IPsec μέσω ιδιωτικού WAN: όρια πολιτικής στο SRX που πρέπει να ελεγχθούν

Ένα ιδιωτικό WAN μπορεί να μεταφέρει τα εξωτερικά πακέτα μιας σήραγγας IPsec, επομένως οι διευθύνσεις του ομότιμου δεν χρειάζεται να είναι δημόσιες διευθύνσεις διαδικτύου. Αυτό που αλλάζει είναι η διαδρομή που ακολουθούν αυτά τα εξωτερικά πακέτα και τα δικαιώματα στη διεπαφή που τα λαμβάνει. Σε ένα SRX, η εξωτερική διαδρομή ελέγχου, η σύνδεση της διεπαφής σήραγγας και η πολιτική προωθούμενης κίνησης είναι τρία ξεχωριστά αντικείμενα. Η αντιμετώπιση προβλήματος στο ένα ενώ τα άλλα δύο είναι λάθος είναι ο συνήθης λόγος που μια σήραγγα μένει κάτω.

Καταγράψτε πρώτα την εξωτερική διαδρομή IKE

Γράψτε τέσσερις τιμές πριν αγγίξετε την πολιτική: τη διεύθυνση του ομότιμου, τη τοπική διεπαφή που λαμβάνει IKE, το πλαίσιο δρομολόγησης που φτάνει στον ομότιμο και τη διαδρομή που επιλέγει αυτή τη διεπαφή. Τα πακέτα IKE απευθύνονται στο ίδιο το SRX, οπότε χρειάζονται άδεια host-inbound στη ζώνη λήψης, όχι πολιτική προωθούμενης κίνησης. Μια διεύθυνση ιδιωτικού WAN δεν αφαιρεί αυτή την απαίτηση, γιατί το πακέτο εξακολουθεί να τερματίζει στη συσκευή.

Ελέγξτε την εγκατεστημένη κατάσταση με show security ike sa και τη διαμόρφωση με show configuration security ike. Το πρώτο δείχνει αν υπάρχει φάση 1· το δεύτερο δείχνει τι πιστεύει η συσκευή ότι πρέπει να κάνει.

Συνδέστε τη διεπαφή σήραγγας με τη σωστή πολιτική

Ένα VPN βασισμένο σε δρομολόγηση συνδέει μια διεπαφή σήραγγας με ένα αντικείμενο VPN, και τα προστατευμένα προθέματα δρομολογούνται σε αυτή τη διεπαφή. Καταγράψτε ποια διεπαφή, ποια διαδρομή και ποια πολιτική επιτρέπει τις εφαρμογές μεταξύ των σχετικών ζωνών. Μια ζώνη με όνομα trust είναι δοχείο πολιτικής, και το όνομα δεν αποδεικνύει ότι τα απαιτούμενα πακέτα ελέγχου ή δεδομένων επιτρέπονται.

Διαβάστε τις πραγματικές συνδέσεις αντί για ένα παλιό διάγραμμα: show configuration security ipsec vpn για τη ρύθμιση σύνδεσης με διεπαφή και show configuration security policies για τους κανόνες που αναφέρονται στη ζώνη σήραγγας.

Αν η προστατευμένη διαδρομή δείχνει αλλού, η σήραγγα μπορεί να είναι πάνω ενώ η κίνηση δεν μπαίνει ποτέ σε αυτήν. Είναι πρόβλημα δρομολόγησης με στολή IPsec.

Κρατήστε τη διαδρομή του ομότιμου στο underlay

Η διαδρομή προς τον εξωτερικό ομότιμο πρέπει να επιλύεται μέσω του underlay, όχι αναδρομικά μέσω της σήραγγας που δημιουργεί. Αν η διαδρομή του ομότιμου δείχνει στη διεπαφή σήραγγας, τα πακέτα IKE κυνηγούν τη δική τους σήραγγα και η φάση 1 δεν ολοκληρώνεται ποτέ. Η διαδρομή απάντησης για την προστατευμένη κίνηση χρειάζεται τη δική της σωστή διαδρομή και πολιτική, και συνήθως είναι το μισό που λείπει όταν λειτουργεί μια κατεύθυνση. Διαβάστε την καταχώριση του πίνακα δρομολόγησης για τη διεύθυνση του ομότιμου και επιβεβαιώστε ότι η εξερχόμενη διεπαφή είναι η διεπαφή WAN.

Ελέγξτε το με show route 198.51.100.10, αντικαθιστώντας την πραγματική διεύθυνση του ομότιμου, και επιβεβαιώστε ότι το επόμενο άλμα δεν είναι διεπαφή σήραγγας.

Επαληθεύστε έλεγχο και υπηρεσία με σειρά

Δουλέψτε προς τα πάνω: κατάσταση φάσης 1, κατάσταση φάσης 2, μετά μια πραγματική ροή εφαρμογής. show security ipsec sa απαριθμεί τις ενώσεις ασφαλείας, και show security flow session destination-prefix 10.60.0.0/16 δείχνει αν δημιουργούνται προωθούμενες συνεδρίες για το προστατευμένο δίκτυο.

Μια υγιής σχέση ελέγχου και μια λειτουργική διαδρομή δεδομένων είναι δύο διαφορετικά αποτελέσματα, και η επιτυχία της φάσης 2 δεν λέει τίποτα για το αν η πολιτική επιτρέπει την εφαρμογή. Δοκιμάστε μια επιτρεπόμενη ροή και μια που η πολιτική θα έπρεπε να απορρίψει, ώστε η διαφορά να είναι ορατή.

Καταγράψτε μαζί τη διαδρομή του ομότιμου, την άδεια host-inbound, τη σύνδεση της σήραγγας, την εσωτερική διαδρομή και την πολιτική της εφαρμογής. Αυτές οι πέντε εγγραφές δείχνουν ποιο επίπεδο κατέχει μια μελλοντική αστοχία χωρίς να βασίζεται σε ετικέτα θύρας.