Şəxsi WAN üzərindən IPsec: yoxlanmalı SRX siyasət sərhədləri

Şəxsi WAN IPsec tunelinin xarici paketlərini daşıya bilər, buna görə peer ünvanlarının ictimai internet ünvanları olması vacib deyil. Dəyişən şey həmin xarici paketlərin getdiyi yol və onları qəbul edən interfeysdəki icazələrdir. SRX-də xarici idarəetmə yolu, tunel interfeysinin bağlanması və yönləndirilən trafik siyasəti üç ayrı obyektdir. Digər ikisi səhv ikən birini diaqnoz etmək tunelin aşağı qalmasının adi səbəbidir.

Əvvəlcə xarici IKE yolunu qeyd edin

Siyasətə toxunmazdan əvvəl dörd dəyəri yazın: peer ünvanı, IKE-ni qəbul edən yerli interfeys, peer-ə çatan marşrutlaşdırma konteksti və həmin interfeysi seçən marşrut. IKE paketləri SRX-in özünə ünvanlandığı üçün qəbul edən zonada host-inbound icazəsi tələb edirlər, yönləndirilən trafik siyasəti deyil. Şəxsi WAN ünvanı bu tələbi aradan qaldırmır, çünki paket yenə də cihazda sonlanır.

Quraşdırılmış vəziyyəti yoxlayın: show security ike sa və konfiqurasiyanı: show configuration security ike. Birincisi 1-ci fazanın olub-olmadığını, ikincisi cihazın nə etdiyini düşündüyünü bildirir.

Tunel interfeysini düzgün siyasətə bağlayın

Marşruta əsaslanan VPN tunel interfeysini VPN obyektinə bağlayır və qorunan prefikslər həmin interfeysə yönləndirilir. Hansı interfeysin, hansı marşrutun və hansı siyasətin müvafiq zonalar arasındakı tətbiqlərə icazə verdiyini qeyd edin. trust adlı zona siyasət konteyneridir və ad tələb olunan idarəetmə və ya data paketlərinə icazə verildiyini sübut etmir.

Köhnə diaqram yerinə faktiki bağlamaları oxuyun: show configuration security ipsec vpn interfeysə bağlama parametri üçün və show configuration security policies tunel zonasına istinad edən qaydalar üçün.

Qorunan marşrut başqa yerə baxırsa, tunel qalxıb qala bilər, amma trafik ona heç vaxt daxil olmaz. Bu, IPsec libasında gəzən marşrutlaşdırma problemidir.

Peer marşrutunu underlay üzərində saxlayın

Xarici peer-ə marşrut underlay vasitəsilə həll olunmalıdır, onun qurduğu tunel vasitəsilə rekursiv deyil. Peer marşrutu tunel interfeysinə baxırsa, IKE paketləri öz tunelini qovur və 1-ci faza heç vaxt tamamlanmır. Qorunan trafik üçün cavab yolu öz düzgün marşrutuna və siyasətinə ehtiyac duyur və bu, adətən bir istiqamət işləyəndə çatışmayan yarıdır. Peer ünvanı üçün marşrut cədvəlinin girişini oxuyun və çıxış interfeysinin WAN interfeysi olduğunu təsdiqləyin.

Bunu yoxlayın: show route 198.51.100.10, real peer ünvanını yerinə qoyaraq, və növbəti hopun tunel interfeysi olmadığını təsdiqləyin.

İdarəetməni və xidməti sıra ilə yoxlayın

Yuxarı doğru işləyin: 1-ci faza vəziyyəti, 2-ci faza vəziyyəti, sonra real tətbiq axını. show security ipsec sa təhlükəsizlik assosiasiyalarını sadalayır və show security flow session destination-prefix 10.60.0.0/16 qorunan şəbəkə üçün yönləndirilən sessiyaların yaradılıb-yaradılmadığını göstərir.

Sağlam idarəetmə əlaqəsi və işləyən data yolu iki fərqli nəticədir, və 2-ci fazanın keçməsi siyasətin tətbiqə icazə verib-vermədiyi barədə heç nə demir. İcazə verilən bir axını və siyasətin rədd etməli olduğu bir axını sınayın ki, fərq görünsün.

Peer marşrutunu, host-inbound icazəsini, tunel bağlamasını, daxili marşrutu və tətbiq siyasətini birlikdə qeyd edin. Bu beş qeyd gələcək nasazlığın hansı qata aid olduğunu port etiketinə güvənmədən göstərir.