Junos Dual-WAN IPsec VPN: αντιστοίχιση της διαδρομής πηγής με τη σωστή πύλη

Δύο ζεύξεις WAN ανά τοποθεσία μοιάζουν με πλεονασμό μέχρι να προσπαθήσετε να αποδείξετε ποιο ζεύγος διευθύνσεων χρησιμοποίησε πραγματικά μια δεδομένη ροή. Σε ένα SRX, μία πύλη IKE μεταφέρει μία εξωτερική διεπαφή και μία τοπική διεύθυνση· μια λίστα απομακρυσμένων υποψηφίων δεν δημιουργεί δεύτερη τοπική πηγή. Γι’ αυτό αυτή η περιήγηση ξεκινά από τον πίνακα ζευγών και όχι από τη διαμόρφωση, επειδή το Junos commit-άρει άνετα ένα σχέδιο που καλύπτει μόνο το μισό των συνδυασμών που σκοπεύατε. Το συνάντησα σε δύο SRX345s: η εφεδρική σήραγγα ανέβηκε καθαρά και παρόλα αυτά έριξε τη συνεδρία στην επιστροφή.

Ακολουθήστε τα βήματα με τη σειρά: απαριθμήστε τα ζεύγη που πρέπει να υποστηρίξετε, χτίστε μία πύλη ανά τοπική πηγή, επιβεβαιώστε ποια συσχέτιση μετέφερε την κίνηση και μόνο τότε αποφασίστε τι επιτρέπεται να αλλάξει κάθε είδος βλάβης.

Χαρτογραφήστε τα ζεύγη πριν αγγίξετε το CLI

Αν η τοποθεσία A μπορεί να προέρχεται από το A1 ή το A2 και η τοποθεσία B μπορεί να δέχεται στο B1 ή το B2, έχετε τέσσερα εξωτερικά ζεύγη διευθύνσεων. Τα περισσότερα σχέδια χρειάζονται δύο από αυτά συνεχώς και αντιμετωπίζουν τα άλλα δύο ως προαιρετικά. Γράψτε τον πίνακα και σημειώστε κάθε γραμμή, γιατί κάθε υποσχόμενη γραμμή σας κοστίζει αργότερα μία πύλη, μία διεπαφή σήραγγας και μία απόφαση δρομολόγησης.

Κάθε απαιτούμενο ζεύγος χρειάζεται τρία πράγματα ταυτόχρονα: ένα προσβάσιμο underlay ανάμεσα σε αυτές ακριβώς τις διευθύνσεις, αμοιβαία αποδοχή της ταυτότητας του ομολόγου και της διεύθυνσης πηγής στα δύο άκρα, και μια προστατευμένη διαδρομή επιστροφής. Ένα ζεύγος που λειτουργεί μόνο προς μία κατεύθυνση θα δείξει πάντως σήραγγα, και η βλάβη θα εμφανιστεί αργότερα ως μονόδρομη κίνηση εφαρμογής.

Μία πύλη ανά τοπική πηγή, όχι ανά απομακρυσμένη τοποθεσία

Η λίστα απομακρυσμένων διευθύνσεων ανήκει σε μια πύλη, όπως και η τοπική πηγή. Η αναφορά των πυλών IKE κρατά τις απομακρυσμένες διευθύνσεις, την εξωτερική διεπαφή, την τοπική διεύθυνση και την ανίχνευση νεκρού ομολόγου ως ξεχωριστές ρυθμίσεις, και αυτό είναι ακριβώς το νόημα: δύο τοπικές πηγές σημαίνουν δύο πύλες πάνω σε δύο μονάδες st0. Ο διαμοιρασμός της πολιτικής IKE μεταξύ τους είναι εντάξει· το να κρατήσετε μία πύλη και να ελπίζετε ότι θα επιλέξει μόνη της άλλη πηγή δεν είναι.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Στη συνέχεια συνδέστε τις σήραγγες και δώστε στο απομακρυσμένο πρόθεμα δύο next hops, ένα ανά σήραγγα:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Το αν μία πύλη μπορεί να κρατήσει δύο εντολές του τύπου address εξαρτάται από την έκδοση και από το ποια διεργασία IKE εκτελεί η συσκευή. Παλαιότερα Junos βασισμένα στο kmd δέχονται μία μόνο απομακρυσμένη διεύθυνση ανά πύλη· οι νεότερες εκδόσεις χειρίζονται πολλούς υποψηφίους αλλά προσθέτουν δικούς τους περιορισμούς, και τα clusters υψηλής διαθεσιμότητας είναι συχνό σημείο όπου αυτή η υποστήριξη στενεύει. Ελέγξτε τις σημειώσεις έκδοσης για την ακριβή σας έκδοση πριν το αντιγράψετε από παλαιότερο πλαίσιο.

Επιβεβαιώστε ποια συσχέτιση μετέφερε το πακέτο

Δύο SAs και δύο σήραγγες δεν λένε ποια από αυτές προώθησε τη συνεδρία. Ρωτήστε τη συσκευή απευθείας και συγκρίνετε τα πεδία με το ζεύγος που είχατε στο μυαλό σας:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Η λεπτομερής έξοδος αναφέρει την τοπική και την απομακρυσμένη πύλη για κάθε συσχέτιση, και είναι ο ταχύτερος τρόπος να εντοπίσετε μια σήραγγα που διαπραγματεύτηκε από πηγή που δεν περιμένατε. Έπειτα παρακολουθήστε τους μετρητές πακέτων ανά μονάδα στα st0.1 και st0.2 όσο περνάτε κίνηση· μια σήραγγα που δεν μεταφέρει τίποτα κρατά το SA της και φαίνεται υγιής σε μια σύνοψη.

Δώστε σε κάθε είδος βλάβης τον δικό του ανιχνευτή

Η ζωτικότητα του ομολόγου, η απώλεια της τοπικής ανόδου, η απόσυρση της προστατευμένης διαδρομής και η αστοχία της εφαρμογής είναι τέσσερα διαφορετικά γεγονότα. Το DPD απαντά μόνο στο πρώτο, οπότε ρυθμίστε το με διάστημα και κατώφλι που μπορείτε να υπερασπιστείτε αντί να αφήσετε την προεπιλογή και να υποθέσετε ότι καλύπτει τα υπόλοιπα:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Η παρακολούθηση σήραγγας που δοκιμάζει έναν προορισμό μέσα στο απομακρυσμένο υποδίκτυο καλύπτει την περίπτωση που το DPD δεν βλέπει: το IKE είναι ζωντανό, η πύλη απαντά και το προστατευμένο πρόθεμα παραμένει απρόσιτο. Επιλέξτε ποιο από τα δύο πρέπει να τραβήξει την προτίμηση, γιατί αν ενεργοποιηθούν και τα δύο ταυτόχρονα προκύπτει καταιγίδα αλλαγών αντί για καθαρή εναλλαγή.

Μην ξεχάσετε το απομακρυσμένο άκρο. Μια προτιμώμενη διαδρομή που παραμένει εγκατεστημένη στην απομακρυσμένη τοποθεσία εξακολουθεί να δείχνει σε σήραγγα που έχετε ήδη εγκαταλείψει, και κανένα τοπικό χρονόμετρο δεν το διορθώνει. Δημοσιεύστε την ίδια λογική προτίμησης και στα δύο ομόλογα, και καταγράψτε αν μια αποκατεστημένη ζεύξη μπορεί να πάρει την κίνηση πίσω αυτόματα ή πρέπει να αλλάξει χειροκίνητα.

Διευθυνσιοδοτήστε ξανά μία ζεύξη χωρίς να αγγίξετε την άλλη

Όταν ένας πάροχος σας δώσει νέο μπλοκ, αλλάξτε μία σχέση κάθε φορά. Ενημερώστε το address ή το local-address και στα δύο ομόλογα για αυτό το ζεύγος, κάντε commit, και καθαρίστε μόνο τις επηρεαζόμενες συσχετίσεις κατά δείκτη αντί να καθαρίσετε όλα τα SAs στη συσκευή. Ένας καθολικός καθαρισμός παίρνει και την υγιή σήραγγα και μετατρέπει ένα παράθυρο συντήρησης σε διακοπή.

Κρατήστε μία αποτυχημένη ροή και τη λεπτομέρεια της συνεδρίας της ως απόδειξη πριν καθαρίσετε οτιδήποτε, έπειτα εκτελέστε ξανά τους παραπάνω ελέγχους στο νέο ζεύγος διευθύνσεων. Η επαναφορά μιας ζεύξης είναι απόφαση δρομολόγησης, οπότε αντιμετωπίστε την επιστροφή ως ξεχωριστό δοκιμασμένο βήμα αντί να υποθέσετε ότι η παλιά προτίμηση επιστρέφει μόνη της.

Κλείστε την αλλαγή με έναν σύντομο κατάλογο ελέγχου

Ένα σχέδιο σήραγγας dual-WAN ολοκληρώνεται όταν μπορείτε να ονομάσετε το ζεύγος πίσω από κάθε συνεδρία, όχι όταν και τα δύο SAs είναι επάνω. Περάστε την παρακάτω λίστα στη συσκευή που αλλάξατε πραγματικά:

• Κάθε υποσχεμένο ζεύγος έχει πύλη, μονάδα st0 και καταχώριση δρομολόγησης.
• Κάθε σήραγγα έχει δει να μεταφέρει πακέτα, όχι μόνο να κρατά SA.
• Και τα δύο άκρα συμφωνούν στην ανίχνευση και στο ποια πλευρά επαναφέρει την προτίμηση.
• Η διαδρομή επιστροφής κάθε ζεύγους είναι γραμμένη δίπλα στη διαδρομή μετάβασής του.

Αν μια γραμμή αποτύχει, διορθώστε αυτό το ζεύγος πριν προσθέσετε το επόμενο· δύο μισοδουλεμένες σήραγγες η μία πάνω στην άλλη κάνουν τους μετρητές άχρηστους και τη συμπεριφορά failover απρόβλεπτη.