IPsec yksityisen WAN:n yli: tarkistettavat SRX-käytännön rajat

Yksityinen WAN voi kuljettaa IPsec-tunnelin ulompia paketteja, joten vertaisosoitteiden ei tarvitse olla julkisia internet-osoitteita. Muuttuu se polku, jonka nuo ulommat paketit kulkevat, ja sen rajapinnan käyttöoikeudet, joka ne vastaanottaa. SRX:llä ulompi ohjauspolku, tunnelin rajapinnan sidonta ja välitetyn liikenteen käytäntö ovat kolme erillistä objektia. Yhden vianetsintä, kun kaksi muuta ovat väärin, on tavallinen syy siihen, että tunneli jää alas.

Kirjaa ensin ulompi IKE-polku

Kirjoita neljä arvoa ennen käytäntöön koskemista: vertaisosoite, IKE:n vastaanottava paikallinen rajapinta, vertaiseen yltävä reitityskonteksti ja rajapinnan valitseva reitti. IKE-paketit on osoitettu SRX:lle itselleen, joten ne tarvitsevat host-inbound-oikeuden vastaanottavassa vyöhykkeessä, eivät välitetyn liikenteen käytäntöä. Yksityinen WAN-osoite ei poista tätä vaatimusta, koska paketti päättyy silti laitteeseen.

Tarkista asennettu tila komennolla show security ike sa ja määritys komennolla show configuration security ike. Ensimmäinen kertoo, onko vaihe 1 olemassa; toinen kertoo, mitä laite uskoo sen pitäisi tehdä.

Sido tunnelin rajapinta oikeaan käytäntöön

Reititykseen perustuva VPN sitoo tunnelin rajapinnan VPN-objektiin, ja suojatut etuliitteet reititetään kyseiseen rajapintaan. Kirjaa, mikä rajapinta, mikä reitti ja mikä käytäntö sallii sovellukset kyseisten vyöhykkeiden välillä. trust-niminen vyöhyke on käytäntösäiliö, eikä nimi todista, että vaaditut ohjaus- tai datapaketit on sallittu.

Lue todelliset sidonnat vanhan kaavion sijaan: show configuration security ipsec vpn rajapintaan sidonnan asetukselle ja show configuration security policies säännöille, jotka viittaavat tunnelivyöhykkeeseen.

Jos suojattu reitti osoittaa muualle, tunneli voi olla ylhäällä, vaikka liikenne ei koskaan päädy siihen. Tämä on reititysongelma IPsec-asussa.

Pidä vertaisreitti underlaylla

Reitti ulkoiseen vertaiseen on ratkaistava underlayn kautta, ei rekursiivisesti sen luoman tunnelin kautta. Jos vertaisreitti osoittaa tunnelin rajapintaan, IKE-paketit jahtaavat omaa tunneliaan eikä vaihe 1 koskaan valmistu. Suojatun liikenteen paluupolku tarvitsee oman oikean reittinsä ja käytäntönsä, ja se on yleensä puuttuva puolisko, kun yksi suunta toimii. Lue vertaisosoitteen reititystaulukon merkintä ja varmista, että lähtevä rajapinta on WAN-rajapinta.

Tarkista se komennolla show route 198.51.100.10, korvaamalla todellinen vertaisosoite, ja varmista, että seuraava hyppy ei ole tunnelin rajapinta.

Tarkista ohjaus ja palvelu järjestyksessä

Etene ylöspäin: vaiheen 1 tila, vaiheen 2 tila ja sitten todellinen sovellusvirta. show security ipsec sa luettelee tietoturvayhtymät ja show security flow session destination-prefix 10.60.0.0/16 näyttää, luodaanko suojatulle verkolle välitettyjä istuntoja.

Terve ohjaussuhde ja toimiva datapolku ovat kaksi eri tulosta, eikä vaiheen 2 läpäisy kerro mitään siitä, salliiko käytäntö sovelluksen. Testaa yksi sallittu virta ja yksi, jonka käytännön pitäisi hylätä, jotta ero on näkyvä.

Kirjaa yhteen vertaisreitti, host-inbound-oikeus, tunnelin sidonta, sisäinen reitti ja sovelluksen käytäntö. Nämä viisi merkintää osoittavat, mikä kerros omistaa tulevan vian, turvautumatta portin tarraan.