Junos biko WAN IPsec VPN: iturburu-bidea atebide egokiarekin parekatzea

Tokiko bi WAN estekek soberakina dirudite, fluxu jakin batek benetan zein helbide pare erabili zuen frogatzen saiatu arte. SRX batean, IKE atebide batek kanpoko interfaze bat eta tokiko helbide bat darama; urrutiko hautagaien zerrendak ez du bigarren tokiko iturbururik sortzen. Horregatik hasten da gida hau pareen matrizetik eta ez konfiguraziotik, Junos-ek erraz commit egiten baitu nahi zenituen konbinazioen erdia baino hartzen ez duen diseinu bat. Hau bi SRX345s-etan topatu nuen: babesko tunela garbi igo zen eta itzultzean saioa behera bota zuen hala ere.

Jarraitu urratsak hurrenez hurren: zerrendatu lagundu behar dituzun pareak, eraiki atebide bat tokiko iturburu bakoitzeko, egiaztatu zein elkartek eraman zuen trafikoa, eta horren ondoren bakarrik erabaki zer alda dezakeen hutsegite mota bakoitzak.

Kartografiatu pareak CLI ukitu aurretik

A gunetik A1 edo A2tik abia badaiteke eta B gunetik B1 edo B2n jaso badaiteke, kanpoko lau helbide pare dituzu. Diseinu gehienek horietako bi behar dituzte etengabe eta beste biak hautazko gisa hartzen dituzte. Idatzi matrizea eta markatu errenkada bakoitza, agindutako errenkada bakoitzak atebide bat, tunel interfaze bat eta bideratze-erabaki bat kostatuko dizkizulako geroago.

Beharrezko pare bakoitzak hiru gauza behar ditu aldi berean: helbide horien arteko underlay irisgarria, bi muturretan parekidearen nortasunarekiko eta iturburu-helbidearekiko elkarrekiko onarpena, eta itzulerako bide babestua. Norabide bakarrean bakarrik funtzionatzen duen pare batek tunel bat erakutsiko du oraindik, eta huts egitea geroago agertuko da aplikazioaren norabide bakarreko trafiko gisa.

Atebide bat tokiko iturburu bakoitzeko, ez urrutiko gune bakoitzeko

Urrutiko helbideen zerrenda atebide bati dagokio, eta tokiko iturburua ere bai. IKE atebideen erreferentzia urrutiko helbideak, kanpoko interfazea, tokiko helbidea eta parekide hila atzematea ezarpen bereizi gisa gordetzen ditu, eta hori da kontua: bi tokiko iturburuk bi atebide esan nahi dute bi st0 unitatetan. Bien artean IKE politika partekatzea ondo dago; atebide bakarra mantentzea eta bere kabuz beste iturburu bat aukeratuko duela espero izatea ez dago ondo.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Ondoren konektatu tunelak eta eman urrutiko aurrizkiari bi next hop, bata tunel bakoitzeko:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Atebide batek address motako bi adierazpen eduki ditzakeen ala ez bertsioaren eta gailuak exekutatzen duen IKE prozesuaren araberakoa da. kmd-n oinarritutako Junos zaharrak atebide bakoitzeko urrutiko helbide bakarra onartzen du; eraikuntza berriek hautagai batzuk kudeatzen dituzte baina beren mugak gehitzen dituzte, eta erabilgarritasun handiko klusterrak ohiko lekuak dira euskarri hori estutzen den tokian. Egiaztatu zure eraikuntza zehatzaren bertsio-oharrak hau txasis zaharrago batetik kopiatu aurretik.

Egiaztatu zein elkartek eraman zuen paketea

Bi SA eta bi tunel ez dute esaten zeinek bidali zuen saioa aurrera. Galdetu gailuari zuzenean eta alderatu eremuak asmo zenituen parearekin:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Xehetasunezko irteerak elkarte bakoitzaren tokiko eta urrutiko atebidea aipatzen ditu, eta hori da ustekabeko iturburu batetik negoziatutako tunel bat antzemateko modurik azkarrena. Ondoren begiratu unitate bakoitzeko pakete-kontagailuak st0.1 eta st0.2-n trafikoa pasatzen duzun bitartean; ezer eramaten ez duen tunel batek bere SA mantentzen du eta laburpenean osasuntsu agertzen da.

Eman hutsegite mota bakoitzari bere detektagailua

Parekidearen bizitasuna, tokiko goiko estekaren galera, babestutako ibilbidearen atzera-egitea eta aplikazioaren haustea lau gertaera desberdin dira. DPD lehenengoari bakarrik erantzuten dio, beraz konfiguratu defenda dezakezun tarte eta atalase batekin, lehenetsia utzi eta gainerakoa estaltzen duela suposatu beharrean:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Urrutiko azpisarearen barnean helmuga bat probatzen duen tunel-monitorizazioak DPD-k ikusten ez duen kasua estaltzen du: IKE bizirik dago, atebidea erantzuten du, eta babestutako aurrizkia iristezina da oraindik ere. Aukeratu bietatik zeinek bultzatu behar duen lehentasuna, aldi berean biak aktibatzen badira aldaketa-ekaitza sortzen baita, eta ez aldaketa garbia.

Ez ahaztu urrutiko muturra. Urrutiko gunean instalatuta geratzen den ibilbide hobetsi batek jada utzi duzun tunel baterantz seinalatzen jarraitzen du, eta tokiko tenporizadore batek ere ez du hori konpontzen. Argitaratu lehentasun-logika bera bi parekideetan, eta erregistratu berreskuratutako esteka batek trafikoa automatikoki har dezakeen ala eskuz aldatu behar den.

Helbideratu esteka bat besteari ukitu gabe

ISP batek bloke berri bat ematen dizunean, aldatu erlazio bat aldiko. Eguneratu address edo local-address bi parekideetan pare horretarako, egin commit, eta garbitu soilik ukitutako elkarteak indizearen arabera, gailuan SA guztiak garbitu ordez. Garbiketa globalak tunel osasuntsua ere eraman eta mantentze-leiho bat etendura bihurtzen du.

Gorde huts egindako fluxu bat eta haren saioko xehetasunak froga gisa garbitu aurretik, eta gero berriz exekutatu goiko egiaztapenak helbide-pare berriaren gainean. Esteka bat berreskuratzea bideratze-erabakia da, beraz hartu itzulera probatutako urrats bereizi gisa, lehengo lehentasuna bere kabuz itzuliko dela suposatu beharrean.

Itxi aldaketa kontrol-zerrenda labur batekin

Biko WAN tunel-diseinua amaituta dago saio bakoitzaren atzeko pareari izena eman diezaiokezunean, ez bi SA-ak gora daudenean. Irakurri beheko zerrenda benetan aldatu duzun gailuan:

• Agindutako pare bakoitzak atebide bat, st0 unitate bat eta ibilbide-sarrera bat ditu.
• Tunel bakoitza paketeak eramaten ikusi da, SA bat eusten soilik ez.
• Bi muturrek bat egiten dute atzematean eta lehentasuna zein aldek berreskuratzen duen.
• Pare bakoitzaren itzulerako bidea haren joateko bidearen ondoan idatzita dago.

Errenkada batek huts egiten badu, konpondu pare hori hurrengoa gehitu aurretik; erdi funtzionatzen duten bi tunel gainean jartzeak kontagailuak esanahirik gabe uzten ditu eta failover-jokabidea aurreikusezin.