IPsec عبر WAN خاص: حدود سياسات SRX التي يجب فحصها

يمكن لشبكة WAN خاصة أن تحمل الحزم الخارجية لنفق IPsec، لذا لا يلزم أن تكون عناوين النظير عناوين إنترنت عامة. ما يتغير هو المسار الذي تسلكه تلك الحزم الخارجية والأذونات على الواجهة التي تستقبلها. على جهاز SRX، مسار التحكم الخارجي وربط واجهة النفق وسياسة حركة المرور المُمرَّرة ثلاثة كائنات منفصلة. إن استكشاف أحدها بينما الآخران خاطئان هو السبب المعتاد لبقاء النفق معطلًا.

سجّل مسار IKE الخارجي أولًا

دوّن أربع قيم قبل لمس السياسة: عنوان النظير، والواجهة المحلية التي تستقبل IKE، وسياق التوجيه الذي يصل إلى النظير، والمسار الذي يختار تلك الواجهة. تُوجَّه حزم IKE إلى جهاز SRX نفسه، لذا تحتاج إلى إذن host-inbound على المنطقة المستقبلة، وليس إلى سياسة حركة مُمرَّرة. لا يزيل عنوان WAN خاص هذا الشرط، لأن الحزمة ما زالت تنتهي عند الجهاز.

افحص الحالة المثبتة باستخدام show security ike sa والتهيئة باستخدام show configuration security ike. يخبرك الأول ما إذا كانت المرحلة 1 موجودة؛ ويخبرك الثاني بما يعتقد الجهاز أنه يجب فعله.

اربط واجهة النفق بالسياسة الصحيحة

شبكة VPN قائمة على التوجيه تربط واجهة نفق بكائن VPN، وتُوجَّه البادئات المحمية إلى تلك الواجهة. سجّل أي واجهة وأي مسار وأي سياسة تسمح للتطبيقات بين المناطق المعنية. المنطقة المسماة trust هي حاوية سياسات، ولا يثبت الاسم أن حزم التحكم أو البيانات المطلوبة مسموح بها.

اقرأ الروابط الفعلية بدلًا من مخطط قديم: show configuration security ipsec vpn لإعداد الربط بالواجهة و show configuration security policies للقواعد التي تشير إلى منطقة النفق.

إذا أشار المسار المحمي إلى مكان آخر، فقد يكون النفق قائمًا بينما لا تدخله حركة المرور أبدًا. هذه مشكلة توجيه ترتدي زي IPsec.

أبقِ مسار النظير على الطبقة الأساسية

يجب أن يُحلّ المسار إلى النظير الخارجي عبر الطبقة الأساسية، لا بشكل متكرر عبر النفق الذي ينشئه. إذا أشار مسار النظير إلى واجهة النفق، فإن حزم IKE تطارد نفقها الخاص ولا تكتمل المرحلة 1 أبدًا. يحتاج مسار الرد لحركة المرور المحمية إلى مساره وسياساته الصحيحة، وهو عادةً النصف المفقود عندما يعمل اتجاه واحد. اقرأ إدخال جدول التوجيه لعنوان النظير وتأكد من أن الواجهة الصادرة هي واجهة WAN.

افحصه باستخدام show route 198.51.100.10، مع استبدال عنوان النظير الحقيقي، وتأكد من أن القفزة التالية ليست واجهة نفق.

تحقق من التحكم والخدمة بالترتيب

اعمل تصاعديًا: حالة المرحلة 1، ثم حالة المرحلة 2، ثم تدفق تطبيق حقيقي. show security ipsec sa يسرد ارتباطات الأمان، و show security flow session destination-prefix 10.60.0.0/16 يوضح ما إذا كانت الجلسات المُمرَّرة تُنشأ للشبكة المحمية.

علاقة تحكم سليمة ومسار بيانات عامل نتيجتان مختلفتان، ونجاح المرحلة 2 لا يقول شيئًا عن سماح السياسة للتطبيق. اختبر تدفقًا مسموحًا وآخر يجب أن ترفضه السياسة، لتكون الفروق مرئية.

سجّل مسار النظير وإذن host-inbound وربط النفق والمسار الداخلي وسياسة التطبيق معًا. تُظهر هذه السجلات الخمسة أي طبقة تملك العطل المستقبلي دون الاعتماد على تسمية المنفذ.