Junos dual-WAN IPsec VPN: koppel die bronpad aan die gateway

Twee WAN-skakels per terrein lyk soos oortolligheid totdat jy probeer bewys watter adrespaar ’n gegewe vloei werklik gebruik het. Op ’n SRX dra een IKE-gateway een eksterne koppelvlak en een plaaslike adres; ’n lys van afgeleë kandidate skep nie ’n tweede plaaslike bron nie. Daarom begin hierdie deurloop met die paarmatriks eerder as die konfigurasie, want Junos commit graag ’n ontwerp wat net die helfte van jou beoogde kombinasies dek. Ek het dit op twee SRX345s raakgeloop: die rugsteun-tonnel het skoon opgekom en het die sessie by terugskakeling steeds laat val.

Werk die stappe in volgorde deur: lys die pare wat jy moet ondersteun, bou een gateway per plaaslike bron, bevestig watter assosiasie die verkeer gedra het, en besluit eers daarna wat elke soort fout mag verander.

Karteer die pare voordat jy die CLI aanraak

As terrein A vanaf A1 of A2 kan source en terrein B op B1 of B2 kan ontvang, het jy vier buitenste adrespare. Die meeste ontwerpe het twee daarvan deurlopend nodig en behandel die ander twee as opsioneel. Skryf die matriks neer en merk elke ry, want elke ry wat jy belowe kos jou later ’n gateway, ’n tonnel-koppelvlak en ’n roeteringsbesluit.

Elke vereiste paar het drie dinge gelyktydig nodig: ’n bereikbare underlay tussen daardie presiese adresse, wedersydse aanvaarding van die eweknie-identiteit en bronadres aan beide kante, en ’n beskermde terugpad. ’n Paar wat net in een rigting werk, sal steeds ’n tonnel wys, en die fout kom later na vore as eenrigting-toepassingsverkeer.

Een gateway per plaaslike bron, nie per afgeleë terrein nie

Die lys van afgeleë adresse hoort by ’n gateway, en die plaaslike bron ook. Die IKE-gateway-verwysing hou afgeleë adresse, eksterne koppelvlak, plaaslike adres en dooie-eweknie-opsporing as aparte instellings, en dit is juis die punt: twee plaaslike bronne beteken twee gateways oor twee st0-eenhede. Om die IKE-beleid tussen hulle te deel is reg; om een gateway te hou en te hoop dit herkies self ’n bron, is nie.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Heg dan die tonnels aan en gee die verre voorvoegsel twee volgende spronge, een per tonnel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Of een gateway twee stellings van die tipe address mag hou, hang af van die weergawe en van watter IKE-proses die boks hardloop. Ouer kmd-gebaseerde Junos neem een enkele afgeleë adres per gateway; nuwer boue hanteer meerdere kandidate maar voeg hul eie beperkings by, en hoë-beskikbaarheid-klusters is ’n algemene plek waar daardie ondersteuning smaller word. Kyk na die vrystellingnotas vir jou presiese bou voordat jy dit van ’n ouer chassis kopieer.

Bevestig watter assosiasie die pakket gedra het

Twee SAs en twee tonnels sê nie watter een die sessie aangestuur het nie. Vra die boks direk, en vergelyk die velde met die paar wat jy bedoel het:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Die detail-uitvoer noem die plaaslike en afgeleë gateway vir elke assosiasie, wat die vinnigste manier is om ’n tonnel raak te sien wat vanaf ’n bron wat jy nie verwag het nie, onderhandel het. Kyk dan na die pakkettellers per eenheid op st0.1 en st0.2 terwyl jy verkeer deurstuur; ’n tonnel wat niks dra nie, hou sy SA en lyk gesond in ’n oorsig.

Gee elke soort fout sy eie detektor

Eweknie-lewendheid, verlies van die plaaslike uplink, intrekking van die beskermde roete en toepassingsbreek is vier verskillende gebeurtenisse. DPD antwoord net die eerste een, so stel dit in met ’n interval en drumpel wat jy kan verdedig eerder as om die verstek te los en aan te neem dit dek die res:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tonnelmonitering wat ’n bestemming binne die verre subnet toets, dek die geval wat DPD nie kan sien nie: IKE leef, die gateway antwoord, en die beskermde voorvoegsel is steeds onbereikbaar. Kies watter een van die twee voorkeur moet trek, want as albei gelyktydig afgaan, skep dit ’n storm van veranderinge eerder as ’n skoon oorskakeling.

Moenie die verre kant vergeet nie. ’n Voorkeurroete wat op die afgeleë terrein bly staan, wys steeds in ’n tonnel wat jy al verlaat het, en geen plaaslike tydhouer maak dit reg nie. Publiseer dieselfde voorkeurlogika op beide eweknieë, en teken op of ’n herstelde skakel verkeer outomaties mag terugneem of met die hand omgeskakel moet word.

Heradresseer een skakel sonder om die ander aan te raak

Wanneer ’n ISP jou ’n nuwe blok gee, verander een verhouding op ’n slag. Dateer address of local-address op beide eweknieë vir daardie paar op, commit, en wis net die geaffekteerde assosiasies op indeks eerder as om elke SA op die boks te wis. ’n Globale wisaksie neem ook die gesonde tonnel uit en maak van ’n onderhoudsvenster ’n onderbreking.

Hou een mislukte vloei en sy sessiedetail as bewys voordat jy enigiets opruim, en hardloop dan die kontroles hierbo weer teen die nuwe adrespaar. Om ’n skakel te herstel is ’n roeteringsbesluit, so behandel die terugkeer as sy eie getoetste stap eerder as om aan te neem die ou voorkeur kom vanself terug.

Sluit die verandering met ’n kort kontrolelys af

’n Dual-WAN-tonnelontwerp is klaar wanneer jy die paar agter elke sessie kan noem, nie wanneer albei SAs op is nie. Gaan die lys hieronder deur op die boks wat jy werklik verander het:

• Elke belowe paar het ’n gateway, ’n st0-eenheid en ’n roete-inskrywing.
• Elke tonnel is al gesien terwyl dit pakkette dra, nie net terwyl dit ’n SA hou nie.
• Albei kante stem oor opsporing en oor watter kant voorkeur herstel.
• Die terugpad vir elke paar staan langs sy heenpad opgeskryf.

As ’n reël faal, maak daardie paar reg voordat jy die volgende byvoeg; twee halfwerkende tonnels op mekaar maak die tellers betekenisloos en die oorskakelgedrag onvoorspelbaar.