VPN IPsec Dual-WAN ar Junos: paru'r llwybr ffynhonnell â'r giât gywir

Mae dau linc WAN y safle yn edrych fel einyddiant nes i chi geisio profi pa bâr cyfeiriad a ddefnyddiodd llif penodol mewn gwirionedd. Ar SRX, mae un giât IKE yn cario un rhyngwyneb allanol ac un cyfeiriad lleol; nid yw rhestr o ymgeiswyr pell yn creu ail ffynhonnell leol. Dyna pam mae'r daith hon yn dechrau gyda matrics y parau yn hytrach na'r cyfluniad, oherwydd mae Junos yn commitio'n hawdd ddyluniad sy'n cwmpasu dim ond hanner y cyfuniadau y bwriadwyd. Fe wnes i gwrdd â hyn ar ddau SRX345s: cododd y twnnel wrth gefn yn lân ac eto llusgodd y sesiwn i lawr ar y ffordd yn ôl.

Ewch drwy'r camau yn eu trefn: rhestrwch y parau y mae'n rhaid eu cefnogi, adeiladwch un giât fesul ffynhonnell leol, cadarnhewch pa gysylltiad a gariodd y traffig, a dim ond wedyn penderfynu beth gall pob math o fethiant ei newid.

Mapio'r parau cyn cyffwrdd â'r CLI

Os gall safle A ddeillio o A1 neu A2 a gall safle B dderbyn ar B1 neu B2, mae gennych bedwar pâr cyfeiriad allanol. Mae'r rhan fwyaf o ddyluniadau angen dau ohonynt yn barhaus ac yn trin y ddau arall fel rhai dewisol. Ysgrifennwch y matrics a marciwch bob rhes, oherwydd mae pob rhes a addoer yn costio giât, rhyngwyneb twnnel a phenderfyniad llwybrau ichi yn ddiweddarach.

Mae angen tri pheth ar bob pâr gofynnol ar yr un pryd: underlay cyrraeddadwy rhwng yr union gyfeiriadau hynny, derbyniad cyfatebol o hunaniaeth y partner a'r cyfeiriad ffynhonnell yn y ddau ben, a llwybr dychwelyd gwarchodedig. Bydd pâr sy'n gweithio mewn un cyfeiriad yn unig yn dal i ddangos twnnel, a bydd y methiant yn dod i'r amlwg yn ddiweddarach fel traffig cymhwysiad un ffordd.

Un giât fesul ffynhonnell leol, nid fesul safle pell

Mae'r rhestr o gyfeiriadau pell yn perthyn i giât, ac felly hefyd y ffynhonnell leol. cyfeirlyfr giâtiau IKE yn cadw cyfeiriadau pell, rhyngwyneb allanol, cyfeiriad lleol a chanfod partner marw fel gosodiadau ar wahân, a dyna'r pwynt cyfan: mae dwy ffynhonnell leol yn golygu dwy giât ar ddau uned st0. Mae rhannu'r polisi IKE rhyngddynt yn iawn; mae cadw un giât a gobeithio y bydd yn dewis ffynhonnell arall ei hun yn bendant ddim.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Yna cysylltwch y twneli a rhowch ddau next hop i'r rhagddodiad pell, un fesul twnnel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Mae a all un giât ddal dau ddatganiad o fath address yn dibynnu ar y rhyddhad ac ar ba broses IKE mae'r blwch yn ei rhedeg. Mae Junos hŷn yn seiliedig ar kmd yn derbyn un cyfeiriad pell fesul giât; mae adeiladau newydd yn trin sawl ymgeisydd ond yn ychwanegu eu cyfyngiadau eu hunain, ac mae clwstwr argaeledd uchel yn lle cyffredin lle mae'r gefnogaeth honno'n culhau. Gwiriwch y nodiadau rhyddhau ar gyfer eich union adeilad cyn copïo hwn o siasi hŷn.

Cadarnhewch pa gysylltiad a gariodd y pecyn

Nid yw dwy SA a dau dwnnel yn dweud pa un a anfonodd y sesiwn ymlaen. Holwch y blwch yn uniongyrchol a chymharwch y meysydd â'r pâr y bwriadwyd:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Mae'r allbwn manwl yn nodi'r giât leol a'r giât bell ar gyfer pob cysylltiad, sef y ffordd gyflymaf i sylwi ar dwnnel a drafodwyd o ffynhonnell nad oeddech yn ei disgwyl. Yna gwyliwch y cyfrifwyr pecynnau fesul uned ar st0.1 a st0.2 wrth borthi traffig drwodd; mae twnnel nad yw'n cario dim yn cadw ei SA ac yn edrych yn iach mewn crynodeb.

Rhowch ei ddetector ei hun i bob math o fethiant

Mae bywioldeb y partner, colli'r linc lan leol, tynnu'r llwybr gwarchodedig a chwalu'r cymhwysiad yn bedwar digwyddiad gwahanol. Dim ond i'r cyntaf mae DPD yn ateb, felly cyfluniwch ef ag egwyl a throthwy y gallwch eu hamddiffyn yn lle gadael y rhagosodiad a thybio ei fod yn cwmpasu'r gweddill:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Mae monitro twnnel sy'n profi cyrchfan y tu mewn i'r isrwyd bell yn cwmpasu'r achos nad yw DPD yn ei weld: mae IKE yn fyw, mae'r giât yn ateb, ac mae'r rhagddodiad gwarchodedig yn anhygyrch beth bynnag. Dewiswch pa un o'r ddau ddylai dynnu blaenoriaeth, oherwydd os bydd y ddau yn tanio ar yr un pryd ceir storm o newidiadau yn lle newid glân.

Peidiwch ag anghofio'r pen pell. Mae llwybr a ffefrir sy'n aros yn y safle pell yn dal i bwyntio i mewn i dwnnel rydych chi eisoes wedi'i adael, ac nid oes unrhyw amserydd lleol yn trwsio hynny. Cyhoeddwch yr un rhesymeg blaenoriaeth ar y ddau bartner, a chofnodwch a all linc a adferwyd gymryd y traffig yn ôl yn awtomatig neu a oes rhaid ei newid â llaw.

Ailgyfeirio un linc heb gyffwrdd â'r llall

Pan fydd ISP yn rhoi bloc newydd ichi, newidiwch un berthynas ar y tro. Diweddarwch address neu local-address ar y ddau bartner ar gyfer y pâr hwnnw, gwnewch commit, a chliriwch yn unig y cysylltiadau yr effeithiwyd arnynt yn ôl mynegai yn lle clirio pob SA ar y blwch. Mae clirio byd-eang yn cymryd y twnnel iach hefyd ac yn troi ffenestr cynnal a chadw yn doriad.

Cadwch un llif a fethodd a manylion ei sesiwn fel tystiolaeth cyn i chi lanhau unrhyw beth, yna rhedeg y gwiriadau uchod eto ar y pâr cyfeiriad newydd. Mae adfer linc yn benderfyniad llwybrau, felly tridiwch y dychweliad fel cam penodol a brofwyd yn lle tybio bod yr hen flaenoriaeth yn dychwelyd ohoni ei hun.

Caewch y newid â rhestr wirio fer

Mae dyluniad twnnel dual-WAN yn gorffen pan allwch enwi'r pâr y tu ôl i bob sesiwn, nid pan fydd y ddwy SA i fyny. Ewch drwy'r rhestr isod ar y blwch y gwnaethoch ei newid mewn gwirionedd:

• Mae gan bob pâr a addawyd giât, uned st0 a choffnod llwybr.
• Mae pob twnnel wedi'i weld yn cario pecynnau, nid yn unig yn dal SA.
• Mae'r ddau ben yn cytuno ar ganfod ac ar ba ochr sy'n adfer blaenoriaeth.
• Mae llwybr dychwelyd pob pâr wedi'i ysgrifennu wrth ymyl ei lwybr ymlaen.

Os bydd rhes yn methu, trwsiwch y pâr hwnnw cyn ychwanegu'r nesaf; mae pentwr o ddau dwnnel hanner-gweithiol yn gwneud y cyfrifwyr yn ddiystyr a'r ymddygiad failover yn amhosibl ei ragweld.