IPsec dros WAN breifat: ffiniau polisi SRX i'w gwirio

Gall WAN breifat gario'r pecynnau allanol twnnel IPsec, felly nid oes rhaid i gyfeiriadau'r cymar fod yn gyfeiriadau rhyngrwyd cyhoeddus. Yr hyn sy'n newid yw'r llwybr y mae'r pecynnau allanol hynny'n ei ddilyn a'r caniatadau ar y rhyngwyneb sy'n eu derbyn. Ar SRX, mae llwybr rheoli allanol, cysylltiad rhyngwyneb y twnnel a'r polisi traffig a anfonir ymlaen yn dri gwrthrych ar wahân. Datrys un tra bo'r ddau arall yn anghywir yw'r rheswm arferol dros i dwnnel aros i lawr.

Cofnodwch lwybr IKE allanol yn gyntaf

Ysgrifennwch bedwar gwerth cyn cyffwrdd â'r polisi: cyfeiriad y cymar, y rhyngwyneb lleol sy'n derbyn IKE, y cyd-destun llwybro sy'n cyrraedd y cymar a'r llwybr sy'n dewis y rhyngwyneb hwnnw. Mae pecynnau IKE wedi'u cyfeirio at yr SRX ei hun, felly maen nhw angen caniatâd host-inbound ar y parth derbyn, nid polisi traffig a anfonir ymlaen. Nid yw cyfeiriad WAN breifat yn dileu'r gofyniad hwnnw, oherwydd mae'r pecyn yn dal i derfynu ar y ddyfais.

Gwiriwch y cyflwr sydd wedi'i osod gyda show security ike sa a'r ffurfweddiad gyda show configuration security ike. Mae'r cyntaf yn dweud a oes cam 1; mae'r ail yn dweud beth y mae'r ddyfais yn credu y dylai fod yn ei wneud.

Cysylltwch ryngwyneb y twnnel â'r polisi cywir

VPN sy'n seiliedig ar lwybro yn cysylltu rhyngwyneb twnnel â gwrthrych VPN, ac mae'r rhagddodiadau gwarchodedig yn cael eu llwybro i'r rhyngwyneb hwnnw. Cofnodwch pa ryngwyneb, pa lwybr a pha bolisi sy'n caniatáu'r cymwysiadau rhwng y parthau perthnasol. Mae parth o'r enw trust yn gynhwysydd polisi, ac nid yw'r enw'n profi bod y pecynnau rheoli neu ddata gofynnol yn cael eu caniatáu.

Darllenwch y cysylltiadau gwirioneddol yn lle diagram hen: show configuration security ipsec vpn ar gyfer y gosodiad cysylltu â rhyngwyneb a show configuration security policies ar gyfer y rheolau sy'n cyfeirio at barth y twnnel.

Os yw'r llwybr gwarchodedig yn pwyntio i rywle arall, gall y twnnel fod i fyny tra nad yw traffig byth yn mynd i mewn iddo. Problem llwybro yw hon sy'n gwisgo gwisg IPsec.

Cadwch lwybr y cymar ar yr underlay

Rhaid i'r llwybr i'r cymar allanol ddatrys drwy'r underlay, nid yn ailadroddus drwy'r twnnel y mae'n ei sefydlu. Os yw llwybr y cymar yn pwyntio at ryngwyneb y twnnel, mae pecynnau IKE yn erlid eu twnnel eu hunain ac nid yw cam 1 byth yn cwblhau. Mae angen ei lwybr a'i bolisi cywir ei hun ar y llwybr ateb ar gyfer traffig gwarchodedig, a hwnnw fel arfer yw'r hanner sydd ar goll pan fydd un cyfeiriad yn gweithio. Darllenwch y cofnod yn nhabl llwybro ar gyfer cyfeiriad y cymar a chadarnhewch mai'r rhyngwyneb WAN yw'r rhyngwyneb allan.

Gwiriwch hyn gyda show route 198.51.100.10, gan roi cyfeiriad go iawn y cymar yn ei le, a chadarnhewch nad rhyngwyneb twnnel yw'r naid nesaf.

Gwiriwch reolaeth a gwasanaeth yn eu trefn

Gweithiwch tuag i fyny: cyflwr cam 1, cyflwr cam 2, yna llif cymhwysiad go iawn. show security ipsec sa yn rhestru'r cymdeithasau diogelwch, a show security flow session destination-prefix 10.60.0.0/16 yn dangos a yw sesiynau a anfonir ymlaen yn cael eu creu ar gyfer y rhwydwaith gwarchodedig.

Mae perthynas reoli iach a llwybr data gweithredol yn ddau ganlyniad gwahanol, ac nid yw cam 2 yn pasio yn dweud dim am a yw'r polisi'n caniatáu'r cymhwysiad. Profwch un llif a ganiateir ac un y dylai'r polisi ei wrthod, fel bod y gwahaniaeth yn weladwy.

Cofnodwch lwybr y cymar, y caniatâd host-inbound, cysylltiad y twnnel, y llwybr mewnol a pholisi'r cymhwysiad gyda'i gilydd. Mae'r pum cofnod hyn yn dangos pa haen sy'n berchen ar fethiant yn y dyfodol heb ddibynnu ar label porth.