IPsec eraside WAN-i kaudu: SRX-i poliitikapiirid, mida kontrollida

Eraside WAN saab kanda IPsec-tunneli väliseid pakette, seega peer-aadressid ei pea olema avalikud internetiaadressid. Muutub see tee, mille need välised paketid läbivad, ja õigused liidesel, mis neid vastu võtab. SRX-il on väline juhtimistee, tunneliliidese sidumine ja edastatava liikluse poliitika kolm eraldi objekti. Ühe tõrkeotsing, kui ülejäänud kaks on valed, on tavaline põhjus, miks tunnel alla jääb.

Märkige esmalt üles väline IKE tee

Kirjutage enne poliitika puudutamist üles neli väärtust: peer-aadress, IKE-d vastuvõttev kohalik liides, peerini jõudev marsruutimiskontekst ja liidese valiv marsruut. IKE-paketid on adresseeritud SRX-ile endale, seega vajavad need vastuvõtvas tsoonis host-inbound luba, mitte edastatava liikluse poliitikat. Eraside WAN-i aadress ei kõrvalda seda nõuet, sest pakett lõpeb ikkagi seadmes.

Kontrollige paigaldatud olekut käsuga show security ike sa ja konfiguratsiooni käsuga show configuration security ike. Esimene näitab, kas faas 1 on olemas; teine näitab, mida seade arvab, et peaks tegema.

Siduge tunneliliides õige poliitikaga

Marsruudipõhine VPN seob tunneliliidese VPN-objektiga ja kaitstud prefiksid suunatakse sellesse liidesesse. Märkige üles, milline liides, milline marsruut ja milline poliitika lubab rakendusi asjaomaste tsoonide vahel. Tsoon nimega trust on poliitika konteiner ja nimi ei tõesta, et vajalikud juhtimis- või andmepaketid on lubatud.

Lugege tegelikke sidumisi, mitte vana diagrammi: show configuration security ipsec vpn liidesega sidumise seade jaoks ja show configuration security policies tunnelitsoonile viitavate reeglite jaoks.

Kui kaitstud marsruut osutab mujale, võib tunnel olla üleval, samal ajal kui liiklus sinna kunagi ei jõua. See on marsruutimisprobleem IPsec-i kostüümis.

Hoidke peer-marsruut underlay peal

Marsruut välise peerini peab lahenema underlay kaudu, mitte rekursiivselt läbi tunneli, mille see loob. Kui peer-marsruut osutab tunneliliidesele, ajavad IKE-paketid taga omaenda tunnelit ja faas 1 ei lõpe kunagi. Kaitstud liikluse vastustee vajab oma õiget marsruuti ja poliitikat ning tavaliselt on see puuduv pool, kui üks suund töötab. Lugege peer-aadressi marsruutimistabeli kirjet ja kinnitage, et väljuv liides on WAN-liides.

Kontrollige seda käsuga show route 198.51.100.10, asendades tegeliku peer-aadressiga, ja kinnitage, et järgmine hüpe ei ole tunneliliides.

Kontrollige juhtimist ja teenust järjekorras

Liikuge ülespoole: faasi 1 olek, faasi 2 olek, seejärel tegelik rakendusvoog. show security ipsec sa loetleb turvaassotsiatsioonid ja show security flow session destination-prefix 10.60.0.0/16 näitab, kas kaitstud võrgu jaoks luuakse edastatud sessioone.

Terve juhtimissuhe ja toimiv andmetee on kaks erinevat tulemust, ja faasi 2 läbimine ei ütle midagi selle kohta, kas poliitika lubab rakendust. Katsetage üht lubatud voogu ja üht, mille poliitika peaks tagasi lükkama, et erinevus oleks nähtav.

Märkige koos üles peer-marsruut, host-inbound luba, tunnelisidumine, sisemine marsruut ja rakenduse poliitika. Need viis kirjet näitavad, milline kiht vastutab tulevase tõrke eest, ilma et peaks lootma pordisildile.