Junos ডুয়াল-WAN IPsec VPN: সোর্স পথকে সঠিক গেটওয়ের সাথে মেলানো

প্রতিটি সাইটে দুটি WAN লিংক অপ্রয়োজনীয়তার মতো দেখায়, যতক্ষণ না কোনো নির্দিষ্ট ফ্লো আসলে কোন ঠিকানা জোড়া ব্যবহার করেছে তা প্রমাণ করতে চান। SRX-এ একটি IKE গেটওয়ে একটি বাহ্যিক ইন্টারফেস এবং একটি স্থানীয় ঠিকানা বহন করে; দূরবর্তী প্রার্থীদের তালিকা দ্বিতীয় স্থানীয় সোর্স তৈরি করে না। তাই এই নির্দেশিকা কনফিগারেশন দিয়ে নয়, জোড়ার ম্যাট্রিক্স দিয়ে শুরু হয়, কারণ Junos আপনার ইচ্ছার অর্ধেক সমন্বয় ঢাকা একটি ডিজাইনও সহজে commit করে। আমি এটি দুটি SRX345s-এ দেখেছি: ব্যাকআপ টানেল পরিষ্কারভাবে উঠেছিল এবং ফিরে আসার সময় তবুও সেশনটি নামিয়ে দিয়েছিল।

ধাপগুলো ক্রমানুসারে সম্পন্ন করুন: যে জোড়াগুলো সমর্থন করতে হবে তার তালিকা করুন, প্রতিটি স্থানীয় সোর্সের জন্য একটি গেটওয়ে তৈরি করুন, কোন অ্যাসোসিয়েশন ট্রাফিক বহন করেছে তা নিশ্চিত করুন, এবং তারপরেই সিদ্ধান্ত নিন প্রতিটি ধরনের ব্যর্থতা কী বদলাতে পারে।

CLI স্পর্শ করার আগে জোড়াগুলোর মানচিত্র তৈরি করুন

যদি সাইট A, A1 বা A2 থেকে সোর্স নিতে পারে এবং সাইট B, B1 বা B2-এ গ্রহণ করতে পারে, তবে আপনার চারটি বাহ্যিক ঠিকানা জোড়া আছে। বেশিরভাগ ডিজাইনের দুটি নিয়মিত দরকার হয় এবং বাকি দুটিকে ঐচ্ছিক ধরা হয়। ম্যাট্রিক্স লিখুন এবং প্রতিটি সারি চিহ্নিত করুন, কারণ প্রতিটি প্রতিশ্রুত সারি পরে আপনার একটি গেটওয়ে, একটি টানেল ইন্টারফেস এবং একটি রাউটিং সিদ্ধান্তের খরচ।

প্রতিটি প্রয়োজনীয় জোড়ার একসাথে তিনটি জিনিস দরকার: ঠিক ওই ঠিকানাগুলোর মধ্যে পৌঁছানো যায় এমন underlay, দুই প্রান্তে সাথীর পরিচয় ও সোর্স ঠিকানার পারস্পরিক গ্রহণযোগ্যতা, এবং একটি সুরক্ষিত ফেরার পথ। শুধু এক দিকে কাজ করা জোড়া তবুও টানেল দেখায়, এবং ব্যর্থতা পরে অ্যাপ্লিকেশনের একমুখী ট্রাফিক হিসেবে প্রকাশ পায়।

প্রতিটি স্থানীয় সোর্সের জন্য একটি গেটওয়ে, দূরবর্তী সাইটের জন্য নয়

দূরবর্তী ঠিকানার তালিকা একটি গেটওয়ের, এবং স্থানীয় সোর্সও। IKE গেটওয়ে রেফারেন্স দূরবর্তী ঠিকানা, বাহ্যিক ইন্টারফেস, স্থানীয় ঠিকানা এবং মৃত সাথী শনাক্তকরণকে আলাদা সেটিং হিসেবে রাখে, এবং মূল কথা এটাই: দুটি স্থানীয় সোর্স মানে দুটি st0 ইউনিটে দুটি গেটওয়ে। তাদের মধ্যে IKE নীতি ভাগ করা ঠিক আছে; একটি গেটওয়ে রেখে সে নিজেই অন্য সোর্স বেছে নেবে আশা করা ঠিক নয়।

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

তারপর টানেলগুলো সংযুক্ত করুন এবং দূরবর্তী প্রিফিক্সকে দুটি next hop দিন, প্রতিটি টানেলের জন্য একটি:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

একটি গেটওয়ে address ধরনের দুটি নির্দেশ রাখতে পারে কি না তা নির্ভর করে রিলিজ এবং ডিভাইস কোন IKE প্রক্রিয়া চালাচ্ছে তার উপর। kmd-ভিত্তিক পুরোনো Junos প্রতি গেটওয়েতে একটি করে দূরবর্তী ঠিকানা নেয়; নতুন বিল্ড একাধিক প্রার্থী সামলায় কিন্তু নিজস্ব সীমাবদ্ধতা যোগ করে, এবং উচ্চ প্রাপ্যতা ক্লাস্টার সাধারণ জায়গা যেখানে এই সমর্থন সংকুচিত হয়। এটি পুরোনো চ্যাসিস থেকে কপি করার আগে আপনার সঠিক বিল্ডের রিলিজ নোট দেখুন।

কোন অ্যাসোসিয়েশন প্যাকেট বহন করেছে তা নিশ্চিত করুন

দুটি SA এবং দুটি টানেল বলে না কোনটি সেশনটি এগিয়ে পাঠিয়েছে। ডিভাইসকে সরাসরি জিজ্ঞাসা করুন এবং ফিল্ডগুলো আপনার ইচ্ছার জোড়ার সাথে তুলনা করুন:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

বিস্তারিত আউটপুট প্রতিটি অ্যাসোসিয়েশনের স্থানীয় ও দূরবর্তী গেটওয়ে জানায়, যা অপ্রত্যাশিত সোর্স থেকে নির্ধারিত টানেল ধরার দ্রুততম উপায়। তারপর ট্রাফিক পাঠানোর সময় st0.1 ও st0.2-এ প্রতি ইউনিট প্যাকেট কাউন্টার দেখুন; যে টানেল কিছুই বহন করে না সেটি তার SA ধরে রাখে এবং সারসংক্ষেপে সুস্থ দেখায়।

প্রতিটি ব্যর্থতাকে তার নিজস্ব ডিটেক্টর দিন

সাথীর জীবনীশক্তি, স্থানীয় আপলিংকের ক্ষতি, সুরক্ষিত রুট প্রত্যাহার এবং অ্যাপ্লিকেশনের ভাঙন চারটি ভিন্ন ঘটনা। DPD শুধু প্রথমটির উত্তর দেয়, তাই এটি এমন বিরতি ও সীমার সাথে কনফিগার করুন যা আপনি যুক্তিযুক্ত করতে পারেন, ডিফল্ট রেখে বাকিটা ঢাকে বলে ধরে নেওয়ার বদলে:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

দূরবর্তী সাবনেটের ভেতরে গন্তব্য পরীক্ষা করা টানেল মনিটরিং DPD যা দেখতে পায় না সেই অবস্থা ঢাকে: IKE জীবিত, গেটওয়ে উত্তর দেয়, এবং সুরক্ষিত প্রিফিক্স তবুও পৌঁছানো যায় না। দুটির মধ্যে কোনটি অগ্রাধিকার টানবে তা বেছে নিন, কারণ দুটিই একসাথে সক্রিয় হলে পরিষ্কার ফেইলওভারের বদলে পরিবর্তনের ঝড় ওঠে।

দূরবর্তী প্রান্ত ভুলবেন না। দূরবর্তী সাইটে ইনস্টল থাকা পছন্দের রুট আপনি ইতিমধ্যে যে টানেল ছেড়ে দিয়েছেন সেদিকেই নির্দেশ করে থাকে, এবং কোনো স্থানীয় টাইমার তা ঠিক করে না। একই অগ্রাধিকার যুক্তি দুই সাথীতেই প্রকাশ করুন, এবং লিখে রাখুন পুনরুদ্ধার হওয়া লিংক ট্রাফিক নিজে ফিরিয়ে নিতে পারে কি না বা হাতে বদলাতে হবে।

অন্যটিকে না ছুঁয়ে একটি লিংক পুনরায় ঠিকানা দিন

ISP আপনাকে নতুন ব্লক দিলে একবারে একটি সম্পর্ক বদলান। ওই জোড়ার জন্য দুই সাথীতে address বা local-address হালনাগাদ করুন, commit করুন, এবং ডিভাইসের সব SA পরিষ্কার করার বদলে কেবল প্রভাবিত অ্যাসোসিয়েশনগুলো ইনডেক্স দিয়ে পরিষ্কার করুন। বৈশ্বিক পরিষ্কার স্বাস্থ্যকর টানেলও নিয়ে যায় এবং রক্ষণাবেক্ষণ উইন্ডোকে বিভ্রাটে পরিণত করে।

কিছু পরিষ্কার করার আগে একটি ব্যর্থ ফ্লো এবং তার সেশন বিবরণ প্রমাণ হিসেবে রাখুন, তারপর উপরের যাচাইগুলো নতুন ঠিকানা জোড়ায় আবার চালান। লিংক পুনরুদ্ধার একটি রাউটিং সিদ্ধান্ত, তাই ফিরে আসাকে আলাদা পরীক্ষিত ধাপ হিসেবে দেখুন, পুরোনো অগ্রাধিকার নিজে ফিরে আসবে বলে ধরে নেওয়ার বদলে।

পরিবর্তনটি সংক্ষিপ্ত চেকলিস্ট দিয়ে বন্ধ করুন

ডুয়াল-WAN টানেল ডিজাইন তখন সম্পূর্ণ হয় যখন আপনি প্রতিটি সেশনের পেছনের জোড়ার নাম বলতে পারেন, তখন নয় যখন দুটি SA-ই উপরে থাকে। নিচের তালিকাটি আপনি সত্যিই যে ডিভাইস বদলেছেন সেখানে দেখুন:

• প্রতিটি প্রতিশ্রুত জোড়ার একটি গেটওয়ে, একটি st0 ইউনিট এবং একটি রুট এন্ট্রি আছে।
• প্রতিটি টানেলকে প্যাকেট বহন করতে দেখা গেছে, শুধু SA ধরে রাখতে নয়।
• দুই প্রান্ত শনাক্তকরণ এবং কোন পক্ষ অগ্রাধিকার পুনরুদ্ধার করে তা নিয়ে একমত।
• প্রতিটি জোড়ার ফেরার পথ তার যাওয়ার পথের পাশে লেখা আছে।

কোনো সারি ব্যর্থ হলে পরেরটি যোগ করার আগে ওই জোড়া ঠিক করুন; দুটি অর্ধেক চলা টানেল একটির উপর আরেকটি রাখা কাউন্টারকে অর্থহীন এবং failover আচরণকে অনুমানাতীত করে তোলে।