VPN IPsec Dhá-WAN ar Junos: an cosán foinse a mheaitseáil leis an ngeata ceart

Breathnaíonn dhá nasc WAN in aghaidh an tsuímh mar iomarcaíocht go dtí go ndéanann tú iarracht a chruthú cén péire seoltaí a d'úsáid sreabhadh áirithe i ndáiríre. Ar SRX, iompraíonn geata IKE amháin comhéadan seachtrach amháin agus seoladh áitiúil amháin; ní chruthaíonn liosta iarrthach i bhfad i gcéin dara foinse áitiúil. Sin é an fáth a dtosaíonn an treoir seo le maitrís na bpéirí seachas leis an gcumraíocht, mar go ndéanann Junos commit go héasca ar dhearadh nach gclúdaíonn ach leath na teaglaim a bhí beartaithe agat. Tháinig mé trasna air seo ar dhá SRX345s: d'éirigh an tollán cúltaca go glan agus tharraing sé an seisiún síos ar an mbealach ar ais mar sin féin.

Lean na céimeanna in ord: liostaigh na péirí nach mór tacú leo, tóg geata amháin in aghaidh gach foinse áitiúla, deimhnigh cé acu comhlachas a d'iompair an trácht, agus ansin amháin socraigh cad is féidir le gach cineál teipe a athrú.

Déan léarscáil de na péirí sula dteagmhálann tú leis an CLI

Má féidir le suíomh A teacht ó A1 nó A2 agus má féidir le suíomh B glacadh le B1 nó B2, tá ceithre phéire seolta seachtracha agat. Teastaíonn dhá cheann díobh go leanúnach ó fhormhór na ndearaí agus caitear leis an dá cheann eile mar roghnacha. Scríobh an mhaitrís síos agus marcáil gach ró, mar go gcosnaíonn gach ró a gheallann tú geata, comhéadan tolláin agus cinneadh ródaithe duit níos déanaí.

Teastaíonn trí rud ag gach péire riachtanach ag an am céanna: underlay inrochtana idir na seoltaí sin go beacht, glacadh frithpháirteach le féiniúlacht an chomhpháirtí agus le seoladh na foinse ag an dá cheann, agus cosán fillte cosanta. Taispeánfaidh péire nach n-oibríonn ach i dtreo amháin tollán fós, agus tiocfaidh an teip chun solais níos déanaí mar thrácht feidhmchláir aon-treo.

Geata amháin in aghaidh gach foinse áitiúla, ní in aghaidh gach suímh i bhfad i gcéin

Baineann liosta na seoltaí i bhfad i gcéin le geata, agus an fhoinse áitiúil freisin. tagairt na ngeataí IKE coinníonn sé seoltaí i bhfad i gcéin, comhéadan seachtrach, seoladh áitiúil agus braith comhpháirtí marbh mar shocruithe ar leith, agus sin é go beacht an pointe: ciallaíonn dhá fhoinse áitiúla dhá gheata ar dhá aonad st0. Tá roinnt an pholasaí IKE eatarthu ceart go leor; ach geata amháin a choinneáil agus súil a bheith agat go roghnóidh sé foinse eile leis féin ní cheart.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Ansin ceangail na tolláin agus tabhair dhá next hop don réimír i bhfad i gcéin, ceann in aghaidh an tolláin:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Braitheann sé ar an eisiúint agus ar an bpróiseas IKE a ritheann an gléas an féidir le geata amháin dhá ráiteas de chineál address a choinneáil. Glacann Junos níos sine atá bunaithe ar kmd le seoladh amháin i bhfad i gcéin in aghaidh an gheata; láimhseálann tógáil níos nuaí roinnt iarrthach ach cuireann siad a srianta féin leis, agus is minic a bhíonn braislí ardfhála ina n-áit a n-éiríonn an tacaíocht sin níos cúinge. Seiceáil na nótaí eisiúna le haghaidh do thógála bheachta sula gcóipeálann tú é seo ó sheanfhriocht.

Deimhnigh cé acu comhlachas a d'iompair an paicéad

Ní deir dhá SA agus dhá thollán cé acu a sheol an seisiún ar aghaidh. Fiafraigh den ghléas go díreach agus cuir na réimsí i gcomparáid leis an bpéire a bhí i gceist agat:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Aimsíonn an t-aschur mionsonraithe an geata áitiúil agus an geata i bhfad i gcéin do gach comhlachas, agus sin an bealach is tapúla le tollán a shainaithint a rinneadh comhaontú air ó fhoinse nár thug tú féin. Ansin féach ar chontóirí paicéad in aghaidh an aonaid ar st0.1 agus st0.2 agus tú ag cur tráchta tríd; coinníonn tollán nach n-iompraíonn aon rud a SA féin agus féachann sé sláintiúil i radharc achoimre.

Tabhair a bhrathadóir féin do gach cineál teipe

Is ceithre imeacht éagsúla iad beocht an chomhpháirtí, cailliúint an nasc uachtair áitiúil, aistarraingt an róid chosanta agus briseadh an fheidhmchláir. Ní fhreagraíonn DPD ach don chéad cheann, mar sin cumraigh le eatramh agus tairseach ar féidir leat iad a chosaint seachas an luach réamhshocraithe a fhágáil agus glacadh leis go gclúdaíonn sé an chuid eile:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Clúdaíonn monatóireacht tolláin a thástálann ceann scríbe laistigh den fho-líonra i bhfad i gcéin an cás nach bhfeiceann DPD: tá IKE beo, freagraíonn an geata, agus tá an réimír chosanta dorochtana mar sin féin. Roghnaigh cé acu den dá cheann ba chóir tosaíocht a tharraingt, mar má spreagtar an dá rud le chéile cruthaítear stoirm athruithe seachas aistriú glan.

Ná déan dearmad ar an gceann i bhfad i gcéin. Leanann ród tosaíochta a fhanann suiteáilte ar an suíomh i bhfad i gcéin ag pointeáil isteach i dtollán atá tréigthe agat cheana, agus ní dheisíonn aon amadóir áitiúil é sin. Foilsigh an loighic tosaíochta chéanna ar an dá chomhpháirtí, agus taifead an féidir le nasc a athshlánaítear an trácht a ghlacadh ar ais go huathoibríoch nó an gcaithfear é a athrú de láimh.

Athsheolaigh nasc amháin gan an ceann eile a thógáil

Nuair a thugann ISP bloc nua duit, athraigh gaol amháin ag an am. Nuashonraigh address nó local-address ar an dá chomhpháirtí don phéire sin, déan commit, agus glan na comhlachais a ndearnadh difear dóibh amháin de réir innéacs seachas gach SA ar an ngléas a ghlanadh. Tógann glanadh iomlán an tollán sláintiúil leis freisin agus iompaíonn sé fuinneog cothabhála ina shos.

Coinnigh sreabhadh amháin a theip agus mionsonraí a sheisiúin mar fhianaise sula nglanann tú aon rud, ansin rith na seiceálacha thuas arís ar an bpéire seolta nua. Is cinneadh ródaithe é nasc a athchóiriú, mar sin caith leis an bhfilleadh mar chéim thástáilte ar leith seachas glacadh leis go bhfillfidh an tseantosaíocht di féin.

Dún an t-athrú le seicliosta gairid

Bíonn dearadh tolláin dhá-WAN críochnaithe nuair is féidir leat an péire taobh thiar de gach seisiún a ainmniú, ní nuair a bhíonn an dá SA suas. Téigh tríd an liosta thíos ar an ngléas a d'athraigh tú i ndáiríre:

• Tá geata, aonad st0 agus iontráil róid ag gach péire geallta.
• Chonacthas gach tollán ag iompar paicéad, ní ag coinneáil SA amháin.
• Aontaíonn an dá cheann faoin mbraith agus faoi cé acu taobh a athchóiríonn an tosaíocht.
• Tá cosán fillte gach péire scríofa in aice lena chosán amach.

Má theipeann ar ró, deisigh an péire sin sula gcuireann tú an chéad cheann eile leis; déanann carnadh dhá thollán leathfheidhmiúla na cuntair a bheith gan bhrí agus iompar failover dodhéanta a thuar.