IPsec preko privatnog WAN-a: granice SRX politika koje treba provjeriti

Privatni WAN može prenositi vanjske pakete IPsec tunela, pa adrese partnera ne moraju biti javne internetske adrese. Mijenja se put koji ti vanjski paketi prelaze i dozvole na interfejsu koji ih prima. Na SRX-u su vanjski kontrolni put, vezivanje tunelskog interfejsa i politika proslijeđenog saobraćaja tri odvojena objekta. Otklanjanje kvara na jednom dok su druga dva pogrešna uobičajen je razlog zašto tunel ostaje dolje.

Prvo zabilježite vanjski IKE put

Zapišite četiri vrijednosti prije nego što dirnete politiku: adresu partnera, lokalni interfejs koji prima IKE, kontekst rutiranja koji stiže do partnera i rutu koja odabire taj interfejs. IKE paketi su adresirani na sam SRX, pa im treba host-inbound dozvola na zoni prijema, a ne politika proslijeđenog saobraćaja. Privatna WAN adresa ne uklanja taj zahtjev, jer paket i dalje završava na uređaju.

Provjerite instalirano stanje sa show security ike sa i konfiguraciju sa show configuration security ike. Prva pokazuje postoji li faza 1; druga pokazuje šta uređaj misli da bi trebao raditi.

Vežite tunelski interfejs za ispravnu politiku

VPN zasnovan na rutiranju veže tunelski interfejs za VPN objekat, a zaštićeni prefiksi se rutiraju u taj interfejs. Zabilježite koji interfejs, koja ruta i koja politika dozvoljava aplikacije između relevantnih zona. Zona nazvana trust je kontejner politika, a ime ne dokazuje da su potrebni kontrolni ili podatkovni paketi dozvoljeni.

Čitajte stvarne veze, a ne stari dijagram: show configuration security ipsec vpn za postavku vezivanja za interfejs i show configuration security policies za pravila koja upućuju na tunelsku zonu.

Ako zaštićena ruta pokazuje negdje drugdje, tunel može biti gore dok saobraćaj nikada ne ulazi u njega. To je problem rutiranja u IPsec kostimu.

Držite rutu do partnera na underlayu

Ruta do vanjskog partnera mora se razriješiti kroz underlay, a ne rekurzivno kroz tunel koji uspostavlja. Ako ruta do partnera pokazuje na tunelski interfejs, IKE paketi jure vlastiti tunel i faza 1 nikada se ne završava. Povratni put za zaštićeni saobraćaj treba vlastitu ispravnu rutu i politiku, i to je obično nedostajuća polovina kada jedan smjer radi. Pročitajte unos rutne tablice za adresu partnera i potvrdite da je izlazni interfejs WAN interfejs.

Provjerite to sa show route 198.51.100.10, uz stvarnu adresu partnera, i potvrdite da sljedeći hop nije tunelski interfejs.

Provjerite kontrolu i uslugu po redu

Radite prema gore: stanje faze 1, stanje faze 2, zatim stvarni tok aplikacije. show security ipsec sa navodi sigurnosne asocijacije, a show security flow session destination-prefix 10.60.0.0/16 pokazuje stvaraju li se proslijeđene sesije za zaštićenu mrežu.

Zdrav kontrolni odnos i ispravan put podataka dva su različita rezultata, a prolazak faze 2 ništa ne govori o tome dozvoljava li politika aplikaciju. Testirajte jedan dozvoljeni tok i jedan koji politika treba odbiti, da razlika bude vidljiva.

Zabilježite zajedno rutu do partnera, host-inbound dozvolu, vezivanje tunela, unutrašnju rutu i politiku aplikacije. Tih pet zapisa pokazuje koji sloj posjeduje budući kvar bez oslanjanja na oznaku porta.