IPsec přes privátní WAN: hranice politik na SRX, které je třeba zkontrolovat

Privátní WAN může přenášet vnější pakety tunelu IPsec, takže adresy protějšku nemusí být veřejné internetové adresy. Mění se cesta, kterou tyto vnější pakety procházejí, a oprávnění na rozhraní, které je přijímá. Na SRX jsou vnější řídicí cesta, vazba rozhraní tunelu a politika předávaného provozu tři samostatné objekty. Odstraňování závady v jednom, zatímco další dva jsou špatně, je obvyklý důvod, proč tunel zůstává dole.

Nejprve zaznamenejte vnější cestu IKE

Předtím než se dotknete politiky, zapište čtyři hodnoty: adresu protějšku, místní rozhraní, které přijímá IKE, kontext směrování, který se dostane k protějšku, a trasu, která toto rozhraní vybírá. Pakety IKE jsou adresovány samotnému SRX, takže potřebují oprávnění host-inbound v přijímací zóně, nikoli politiku předávaného provozu. Privátní adresa WAN tento požadavek neruší, protože paket stále končí na zařízení.

Zkontrolujte nainstalovaný stav pomocí show security ike sa a konfiguraci pomocí show configuration security ike. První ukazuje, zda existuje fáze 1; druhá ukazuje, co si zařízení myslí, že by mělo dělat.

Přivažte rozhraní tunelu ke správné politice

VPN založená na směrování přivazuje rozhraní tunelu k objektu VPN a chráněné prefixy se směrují do tohoto rozhraní. Zaznamenejte, které rozhraní, která trasa a která politika povoluje aplikace mezi příslušnými zónami. Zóna s názvem trust je kontejner politik a název nedokazuje, že požadované řídicí nebo datové pakety jsou povoleny.

Čtěte skutečné vazby místo starého diagramu: show configuration security ipsec vpn pro nastavení vazby na rozhraní a show configuration security policies pro pravidla, která odkazují na zónu tunelu.

Pokud chráněná trasa ukazuje jinam, tunel může být nahoře, zatímco do něj provoz nikdy nevstoupí. To je problém směrování v kostýmu IPsec.

Držte trasu k protějšku na underlay

Trasa k vnějšímu protějšku se musí vyřešit přes underlay, ne rekurzivně přes tunel, který vytváří. Pokud trasa k protějšku ukazuje na rozhraní tunelu, pakety IKE honí svůj vlastní tunel a fáze 1 se nikdy nedokončí. Zpětná cesta pro chráněný provoz potřebuje vlastní správnou trasu a politiku a obvykle je to chybějící polovina, když jeden směr funguje. Přečtěte si záznam v tabulce směrování pro adresu protějšku a potvrďte, že odchozí rozhraní je rozhraní WAN.

Zkontrolujte to pomocí show route 198.51.100.10, s dosazenou skutečnou adresou protějšku, a potvrďte, že další hop není rozhraní tunelu.

Ověřte řízení a službu v pořadí

Postupujte nahoru: stav fáze 1, stav fáze 2 a potom skutečný tok aplikace. show security ipsec sa vypisuje bezpečnostní asociace a show security flow session destination-prefix 10.60.0.0/16 ukazuje, zda se pro chráněnou síť vytvářejí předávané relace.

Zdravý řídicí vztah a funkční datová cesta jsou dva různé výsledky, a úspěšná fáze 2 nic neříká o tom, zda politika aplikaci povoluje. Otestujte jeden povolený tok a jeden, který by politika měla odmítnout, aby byl rozdíl vidět.

Zaznamenejte společně trasu k protějšku, oprávnění host-inbound, vazbu tunelu, vnitřní trasu a politiku aplikace. Těchto pět záznamů ukazuje, která vrstva bude odpovídat za budoucí selhání, aniž by se spoléhalo na označení portu.