Junos İki WAN IPsec VPN: mənbə yolunu düzgün keçidlə uyğunlaşdırmaq

Hər sayt üçün iki WAN xətti, müəyyən bir axının hansı adres cütündən həqiqətən istifadə etdiyini sübut etməyə çalışana qədər ehtiyat kimi görünür. SRX-də bir IKE keçidi bir xarici interfeys və bir yerli adres daşıyır; uzaq namizədlərin siyahısı ikinci yerli mənbə yaratmır. Buna görə bu bələdçi konfiqurasiyadan deyil, cütlər matrisindən başlayır, çünki Junos nəzərdə tutduğunuz kombinasiyaların yalnız yarısını əhatə edən layihəni rahatlıqla commit edir. Mən buna iki SRX345s-də rast gəldim: ehtiyat tunel təmiz qalxdı və geri qayıdışda sessiyanı yenə də aşağı saldı.

Addımları sıra ilə keçin: dəstəkləməli olduğunuz cütləri sadalayın, hər yerli mənbə üçün bir keçid qurun, trafiki hansı assosiasiyanın daşıdığını təsdiqləyin və yalnız bundan sonra hər nasazlıq növünün nəyi dəyişə biləcəyinə qərar verin.

CLI-yə toxunmazdan əvvəl cütləri xəritələyin

A saytı A1 və ya A2-dən mənbə götürə bilirsə, B saytı isə B1 və ya B2 üzərində qəbul edə bilirsə, dörd xarici adres cütünüz var. Əksər layihələrə onlardan ikisi daim lazımdır, digər ikisi isə istəyə bağlı sayılır. Matrisi yazın və hər sətri işarələyin, çünki vəd etdiyiniz hər sətir sonradan sizə bir keçid, bir tunel interfeysi və bir marşrutlaşdırma qərarı kimi qayıdır.

Hər tələb olunan cüt eyni anda üç şeyə ehtiyac duyur: məhz bu adreslər arasında əlçatan underlay, hər iki uçda tərəfdaşın kimliyinin və mənbə adresinin qarşılıqlı qəbulu və qorunan geri dönüş yolu. Yalnız bir istiqamətdə işləyən cüt yenə tunel göstərir və nasazlıq sonradan birtərəfli tətbiq trafiki kimi üzə çıxır.

Uzaq sayt üçün deyil, hər yerli mənbə üçün bir keçid

Uzaq adreslər siyahısı bir keçidə aiddir, yerli mənbə də elə. IKE keçidi sənədi uzaq adresləri, xarici interfeysi, yerli adresi və ölü tərəfdaş aşkarlamasını ayrı parametrlər kimi saxlayır və əsas məqam da budur: iki yerli mənbə iki st0 vahidi üzərində iki keçid deməkdir. IKE siyasətini onların arasında bölüşmək qaydasındadır; bir keçid saxlamaq və onun özü başqa mənbə seçəcəyini ümid etmək deyil.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Sonra tunelləri bağlayın və uzaq prefiksə iki next hop verin, hər tunel üçün bir:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Bir keçidin address tipli iki təlimatı saxlaya bilməsi versiyadan və cihazın hansı IKE prosesini icra etdiyindən asılıdır. kmd əsaslı köhnə Junos hər keçid üçün bir uzaq adres qəbul edir; yeni build-lər bir neçə namizədi idarə edir, lakin öz məhdudiyyətlərini əlavə edir və yüksək əlçatanlıq klasterləri bu dəstəyin daraldığı adi bir yerdir. Bunu köhnə şassidən köçürməzdən əvvəl dəqiq build-iniz üçün buraxılış qeydlərini yoxlayın.

Paketi hansı assosiasiyanın daşıdığını təsdiqləyin

İki SA və iki tunel sessiyanı hansının ötürdüyünü demir. Cihazdan birbaşa soruşun və sahələri nəzərdə tutduğunuz cütlə müqayisə edin:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Ətraflı çıxış hər assosiasiya üçün yerli və uzaq keçidi göstərir, bu da gözləmədiyiniz mənbədən razılaşdırılmış tuneli aşkar etməyin ən sürətli yoludur. Sonra trafik ötürərkən st0.1 və st0.2 üzərində vahid başına paket sayğaclarını izləyin; heç nə daşımayan tunel öz SA-sını saxlayır və icmalda sağlam görünür.

Hər nasazlıq növünə öz detektorunu verin

Tərəfdaşın canlılığı, yerli uplink itkisi, qorunan marşrutun geri çəkilməsi və tətbiqin sıradan çıxması dörd fərqli hadisədir. DPD yalnız birincisinə cavab verir, ona görə də standart dəyəri saxlayıb qalanını əhatə etdiyini güman etmək əvəzinə müdafiə edə biləcəyiniz interval və hədlə konfiqurasiya edin:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Uzaq alt şəbəkənin içindəki hədəfi yoxlayan tunel monitorinqi DPD-nin görə bilmədiyi halı əhatə edir: IKE canlıdır, keçid cavab verir və qorunan prefiks yenə əlçatmazdır. İkisindən hansının üstünlüyü çəkməli olduğunu seçin, çünki hər ikisi eyni vaxtda işə düşsə, təmiz keçid əvəzinə dəyişiklik fırtınası yaranır.

Uzaq ucu unutmayın. Uzaq saytda quraşdırılmış qalan üstünlük verilən marşrut artıq tərk etdiyiniz tunelə işarə etməyə davam edir və heç bir yerli taymer bunu düzəltmir. Eyni üstünlük məntiqini hər iki tərəfdaşda yayımlayın və bərpa olunan xəttin trafiki avtomatik qaytara biləcəyini, yoxsa əl ilə keçirilməli olduğunu qeyd edin.

Digərinə toxunmadan bir xətti yenidən ünvanlayın

Provayder sizə yeni blok verdikdə hər dəfə bir əlaqəni dəyişin. Həmin cüt üçün hər iki tərəfdaşda address və ya local-address dəyərini yeniləyin, commit edin və cihazdakı bütün SA-ları təmizləmək əvəzinə yalnız təsirlənmiş assosiasiyaları indeksə görə təmizləyin. Qlobal təmizləmə sağlam tuneli də aparır və texniki xidmət pəncərəsini fasiləyə çevirir.

Hər hansı təmizlikdən əvvəl uğursuz bir axını və onun sessiya detallarını sübut kimi saxlayın, sonra yuxarıdakı yoxlamaları yeni adres cütünə qarşı yenidən işə salın. Xəttin bərpası marşrutlaşdırma qərarıdır, ona görə də qayıdışı köhnə üstünlüyün özü-özünə qayıdacağını güman etmək əvəzinə ayrıca sınaqdan keçirilmiş addım kimi qəbul edin.

Dəyişikliyi qısa yoxlama siyahısı ilə bağlayın

İki WAN tunel layihəsi hər iki SA qalxdıqda deyil, hər sessiyanın arxasındakı cütü adlandıra bildiyiniz zaman hazırdır. Aşağıdakı siyahını həqiqətən dəyişdiyiniz cihazda nəzərdən keçirin:

• Hər vəd edilən cütün bir keçidi, bir st0 vahidi və bir marşrut qeydi var.
• Hər tunel paket daşıyarkən görülüb, yalnız SA saxlayarkən deyil.
• İki uc aşkarlama və üstünlüyü hansı tərəfin bərpa edəcəyi barədə razıdır.
• Hər cütün geri dönüş yolu gediş yolunun yanında yazılıb.

Bir sətir uyğun gəlmirsə, növbətini əlavə etməzdən əvvəl o cütü düzəldin; iki yarım işləyən tuneli üst-üstə yığmaq sayğacları mənasız, keçid davranışını isə qabaqcadan bilinməz edir.