IPsec WAN pribatu baten gainean: SRX politikaren mugak egiaztatzeko

WAN pribatu batek IPsec tunel baten kanpoko paketeak eraman ditzake, beraz parearen helbideek ez dute zertan internet helbide publikoak izan. Aldatzen dena kanpoko pakete horiek egiten duten bidea eta jasotzen dituen interfazearen baimenak dira. SRX batean, kanpoko kontrol bidea, tunel interfazearen lotura eta birbidalitako trafikoaren politika hiru objektu bereizi dira. Bata diagnostikatzea beste biak gaizki daudela tunela jaitsita egoteko ohiko arrazoia da.

Idatzi lehenik kanpoko IKE bidea

Idatzi lau balio politikari ukitu aurretik: parearen helbidea, IKE jasotzen duen tokiko interfazea, parearengana iristen den bideratze-testuingurua eta interfaze hori hautatzen duen bidea. IKE paketeak SRX berari zuzenduta daude, beraz host-inbound baimena behar dute jasotzeko zonan, ez birbidalitako trafikoaren politika. WAN helbide pribatu batek ez du baldintza hori kentzen, paketea gailuan amaitzen baita oraindik.

Egiaztatu instalatutako egoera honekin: show security ike sa eta konfigurazioa honekin: show configuration security ike. Lehenak 1 fasea badagoen esaten du; bigarrenak gailuak zer egin beharko lukeen uste duen esaten du.

Lotu tunel interfazea politika egokiari

Bideratzean oinarritutako VPN bat tunel interfaze bat VPN objektu bati lotzen dio, eta babestutako prefixuak interfaze horretara bideratzen dira. Idatzi zein interfazek, zein bidek eta zein politikak uzten dituen aplikazioak dagozkion zonen artean. trust izeneko zona politika-edukiontzi bat da, eta izenak ez du frogatzen beharrezko kontrol edo datu paketeak baimenduta daudenik.

Irakurri lotura errealak diagrama zahar bat beharrean: show configuration security ipsec vpn interfazera lotzeko ezarpenarentzat eta show configuration security policies tunel zonari erreferentzia egiten dioten arauentzat.

Babestutako bidea beste nonbait adierazten badu, tunela aktibo egon daiteke trafikoa inoiz sartu gabe. Hau IPsec mozorroa duen bideratze arazoa da.

Eutsi parearen bidea underlayean

Kanpoko parearen bidea underlayaren bidez ebazten da, ez berak sortzen duen tunelaren bidez errekurtsiboki. Parearen bideak tunel interfazera adierazten badu, IKE paketeek beren tunelaren atzetik egiten dute eta 1 fasea ez da inoiz osatzen. Babestutako trafikoaren erantzun-bideak bere bide eta politika zuzenak behar ditu, eta normalean norabide batek funtzionatzen duenean falta den erdia da. Irakurri parearen helbiderako bideratze-taulako sarrera eta egiaztatu irteerako interfazea WAN interfazea dela.

Egiaztatu hau honekin: show route 198.51.100.10, parearen benetako helbidea jarriz, eta egiaztatu hurrengo jauzia ez dela tunel interfaze bat.

Egiaztatu kontrola eta zerbitzua hurrenez hurren

Joan gora: 1 fasearen egoera, 2 fasearen egoera, eta gero benetako aplikazio fluxu bat. show security ipsec sa segurtasun elkarteak zerrendatzen ditu, eta show security flow session destination-prefix 10.60.0.0/16 babestutako sarearentzat birbidalitako saioak sortzen ari diren erakusten du.

Kontrol harreman osasuntsu bat eta datu-bide eraginkor bat bi emaitza desberdin dira, eta 2 fasea gainditzeak ez du ezer esaten politikak aplikazioa uzten duen ala ez. Probatu baimendutako fluxu bat eta politikak baztertu beharko lukeen beste bat, aldea ikusgai izan dadin.

Idatzi batera parearen bidea, host-inbound baimena, tunelaren lotura, barneko bidea eta aplikazioaren politika. Bost erregistro horiek erakusten dute zein geruza arduratuko den etorkizuneko hutsegite batez, ataka-etiketa batean fidatu gabe.