílò ọ̀nà ìpadà: yálà ọ̀nà àìyẹsẹ̀ tí ó tọ́ka sí interface tunnel tàbí protocol ìtọ́sọ́nà tí ń fi àkópọ̀ àgbá wọlé. Àwọn prefix ẹ̀ka sábà máa ń wá nípasẹ̀ ìlànà ìtọ́sọ́nà kan náà tí ń ṣiṣẹ́ fún ìyókù ibùdó.

Ìtumọ̀ ni ibi tí àwọn ipa méjì ti máa ń kọlù jù. Ìrìnàjò láàrín àwọn ibùdó tí ó gbọdọ̀ pa àwọn àdírẹ́sì aládàáni rẹ̀ mọ́ nílò ìyọkúrò NAT tí ó ní ààlà sí àwọn prefix méjì yẹn, ní ẹ̀gbẹ́ méjèèjì. Àwọn client ìrìn kiri sábà nílò ìyọkúrò fún ìrìnàjò wọn nínú tunnel pẹ̀lú, ṣùgbọ́n ìrìnàjò wọn sí internet yálà ń gbé kọjá tunnel nípasẹ̀ tunnel pípín tàbí ó ń jáde ní àárín lẹ́yìn NAT. Yíyọ gbogbo nǹkan tí ó bá wá láti inú tunnel kúrò ni àṣìṣe àtẹ̀yìnwá, nítorí pé ó tún ń gba ìtumọ̀ lọ́wọ́ ìrìnàjò tí ó nílò rẹ̀ gan-an.

Jẹ́ kí àwọn ìlànà ìyọkúrò dín bí àwọn ìlànà ìgbàláyè. Bí àkópọ̀ àgbá àti prefix ẹ̀ka bá ṣe pọ̀, ọ̀nà ìpadà yóò di èyí tí kò yéni pé kí wọ́n tó ju packet kan nù, àmì náà yóò sì farahàn bí ibùdó tí ń pàdánù subnet lẹ́ẹ̀kọ̀ọ̀kan dípò bí ìkùnà tunnel tí ó mọ́.

Àwọn ọ̀ràn ìgbàláyè tí ń fi ìlànà tí ó kọlù hàn

Kọ́ ọ̀ràn mẹ́rin kí o sì ṣe wọ́n lẹ́sẹẹsẹ. Aládé kan nínú ẹ̀ka dé ohun àmúṣọrọ̀ tí ẹ̀ka nìkan ní. Client ìrìn kiri dé ohun àmúṣọrọ̀ kan náà nípasẹ̀ àdírẹ́sì àgbá rẹ̀. Client ìrìn kiri gbìyànjú prefix ẹ̀ka tí kò gbọdọ̀ fọwọ́ kàn. Peer ẹ̀ka gbìyànjú láti gba àdírẹ́sì láti inú àgbá ìwọlé jíjìnnà. Àwọn méjì tí ó kẹ́yìn ni ó ń mú profaili pín, nítorí pé wọ́n ń kùnà ní ìdákẹ́jẹ́ nínú ìbójútó déédéé.

Lẹ́yìn náà jẹ́rìí ìpele dátà dípò ìṣètò. show crypto ikev2 sa àti show crypto ipsec sa ń sọ irú profaili àti irú àwọn yíyan tí ó gbé ìṣàn kọ̀ọ̀kan, nígbà tí show ip nat translations àti àwọn kíkà tunnel ń fi hàn bóyá ọ̀nà ìpadà àti ìyọkúrò bá mu ní tòótọ́. Tracer tàbí gbígba packet lórí interface tunnel ń pa ìyí ká.

Kọ ìdánimọ̀ tí a ṣàkíyèsí, àdírẹ́sì àgbá àti ìlànà tí a yàn lẹ́gbẹ̀ẹ́ àbájáde kọ̀ọ̀kan. Ìyí ká parí nígbà tí ọ̀ràn kọ̀ọ̀kan bá bá àkọsílẹ̀ kan gan-an mu, tí kò sì sí ọ̀ràn tí ó nílò ìyọkúnú àkókò láti kọjá.