Junos Dual-WAN IPsec VPN: ligi la fontan vojon al la ĝusta enirejo

Du WAN-ligoj por loko aspektas kiel redundo ĝis vi provas pruvi, kiun adresparon difinita fluo efektive uzis. Sur SRX, unu IKE-enirejo portas unu eksteran interfacon kaj unu lokan adreson; listo de malproksimaj kandidatoj ne kreas duan lokan fonton. Tial ĉi tiu trairo komenciĝas per la para matrico anstataŭ per la agordo, ĉar Junos volonte commitas dezajnon, kiu kovras nur duonon de la planitaj kombinaĵoj. Mi trafis tion ĉe du SRX345s: la rezerva tunelo supreniris pure kaj tamen trenis la sesion malsupren ĉe la reenŝalto.

Trairu la paŝojn laŭorde: listigu la parojn, kiujn vi devas subteni, konstruu unu enirejon por ĉiu loka fonto, konfirmu, kiu asocio portis la trafikon, kaj nur poste decudu, kion ĉiu speco de misfunkcio rajtas ŝanĝi.

Mapu la parojn antaŭ ol tuŝi la CLI

Se loko A povas fonti el A1 aŭ A2 kaj loko B povas ricevi sur B1 aŭ B2, vi havas kvar eksterajn adresparojn. Plej multaj dezajnoj bezonas du el ili konstante kaj traktas la aliajn du kiel laŭvolajn. Skribu la matricon kaj marku ĉiun vicon, ĉar ĉiu promesita vico kostas al vi poste enirejon, tunelan interfacon kaj enkursigan decidon.

Ĉiu bezonata paro bezonas tri aferojn samtempe: atingeblan bazon inter ĝuste tiuj adresoj, reciprokan akcepton de la identeco de la partnero kaj de la fonta adreso ĉe ambaŭ finoj, kaj protektitan revenan vojon. Paro, kiu funkcias nur en unu direkto, ankoraŭ montras tunelon, kaj la misfunkcio aperas poste kiel unudirekta apliktrafiko.

Unu enirejo por ĉiu loka fonto, ne por ĉiu malproksima loko

La listo de malproksimaj adresoj apartenas al enirejo, kaj same la loka fonto. La referenco pri IKE-enirejoj tenas malproksimajn adresojn, eksteran interfacon, lokan adreson kaj mortpartnero-detekton kiel apartajn agordojn, kaj ĝuste tio estas la punkto: du lokaj fontoj signifas du enirejojn super du st0-unuoj. Dividi la IKE-politikon inter ili estas en ordo; teni unu enirejon kaj esperi, ke ĝi mem elektos alian fonton, ne.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Poste alligu la tunelojn kaj donu al la malproksima prefikso du sekvajn saltojn, unu por ĉiu tunelo:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Ĉu unu enirejo rajtas teni du instrukciojn de la tipo address dependas de la eldono kaj de tio, kiun IKE-procezon la aparato rulas. Pli malnovaj kmd-bazitaj Junos akceptas unu solan malproksiman adreson por enirejo; pli novaj versioj traktas plurajn kandidatojn sed aldonas proprajn limigojn, kaj alt-disponeblaj klasteroj estas ofta loko, kie tiu subteno mallarĝiĝas. Kontrolu la eldonnotojn por via preciza versio antaŭ ol kopii tion de pli malnova ĉasio.

Konfirmu, kiu asocio portis la paketon

Du SA-oj kaj du tuneloj ne diras, kiu el ili plusendis la sesion. Demandu la aparaton rekte kaj komparu la kampojn kun la paro, kiun vi celis:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

La detala eligo nomas la lokan kaj la malproksiman enirejon por ĉiu asocio, kio estas la plej rapida maniero rimarki tunelon, kiu interkonsentis el fonto, kiun vi ne atendis. Poste observu la pakaĵokalkulilojn por unuo sur st0.1 kaj st0.2 dum vi sendas trafikon; tunelo, kiu portas nenion, konservas sian SA-on kaj aspektas sana en superrigardo.

Donu al ĉiu speco de misfunkcio sian propran detektilon

Viveco de la partnero, perdo de la loka suprenligo, retiriĝo de la protektita vojo kaj paneo de la aplikaĵo estas kvar malsamaj eventoj. DPD respondas nur al la unua, do agordu ĝin kun intervalo kaj sojlo, kiujn vi povas defendi, anstataŭ lasi la defaŭlton kaj supozi, ke ĝi kovras la reston:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tunela monitorado, kiu testas celon ene de la malproksima subreto, kovras la kazon, kiun DPD ne vidas: IKE vivas, la enirejo respondas kaj la protektita prefikso tamen estas neatingebla. Elektu, kiu el la du tiru la preferon, ĉar se ambaŭ ekfunkcias samtempe, rezultas ŝtormo de ŝanĝoj anstataŭ pura failover.

Ne forgesu la malproksiman finon. Preferata vojo, kiu restas instalita ĉe la malproksima loko, daŭre montras en tunelon, kiun vi jam forlasis, kaj neniu loka tempigilo tion riparas. Publikigu la saman preferan logikon ĉe ambaŭ partneroj kaj notu, ĉu rekuperita ligo rajtas repreni la trafikon aŭtomate aŭ devas esti ŝaltita permane.

Readresi unu ligon sen tuŝi la alian

Kiam ISP donas al vi novan blokon, ŝanĝu unu rilaton samtempe. Ĝisdatigu address aŭ local-address ĉe ambaŭ partneroj por tiu paro, faru commit, kaj forigu nur la tuŝitajn asociojn laŭ indekso anstataŭ forigi ĉiujn SA-ojn sur la aparato. Tutmonda forigo forprenas ankaŭ la sanan tunelon kaj transformas prizorgan fenestron en paneon.

Konservu unu fiaskintan fluon kaj ĝian sesian detalon kiel pruvon antaŭ ol vi ion purigas, poste rerulu la kontrolojn supre kontraŭ la nova adresparo. Restarigi ligon estas enkursiga decido, do traktu la revenon kiel propran testitan paŝon anstataŭ supozi, ke la malnova prefereco revenas mem.

Fermu la ŝanĝon per mallonga kontrol-listo

Dual-WAN-tunela dezajno estas finita, kiam vi povas nomi la paron malantaŭ ĉiu sesio, ne kiam ambaŭ SA-oj estas supren. Trairu la liston sube sur la aparato, kiun vi efektive ŝanĝis:

• Ĉiu promesita paro havas enirejon, st0-unuon kaj enkursigan eron.
• Ĉiu tunelo estis vidita portanta pakaĵojn, ne nur tenanta SA-on.
• Ambaŭ finoj konsentas pri detekto kaj pri tio, kiu flanko restarigas la preferon.
• La reena vojo por ĉiu paro estas notita apud sia antaŭa vojo.

Se linio malsukcesas, riparu tiun paron antaŭ ol aldoni la sekvan; staki du duone funkciantajn tunelojn unu sur la alian igas la kalkulilojn sensignifaj kaj la failover-konduton neantaŭvidebla.