Junos dual-WAN IPsec VPN: keppel it boarnepad oan de juste gateway

Twa WAN-skakels per lokaasje lykje op oerstalligens, oant do besykest te bewizen hokker adrespear in bepaalde flow echt brûkt hat. Op in SRX draacht ien IKE-gateway ien eksterne ynterface en ien lokaal adres; in list mei eksterne kandidaten makket gjin twadde lokale boarne. Dêrom begjint dizze kuier mei de pearmatrix ynstee fan de konfiguraasje, want Junos commit graach in ûntwerp dat mar de helte fan dyn bedoelde kombinaasjes dekt. Ik kaam dit tsjin by twa SRX345s: de reserve-tunnel kaam skjin omheech en loek de sesje by it weromskakeljen dochs nei ûnderen.

Wurkje de stappen yn oarder ôf: list de pearen op dy't do stypje moatst, bou ien gateway per lokale boarne, befêstigje hokker assosjaasje it ferkear droegen hat, en beslút pas dêrnei wat elk soart flater feroarje mei.

Meitsje de pearen yn kaart foardat do de CLI oanrekest

As lokaasje A fan A1 of A2 ôf source kin en lokaasje B op B1 of B2 ûntfange kin, hast fjouwer bûtenste adrespearen. De measte ûntwerpen hawwe twa dêrfan trochgeand nedich en behannelje de oare twa as opsjoneel. Skriuw de matrix op en markearje elke rige, want elke rige dy't do beloofst kostet dy letter in gateway, in tunnelinterface en in routingbeslút.

Elk fereaske pear hat trije dingen tagelyk nedich: in berikber underlay tusken krekt dy adressen, wjerskanten akseptaasje fan peer-identiteit en boarneadres oan beide kanten, en in beskerme weromwei. In pear dat mar ien kant op wurket, lit dochs in tunnel sjen, en de flater komt letter nei boppen as ienrjochtingsferkear fan de applikaasje.

Ien gateway per lokale boarne, net per eksterne lokaasje

De list mei eksterne adressen heart by in gateway, en de lokale boarne ek. De IKE-gatewayreferinsje hâldt eksterne adressen, eksterne ynterface, lokaal adres en dead-peer-deteksje as aparte ynstellings, en dat is krekt it punt: twa lokale boarnen betsjutte twa gateways oer twa st0-ienheden. De IKE-policy tusken har diele is prima; ien gateway hâlde en hoopje dat dy sels in oare boarne kiest, net.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Keppel dêrnei de tunnels oan en jou it fiere prefiks twa next hops, ien per tunnel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Oft in gateway twa ferklearrings fan it type address hâlde mei, hinget ôf fan de release en fan hokker IKE-proses de doaze draait. Aldere kmd-basearre Junos nimt ien inkeld ekstern adres per gateway; nijere builds behannelje meardere kandidaten mar foegje eigen beheinings ta, en hege-beskikberens-klusters binne in gewoane plak dêr't dy stipe smeller wurdt. Kontrolearje de release notes foar dyn krekte build foardat do dit fan in âlder chassis kopiearrest.

Befêstigje hokker assosjaasje it pakket droegen hat

Twa SAs en twa tunnels fertelle net hokker fan beide de sesje trochstjoerd hat. Freegje de doaze direkt, en fergelykje de fjilden mei it pear dat do bedoeld hiest:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

De detailútfier neamt it lokale en it fiere gateway foar elke assosjaasje, wat de fluchste manier is om in tunnel te finen dy't him fan in ûnferwachte boarne ôf ûnderhannele hat. Sjoch dan nei de pakkettellers per ienheid op st0.1 en st0.2 wylst do ferkear trochstjoerst; in tunnel dy't neat draacht hâldt syn SA en sjocht der yn in oersjoch sûn út.

Jou elk soart flater syn eigen detektor

Peer-liveness, ferlies fan de lokale uplink, weromlûken fan de beskerme rûte en útfal fan de applikaasje binne fjouwer ferskillende barren. DPD beantwurdet allinnich it earste, dus konfigurearje it mei in ynterval en drompel dy't do ferantwurdzje kinst, ynstee fan de standert stean te litten en oan te nimmen dat dy de rest dekt:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tunnelmonitoring dy't in bestimming binnen it fiere subnet testet, dekt it gefal dat DPD net sjen kin: IKE libbet, de gateway antwurdet, en it beskerme prefiks is dochs net berikber. Kies hokker fan de beide foarkar lûke moat, want as beide tagelyk ôfgean komt der in stoarm fan feroarings ynstee fan in skjinne failover.

Ferjit de oare kant net. In foarkarsrûte dy't op de fiere lokaasje stean bliuwt, wiist noch hieltyd yn in tunnel dy't do al ferlitten hast, en gjin lokale timer makket dat goed. Publisearje deselde foarkarslogika op beide peers, en skriuw op oft in werstelde skakel it ferkear automatysk werom nimme mei of mei de hân omskeakele wurde moat.

Ien skakel op 'e nij adressearje sûnder de oare oan te reitsjen

As in ISP dy in nij blok jout, feroarje dan ien relaasje per kear. Wurkje address of local-address by op beide peers foar dat pear, commit, en wiskje allinnich de troffen assosjaasjes op yndeks ynstee fan alle SAs op de doaze te wiskjen. In globale wiskaksje hellet ek de sûne tunnel fuort en makket fan in ûnderhâldsfinster in ûnderbrekking.

Hâld ien mislearre flow en syn sesjedetail as bewiis foardat do wat oprommest, en rin dan de kontrôles hjirboppe op 'e nij tsjin it nije adrespear. In skakel werstelle is in routingbeslút, behannelje de weromkear dus as in eigen testen stap ynstee fan oan te nimmen dat de âlde foarkar fansels weromkomt.

Slút de feroaring ôf mei in koarte kontrolelist

In dual-WAN-tunnelûntwerp is klear as do by elke sesje it pear neame kinst, net as beide SAs omheech binne. Rin de list hjirûnder troch op de doaze dy't do wier feroare hast:

• Elk beloofd pear hat in gateway, in st0-ienheid en in rûte-ynskriuwing.
• Elke tunnel is sjoen wurden by it dragen fan pakketten, net allinnich by it hâlden fan in SA.
• Beide kanten binne it iens oer deteksje en oer hokker kant de foarkar werstelt.
• De weromwei foar elk pear stiet njonken syn hinnewei opskreaun.

As in rigel mislearret, meitsje dat pear dan earst klear foardat do it folgjende tafoechst; twa healwurkjende tunnels opinoar meitsje de tellers betsjuttingsleas en it failover-gedrach ûnfoarsisber.