Junos kahden WANin IPsec VPN: lähdepolun yhdistäminen oikeaan yhdyskäytävään

Kaksi WAN-linkkiä sivustoa kohden näyttää kahdennukselta, kunnes yrität todistaa, mitä osoiteparia tietty virta todella käytti. SRX:llä yksi IKE-yhdyskäytävä kuljettaa yhtä ulkoista liitäntää ja yhtä paikallista osoitetta; luettelo etäkandidaateista ei luo toista paikallista lähdettä. Siksi tämä läpikäynti alkaa parien matriisista eikä kokoonpanosta, koska Junos commitoi mielellään suunnitelman, joka kattaa vain puolet aiotuista yhdistelmistä. Törmäsin tähän kahdella SRX345s:llä: varayhteys nousi siististi ja vei silti istunnon alas paluussa.

Käy vaiheet järjestyksessä läpi: luettele parit, joita on tuettava, rakenna yksi yhdyskäytävä kutakin paikallista lähdettä kohden, vahvista mikä assosiaatio kuljetti liikennettä ja päätä vasta sitten, mitä kukin vikatyyppi saa muuttaa.

Kartoita parit ennen kuin kosket CLI:tä

Jos sivusto A voi lähteä A1:stä tai A2:sta ja sivusto B voi vastaanottaa B1:ssä tai B2:ssa, sinulla on neljä ulkoista osoiteparia. Useimmat suunnitelmat tarvitsevat kahta niistä jatkuvasti ja kohtelevat kahta muuta valinnaisina. Kirjoita matriisi muistiin ja merkitse jokainen rivi, sillä jokainen luvattu rivi maksaa sinulle myöhemmin yhdyskäytävän, tunneliliitännän ja reitityspäätöksen.

Jokainen vaadittu pari tarvitsee kolme asiaa samanaikaisesti: saavutettavan underlayn juuri näiden osoitteiden välillä, molemminpuolisen hyväksynnän kumppanin identiteetille ja lähdeosoitteelle molemmissa päissä sekä suojatun paluupolun. Pari, joka toimii vain yhteen suuntaan, näyttää silti tunnelin, ja vika ilmenee myöhemmin sovelluksen yksisuuntaisena liikenteenä.

Yksi yhdyskäytävä kutakin paikallista lähdettä kohden, ei kutakin etäsivustoa kohden

Etäosoitteiden luettelo kuuluu yhdyskäytävälle, samoin paikallinen lähde. IKE-yhdyskäytävien viite pitää etäosoitteet, ulkoisen liitännän, paikallisen osoitteen ja kuolleen kumppanin tunnistuksen erillisinä asetuksina, ja juuri se on pointti: kaksi paikallista lähdettä tarkoittaa kahta yhdyskäytävää kahdella st0-yksiköllä. IKE-käytännön jakaminen niiden kesken on kunnossa; yhden yhdyskäytävän pitäminen ja toivominen, että se valitsee itse toisen lähteen, ei ole.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Kiinnitä sitten tunnelit ja anna etäprefiksille kaksi next hopia, yksi tunnelia kohden:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Saako yksi yhdyskäytävä pitää kahta address-tyyppistä lausetta, riippuu versiosta ja siitä, mitä IKE-prosessia laite ajaa. Vanhempi kmd-pohjainen Junos ottaa yhden etäosoitteen yhdyskäytävää kohden; uudemmat buildit käsittelevät useita ehdokkaita mutta lisäävät omat rajoituksensa, ja korkean käytettävyyden klusterit ovat tavallinen paikka, jossa tuki kapenee. Tarkista tarkkoja buildiasi koskevat julkaisutiedot ennen kuin kopioit tämän vanhemmalta alustalta.

Vahvista, mikä assosiaatio kuljetti paketin

Kaksi SA:ta ja kaksi tunnelia eivät kerro, kumpi välitti istunnon. Kysy laitteelta suoraan ja vertaa kenttiä pariin, jota tarkoitit:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Yksityiskohtainen tuloste ilmoittaa kunkin assosiaation paikallisen ja etäyhdyskäytävän, mikä on nopein tapa havaita tunneli, joka neuvoteltiin odottamattomasta lähteestä. Seuraa sitten yksikkökohtaisia pakettilaskureita st0.1:ssä ja st0.2:ssa, kun työnnät liikennettä läpi; tunneli, joka ei kuljeta mitään, säilyttää SA:nsa ja näyttää yhteenvedossa terveeltä.

Anna jokaiselle vikatyypille oma ilmaisimensa

Kumppanin elossaolo, paikallisen ylälinkin menetys, suojatun reitin vetäminen ja sovelluksen rikkoutuminen ovat neljä eri tapahtumaa. DPD vastaa vain ensimmäiseen, joten määritä se intervallilla ja kynnyksellä, jotka voit perustella, sen sijaan että jättäisit oletuksen ja olettaisit sen kattavan loput:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tunnelin valvonta, joka testaa kohteen etäverkossa, kattaa tapauksen, jota DPD ei näe: IKE on elossa, yhdyskäytävä vastaa ja suojattu prefiksi on silti saavuttamaton. Valitse, kumman kahdesta pitäisi vetää etusija, sillä jos molemmat laukeavat yhtä aikaa, syntyy muutosten myrsky puhtaan siirtymän sijaan.

Älä unohda etäpäätä. Etäsivustolle jäävä ensisijainen reitti osoittaa edelleen tunneliin, jonka olet jo hylännyt, eikä mikään paikallinen ajastin korjaa sitä. Julkaise sama etusijalogiikka molemmilla kumppaneilla ja kirjaa, saako palautunut linkki ottaa liikenteen automaattisesti takaisin vai onko se vaihdettava käsin.

Anna uusi osoite yhdelle linkille toiseen koskematta

Kun operaattori antaa uuden lohkon, muuta yhtä suhdetta kerrallaan. Päivitä kyseisen parin address tai local-address molemmilla kumppaneilla, commitoi ja tyhjennä vain kärsineet assosiaatiot indeksin mukaan sen sijaan että tyhjentäisit kaikki laitteen SA:t. Globaali tyhjennys vie mukanaan myös terveen tunnelin ja muuttaa huoltokatkon käyttökatkoksi.

Säilytä yksi epäonnistunut virtaus ja sen istunnon tiedot todisteena ennen kuin siivoat mitään, ja aja sitten yllä olevat tarkistukset uudelle osoiteparille. Linkin palauttaminen on reitityspäätös, joten käsittele paluu erikseen testattuna vaiheena sen sijaan että olettaisit vanhan etusijan palaavan itsestään.

Sulje muutos lyhyellä tarkistuslistalla

Kahden WANin tunnelisuunnitelma on valmis, kun pystyt nimeämään kunkin istunnon takana olevan parin, et silloin kun molemmat SA:t ovat ylhäällä. Käy alla oleva lista läpi laitteella, jota todella muutit:

• Jokaisella luvatulla parilla on yhdyskäytävä, st0-yksikkö ja reittimerkintä.
• Jokaisen tunnelin on nähty kuljettavan paketteja, ei vain pitävän SA:ta.
• Molemmat päät ovat yhtä mieltä tunnistuksesta ja siitä, kumpi puoli palauttaa etusijan.
• Kunkin parin paluupolku on kirjattu sen menopolun viereen.

Jos jokin rivi pettää, korjaa kyseinen pari ennen seuraavan lisäämistä; kahden puoliksi toimivan tunnelin pinoaminen tekee laskureista merkityksettömiä ja failover-käyttäytymisestä ennustamatonta.