VPN IPsec de doble WAN a Junos: aparellar el camí d’origen amb la passarel·la

Dos enllaços WAN per lloc semblen redundància fins que intentes demostrar quin parell d’adreces va utilitzar realment un flux concret. En un SRX, una passarel·la IKE porta una interfície externa i una adreça local; una llista de candidats remots no crea un segon origen local. Per això aquest recorregut comença per la matriu de parells i no per la configuració, perquè Junos valida sense problemes un disseny que només cobreix la meitat de les combinacions previstes. Em va passar en dos SRX345s: el túnel de reserva va pujar net i tot i així va arrossegar la sessió en la tornada.

Recorre els passos en ordre: enumera els parells que has de suportar, construeix una passarel·la per origen local, confirma quina associació va portar el trànsit i només després decideix què pot canviar cada tipus de fallada.

Dibuixar els parells abans de tocar la CLI

Si el lloc A pot originar des d’A1 o A2 i el lloc B pot rebre a B1 o B2, tens quatre parells d’adreces externes. La majoria de dissenys en necessiten dos de manera contínua i tracten els altres dos com a opcionals. Anota la matriu i marca cada fila, perquè cada fila promesa et costa després una passarel·la, una interfície de túnel i una decisió d’encaminament.

Cada parell necessari necessita tres coses alhora: un underlay abastable entre aquestes adreces exactes, acceptació mútua de la identitat del parell i de l’adreça d’origen als dos extrems, i un camí de retorn protegit. Un parell que només funciona en un sentit continua mostrant un túnel, i la fallada apareix més tard com a trànsit d’aplicació unidireccional.

Una passarel·la per origen local, no per lloc remot

La llista d’adreces remotes pertany a una passarel·la, i l’origen local també. La referència de passarel·les IKE manté les adreces remotes, la interfície externa, l’adreça local i la detecció de parell mort com a ajustos separats, i és exactament això el que importa: dos orígens locals signifiquen dues passarel·les sobre dues unitats st0. Compartir la política IKE entre elles està bé; quedar-se amb una sola passarel·la i esperar que canviï d’origen sola, no.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Després connecta els túnels i dona al prefix remot dos next hops, un per túnel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Que una passarel·la pugui mantenir dues instruccions del tipus address depèn de la versió i de quin procés IKE executi l’equip. Els Junos més antics basats en kmd accepten una sola adreça remota per passarel·la; les compilacions noves gestionen diversos candidats però afegeixen restriccions pròpies, i els clústers d’alta disponibilitat són un lloc habitual on aquest suport s’estreny. Consulta les notes de versió de la teva compilació exacta abans de copiar això d’un xassís més antic.

Confirmar quina associació va portar el paquet

Dues SAs i dos túnels no diuen quin d’ells va reenviar la sessió. Pregunta a l’equip directament i compara els camps amb el parell que pretenies:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

La sortida detallada indica la passarel·la local i la remota de cada associació, que és la manera més ràpida de detectar un túnel negociat des d’un origen que no esperaves. Després observa els comptadors de paquets per unitat a st0.1 i st0.2 mentre hi envies trànsit; un túnel que no porta res conserva la seva SA i sembla sa en una vista resumida.

Donar a cada fallada el seu propi detector

La vitalitat del parell, la pèrdua de l’enllaç ascendent local, la retirada de la ruta protegida i el trencament de l’aplicació són quatre esdeveniments diferents. El DPD només respon al primer, així que configura’l amb un interval i un llindar que puguis defensar en lloc de deixar el valor per defecte i suposar que cobreix la resta:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

La supervisió de túnel que sondeja una destinació dins de la subxarxa remota cobreix el cas que el DPD no veu: IKE és viu, la passarel·la respon i el prefix protegit continua sent inabastable. Tria quin dels dos ha d’atreure la preferència, perquè si tots dos es disparen alhora es produeix una tempesta de canvis en lloc d’un failover net.

No t’oblidis de l’extrem remot. Una ruta preferida que queda instal·lada al lloc remot continua apuntant a un túnel que ja has abandonat, i cap temporitzador local ho arregla. Publica la mateixa lògica de preferència als dos parells i anota si un enllaç recuperat pot recuperar el trànsit automàticament o s’ha de commutar a mà.

Readreçar un enllaç sense tocar l’altre

Quan un ISP et lliura un bloc nou, canvia una relació cada vegada. Actualitza address o local-address als dos parells per a aquest parell, fes commit, i esborra només les associacions afectades per índex en lloc d’esborrar totes les SAs de l’equip. Un esborrat global s’emporta també el túnel sa i converteix una finestra de manteniment en una caiguda.

Guarda un flux fallit i el detall de la seva sessió com a prova abans de netejar res, i després repeteix les comprovacions anteriors contra el nou parell d’adreces. Restaurar un enllaç és una decisió d’encaminament, així que tracta la tornada com un pas provat a part en lloc de suposar que la preferència antiga torna sola.

Tancar el canvi amb una llista curta

Un disseny de túnel de doble WAN està acabat quan pots anomenar el parell darrere de cada sessió, no quan les dues SAs estan aixecades. Recorre la llista següent a l’equip que realment has canviat:

• Cada parell promès té una passarel·la, una unitat st0 i una entrada de ruta.
• Cada túnel s’ha vist portant paquets, no només mantenint una SA.
• Els dos extrems coincideixen en la detecció i en quin costat restaura la preferència.
• El camí de retorn de cada parell és anotat al costat del seu camí d’anada.

Si una línia falla, arregla aquell parell abans d’afegir el següent; apilar dos túnels a mitges fa que els comptadors no signifiquin res i que el failover sigui impredictible.