একটি প্রাইভেট WAN-এ IPsec: SRX নীতির সীমানা যা পরীক্ষা করা উচিত

একটি প্রাইভেট WAN একটি IPsec টানেলের বাইরের প্যাকেট বহন করতে পারে, তাই পিয়ার ঠিকানাগুলোকে পাবলিক ইন্টারনেট ঠিকানা হতে হয় না। যা বদলায় তা হলো সেই বাইরের প্যাকেটগুলোর পথ এবং সেগুলো গ্রহণকারী ইন্টারফেসের অনুমতিগুলো। একটি SRX-এ বাইরের কন্ট্রোল পথ, টানেল ইন্টারফেস বাইন্ডিং এবং ফরওয়ার্ডেড-ট্র্যাফিক নীতি তিনটি আলাদা অবজেক্ট। অন্য দুটি ভুল থাকা অবস্থায় একটির সমস্যা খোঁজাই সাধারণত টানেল নিচে থাকার কারণ।

প্রথমে বাইরের IKE পথ লিখে রাখুন

নীতি স্পর্শ করার আগে চারটি মান লিখুন: পিয়ার ঠিকানা, IKE গ্রহণকারী স্থানীয় ইন্টারফেস, পিয়ারে পৌঁছানো রাউটিং প্রসঙ্গ এবং সেই ইন্টারফেস নির্বাচনকারী রুট। IKE প্যাকেট নিজে SRX-এর ঠিকানায় যায়, তাই গ্রহণকারী জোনে host-inbound অনুমতি দরকার, ফরওয়ার্ডেড-ট্র্যাফিক নীতি নয়। একটি প্রাইভেট WAN ঠিকানা সেই প্রয়োজনীয়তা সরায় না, কারণ প্যাকেটটি এখনও ডিভাইসেই শেষ হয়।

ইনস্টল করা অবস্থা পরীক্ষা করুন: show security ike sa এবং কনফিগারেশন: show configuration security ike। প্রথমটি বলে ফেজ 1 আছে কি না; দ্বিতীয়টি বলে ডিভাইস কী করা উচিত মনে করে।

টানেল ইন্টারফেসকে সঠিক নীতির সাথে বাইন্ড করুন

রাউট-ভিত্তিক VPN একটি টানেল ইন্টারফেসকে VPN অবজেক্টের সাথে বাইন্ড করে, এবং সুরক্ষিত প্রিফিক্সগুলো সেই ইন্টারফেসে রাউট হয়। কোন ইন্টারফেস, কোন রুট এবং কোন নীতি সংশ্লিষ্ট জোনের মধ্যে অ্যাপ্লিকেশনগুলোকে অনুমতি দেয় তা লিখুন। trust নামের একটি জোন একটি নীতি ধারক, এবং নামটি প্রমাণ করে না যে প্রয়োজনীয় কন্ট্রোল বা ডেটা প্যাকেট অনুমোদিত।

পুরোনো ডায়াগ্রামের বদলে প্রকৃত বাইন্ডিংগুলো পড়ুন: show configuration security ipsec vpn ইন্টারফেসে বাইন্ড করার সেটিংয়ের জন্য এবং show configuration security policies টানেল জোন উল্লেখকারী নিয়মগুলোর জন্য।

সুরক্ষিত রুট অন্য কোথাও নির্দেশ করলে টানেল আপ থাকতে পারে অথচ ট্র্যাফিক কখনো তাতে ঢোকে না। এটি IPsec পোশাক পরা একটি রাউটিং সমস্যা।

পিয়ার রুট underlay-এ রাখুন

বহিরাগত পিয়ারের রুট underlay-এর মধ্য দিয়ে রিজলভ হতে হবে, নিজে যে টানেল তৈরি করে তার মধ্য দিয়ে পুনরাবৃত্তভাবে নয়। পিয়ার রুট টানেল ইন্টারফেসের দিকে নির্দেশ করলে IKE প্যাকেট নিজের টানেলের পিছু নেয় এবং ফেজ 1 কখনো সম্পূর্ণ হয় না। সুরক্ষিত ট্র্যাফিকের উত্তরের পথের নিজস্ব সঠিক রুট ও নীতি দরকার, এবং এক দিক কাজ করলে সাধারণত এটাই অনুপস্থিত অর্ধেক। পিয়ার ঠিকানার রাউট টেবিল এন্ট্রি পড়ুন এবং নিশ্চিত করুন আউটগোয়িং ইন্টারফেসটি WAN ইন্টারফেস।

এটি পরীক্ষা করুন: show route 198.51.100.10, প্রকৃত পিয়ার ঠিকানা বসিয়ে, এবং নিশ্চিত করুন পরবর্তী হপ একটি টানেল ইন্টারফেস নয়।

কন্ট্রোল ও সার্ভিস ক্রমান্বয়ে যাচাই করুন

উপরের দিকে কাজ করুন: ফেজ 1 অবস্থা, ফেজ 2 অবস্থা, তারপর একটি বাস্তব অ্যাপ্লিকেশন ফ্লো। show security ipsec sa সিকিউরিটি অ্যাসোসিয়েশনগুলো তালিকাভুক্ত করে, এবং show security flow session destination-prefix 10.60.0.0/16 দেখায় সুরক্ষিত নেটওয়ার্কের জন্য ফরওয়ার্ডেড সেশন তৈরি হচ্ছে কি না।

একটি সুস্থ কন্ট্রোল সম্পর্ক এবং একটি কার্যকর ডেটা পথ দুটি ভিন্ন ফলাফল, এবং ফেজ 2 পাস করা নীতি অ্যাপ্লিকেশনটিকে অনুমতি দেয় কি না সে সম্পর্কে কিছুই বলে না। একটি অনুমোদিত ফ্লো এবং একটি যা নীতির প্রত্যাখ্যান করা উচিত—দুটোই পরীক্ষা করুন, যাতে পার্থক্যটি দৃশ্যমান হয়।

পিয়ার রুট, host-inbound অনুমতি, টানেল বাইন্ডিং, অভ্যন্তরীণ রুট এবং অ্যাপ্লিকেশন নীতিটি একসাথে লিখুন। এই পাঁচটি রেকর্ড দেখায় ভবিষ্যতের ব্যর্থতা কোন স্তরের, পোর্ট লেবেলের উপর নির্ভর না করে।