Junos kahe WAN-iga IPsec VPN: lähtetee sidumine õige lüüsiga

Kaks WAN-linki saidi kohta tunduvad koondusena, kuni proovite tõestada, millist aadressipaari konkreetne voog tegelikult kasutas. SRX-il kannab üks IKE-lüüs ühte välisliidest ja ühte kohalikku aadressi; kaugkandidaatide loend ei loo teist kohalikku allikat. Seetõttu algab see ülevaade paari-maatriksist, mitte konfiguratsioonist, sest Junos commitib kergesti kujunduse, mis katab vaid poole kavatsetud kombinatsioonidest. Puutusin sellega kokku kahel SRX345s-l: varutunnel tõusis puhtalt üles ja tõmbas siiski seansi tagasilülitamisel maha.

Käige sammud järjekorras läbi: loetlege paarid, mida peate toetama, ehitage üks lüüs iga kohaliku allika kohta, kinnitage, milline assotsiatsioon liiklust kandis, ja alles siis otsustage, mida iga tõrkeliik muuta tohib.

Kaardistage paarid enne, kui CLI-d puudutate

Kui sait A saab lähtuda A1-st või A2-st ja sait B saab vastu võtta B1 või B2 peal, on teil neli välist aadressipaari. Enamik kujundusi vajab kahte neist pidevalt ja kohtleb ülejäänud kahte valikulisena. Kirjutage maatriks üles ja märkige iga rida, sest iga lubatud rida maksab teile hiljem lüüsi, tunneliliidese ja marsruudiotuse.

Iga vajalik paar vajab kolme asja korraga: kättesaadavat underlay'd täpselt nende aadresside vahel, vastastikust vastuvõttu partneri identiteedile ja lähteaadressile mõlemas otsas ning kaitstud tagasiminekuteed. Paar, mis töötab ainult ühes suunas, näitab ikkagi tunnelit, ja tõrge ilmneb hiljem rakenduse ühesuunalise liiklusena.

Üks lüüs iga kohaliku allika kohta, mitte iga kaugsaiti kohta

Kaugaadresside loend kuulub lüüsile, samuti kohalik allikas. IKE-lüüside viide hoiab kaugaadresse, välisliidest, kohalikku aadressi ja surnud partneri tuvastust eraldi seadetena ning see ongi mõte: kaks kohalikku allikat tähendavad kahte lüüsi kahe st0-ühiku peal. IKE-poliitika jagamine nende vahel on korras; ühe lüüsi hoidmine ja lootmine, et see valib ise teise allika, ei ole.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Seejäreld ühendage tunnelid ja andke kaugprefiksile kaks next hopi, üks tunneli kohta:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Kas üks lüüs tohib hoida kahte address tüüpi avaldist, sõltub versioonist ja sellest, millist IKE-protsessi seade käitab. Vanem kmd-põhine Junos võtab ühe kaugaadressi lüüsi kohta; uuemad buildid käsitlevad mitut kandidaati, kuid lisavad oma piirangud, ja kõrge käideldavusega klastrid on tavaline koht, kus see tugi aheneb. Kontrollige oma täpse buildi väljalaskemärkmeid, enne kui kopeerite selle vanemalt šassiilt.

Kinnitage, milline assotsiatsioon paketi kandis

Kaks SA-d ja kaks tunnelit ei ütle, milline neist seansi edasi saatis. Küsige seadmelt otse ja võrrelge välju paariga, mida kavatsesite:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Detailne väljund nimetab iga assotsiatsiooni kohaliku ja kauglüüsi, mis on kiireim viis märgata tunnelit, mis läbiräägiti ootamatust allikast. Seejärel jälgige liiklust läbi lastes ühiku kohta paketilugejaid st0.1 ja st0.2 peal; tunnel, mis midagi ei kanna, hoiab oma SA-d ja näeb kokkuvõttes terve välja.

Andke igale tõrkeliigile oma detektor

Partneri elujõud, kohaliku ühenduse kadu, kaitstud marsruudi tagasivõtmine ja rakenduse purunemine on neli erinevat sündmust. DPD vastab ainult esimesele, seega seadistage see intervalliga ja lävega, mida suudate kaitsta, selle asemel et jätta vaikeväärtus ja eeldada, et see katab ülejäänu:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tunneli jälgimine, mis testib sihtmärki kaugvõrgu sees, katab juhtumi, mida DPD ei näe: IKE on elus, lüüs vastab ja kaitstud prefiks on ikkagi kättesaamatu. Valige, milline kahest peaks tõmbama eelistust, sest kui mõlemad käivituvad korraga, tekib muudatuste torm, mitte puhas ümberlülitus.

Ärge unustage kaugotsta. Kaugsaiti jääv eelistatud marsruut osutab endiselt tunnelile, mille olete juba hüljanud, ja ükski kohalik taimer ei paranda seda. Avaldage sama eelistusloogika mõlemas partneris ja kirjutage üles, kas taastunud link tohib liikluse automaatselt tagasi võtta või tuleb see käsitsi ümber lülitada.

Andke ühele lingile uus aadress, teist puutumata

Kui teenusepakkuja annab uue ploki, muutke korraga üht seost. Värskendage selle paari jaoks mõlemas partneris address või local-address, tehke commit ja kustutage ainult mõjutatud assotsiatsioonid indeksi järgi, selle asemel et kustutada seadmelt kõik SA-d. Globaalne kustutamine viib kaasa ka terve tunneli ja muudab hooldusakna katkestuseks.

Enne millegi koristamist hoidke alles üks ebaõnnestunud voog ja selle seansi detailid tõendina, seejärel käivitage ülaltoodud kontrollid uuel aadressipaaril uuesti. Lingi taastamine on marsruudiotus, seega käsitlege naasmist eraldi testitud sammuna, selle asemel et eeldada, et vana eelistus tuleb ise tagasi.

Lõpetage muudatus lühikese kontrollnimekirjaga

Kahe WAN-iga tunnelikujundus on valmis siis, kui suudate nimetada iga seansi taga oleva paari, mitte siis, kui mõlemad SA-d on üleval. Käige allolev nimekiri läbi seadmel, mida tegelikult muutsite:

• Igal lubatud paaril on lüüs, st0-ühik ja marsruudikirje.
• Iga tunnelit on nähtud pakette kandmas, mitte ainult SA-d hoidmas.
• Mõlemad otsad nõustuvad tuvastuses ja selles, milline pool eelistuse taastab.
• Iga paari tagasitee on kirjas selle edasitee kõrval.

Kui mõni rida ei pea, parandage see paar enne järgmise lisamist; kahe pooltöötava tunneli virnastamine muudab loendurid mõttetuks ja failover'i käitumise ettearvamatuks.