Junos Dual-WAN IPsec VPN: přiřazení zdrojové cesty ke správné bráně

Dvě WAN linky na lokalitu vypadají jako redundance, dokud se nepokusíte dokázat, kterou dvojici adres daný tok skutečně použil. Na SRX nese jedna IKE brána jedno externí rozhraní a jednu lokální adresu; seznam vzdálených kandidátů nevytváří druhý lokální zdroj. Proto tento průchod začíná maticí dvojic a ne konfigurací, protože Junos bez okolků commitne návrh, který pokrývá jen polovinu zamýšlených kombinací. Narazil jsem na to na dvou SRX345s: záložní tunel naskočil čistě a přesto stáhl relaci při návratu.

Projděte kroky popořadě: vypište dvojice, které musíte podporovat, postavte jednu bránu na lokální zdroj, potvrďte, které přiřazení provoz přeneslo, a teprve potom rozhodněte, co smí každý druh poruchy změnit.

Zmapujte dvojice, než se dotknete CLI

Pokud lokalita A může vycházet z A1 nebo A2 a lokalita B může přijímat na B1 nebo B2, máte čtyři vnější dvojice adres. Většina návrhů potřebuje dvě z nich trvale a zbylé dvě považuje za volitelné. Zapište matici a označte každý řádek, protože každý slíbený řádek vás později stojí bránu, tunelové rozhraní a rozhodnutí o směrování.

Každá požadovaná dvojice potřebuje tři věci současně: dosažitelný underlay mezi přesně těmito adresami, vzájemné přijetí identity peera a zdrojové adresy na obou koncích a chráněnou zpětnou cestu. Dvojice, která funguje jen jedním směrem, tunel stejně ukáže a porucha se projeví později jako jednosměrný provoz aplikace.

Jedna brána na lokální zdroj, ne na vzdálenou lokalitu

Seznam vzdálených adres patří bráně, a stejně tak lokální zdroj. referenční dokumentace IKE bran drží vzdálené adresy, externí rozhraní, lokální adresu a detekci mrtvého peera jako samostatná nastavení, a o to právě jde: dva lokální zdroje znamenají dvě brány na dvou jednotkách st0. Sdílet mezi nimi politiku IKE je v pořádku; držet jednu bránu a doufat, že si sama vybere jiný zdroj, už ne.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Poté připojte tunely a dejte vzdálenému prefixu dva next hop, jeden na tunel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Zda jedna brána může držet dvě instrukce typu address, závisí na verzi a na tom, který proces IKE zařízení používá. Starší Junos založený na kmd bere jednu vzdálenou adresu na bránu; novější buildy zvládají více kandidátů, ale přidávají vlastní omezení, a klastry vysoké dostupnosti jsou častým místem, kde se tato podpora zužuje. Zkontrolujte poznámky k vydání pro váš přesný build, než to zkopírujete ze staršího chassis.

Potvrďte, které přiřazení paket přeneslo

Dvě SA a dva tunely neříkají, které z nich relaci předalo. Zeptejte se zařízení přímo a porovnejte pole s dvojicí, kterou jste zamýšleli:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Detailní výstup uvádí lokální a vzdálenou bránu pro každé přiřazení, což je nejrychlejší způsob, jak odhalit tunel vyjednaný ze zdroje, který jste nečekali. Pak sledujte čítače paketů na jednotku na st0.1 a st0.2, zatímco proháníte provoz; tunel, který nic nenese, si drží své SA a v přehledu vypadá zdravě.

Dejte každému druhu poruchy vlastní detektor

Živost peera, ztráta lokálního uplinku, stažení chráněné trasy a selhání aplikace jsou čtyři různé události. DPD odpovídá jen na první, takže ho nastavte s intervalem a prahem, které umíte obhájit, místo abyste nechali výchozí hodnotu a předpokládali, že pokrývá zbytek:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Monitorování tunelu, které testuje cíl uvnitř vzdálené podsítě, pokrývá případ, který DPD nevidí: IKE žije, brána odpovídá a chráněný prefix je přesto nedosažitelný. Vyberte, které z těch dvou má táhnout preferenci, protože když obě zaberou naráz, vznikne bouře změn místo čistého přepnutí.

Nezapomeňte na vzdálený konec. Preferovaná trasa, která zůstane na vzdálené lokalitě, dál ukazuje do tunelu, který jste už opustili, a žádný lokální časovač to nespraví. Publikujte stejnou logiku preference na obou peerech a poznamenejte, zda obnovený spoj může provoz převzít automaticky, nebo se musí přepnout ručně.

Pře-adresujte jeden spoj, aniž byste se dotkli druhého

Když vám ISP dá nový blok, měňte jednu relaci po druhé. Aktualizujte address nebo local-address na obou peerech pro tuto dvojici, commitněte a vymažte jen dotčená přiřazení podle indexu, místo abyste mazali všechna SA na zařízení. Globální vymazání vezme i zdravý tunel a promění servisní okno ve výpadek.

Uchovejte jeden neúspěšný tok a detail jeho relace jako důkaz, než cokoli uklidíte, a potom zopakujte výše uvedené kontroly na nové dvojici adres. Obnovení spoje je rozhodnutí o směrování, takže návrat berte jako samostatný otestovaný krok, místo abyste předpokládali, že stará preference se vrátí sama.

Uzavřete změnu krátkým kontrolním seznamem

Návrh dual-WAN tunelu je hotový, když umíte pojmenovat dvojici za každou relací, ne když jsou obě SA nahoře. Projděte níže uvedený seznam na zařízení, které jste skutečně změnili:

• Každá slíbená dvojice má bránu, jednotku st0 a položku trasy.
• Každý tunel byl viděn, jak nese pakety, ne jen jak drží SA.
• Oba konce se shodují na detekci a na tom, která strana obnovuje preferenci.
• Zpětná cesta každé dvojice je zapsaná vedle její cesty tam.

Pokud některý řádek selže, opravte tu dvojici, než přidáte další; skládání dvou napůl funkčních tunelů dělá čítače bezvýznamnými a chování failoveru nepředvídatelným.