IPsec thar WAN príobháideach: teorainneacha beartais SRX le seiceáil

Is féidir le WAN príobháideach paicéid sheachtracha tolláin IPsec a iompar, mar sin ní gá go mbeadh seoltaí an phiar ina seoltaí idirlín poiblí. Is é an rud a athraíonn ná an cosán a thógann na paicéid sheachtracha sin agus na ceadanna ar an gcomhéadan a fhaigheann iad. Ar SRX, tá an cosán rialaithe seachtrach, ceangal chomhéadan an tolláin agus an beartas tráchta a sheoltar ar aghaidh ina dtrí réad ar leith. Is é an t-aimsiú fabht in aon cheann acu agus an dá cheann eile mícheart an chúis is gnáth le tollán fanacht thíos.

Taifead cosán seachtrach IKE ar dtús

Scríobh síos ceithre luach sula dtéann tú i dteagmháil leis an mbeartas: seoladh an phiar, an comhéadan áitiúil a fhaigheann IKE, an comhthéacs ródaithe a shroicheann an piar agus an bealach a roghnaíonn an comhéadan sin. Seoltar paicéid IKE chuig an SRX féin, mar sin teastaíonn cead host-inbound uathu sa chrios fála, ní beartas tráchta a sheoltar ar aghaidh. Ní dheireann seoladh WAN príobháideach an ceanglas sin, mar críochnaíonn an paicéad ar an ngléas fós.

Seiceáil an staid shuiteáilte le show security ike sa agus an chumraíocht le show configuration security ike. Insíonn an chéad cheann an bhfuil céim 1 ann; insíonn an dara ceann cad a cheapann an gléas gur chóir dó a dhéanamh.

Ceangail comhéadan an tolláin leis an mbeartas ceart

VPN bunaithe ar ródú ceanglaíonn sé comhéadan tolláin le réad VPN, agus ródaítear réimíreanna cosanta isteach sa chomhéadan sin. Taifead cé an comhéadan, cé an bealach agus cé an beartas a ligeann na feidhmchláir idir na criosanna ábhartha. Is coimeádán beartais é crios darb ainm trust, agus ní chruthaíonn an t-ainm go bhfuil na paicéid rialaithe nó sonraí riachtanacha ceadaithe.

Léigh na ceangail iarbhír in ionad seanléaráid: show configuration security ipsec vpn le haghaidh an tsocraithe ceangail le comhéadan agus show configuration security policies do na rialacha a thagraíonn do chrios an tolláin.

Má threoraíonn an bealach cosanta áit éigin eile, féadfaidh an tollán a bheith suas agus an trácht riamh ag dul isteach ann. Is fadhb ródaithe é seo atá gléasta mar IPsec.

Coinnigh bealach an phiar ar an underlay

Caithfear an bealach chuig an bpiar seachtrach a réiteach tríd an underlay, ní go hathchúrsach tríd an tollán a bhunaíonn sé. Má threoraíonn bealach an phiar chuig comhéadan an tolláin, téann paicéid IKE sa tóir ar a dtollán féin agus ní chríochnaíonn céim 1 riamh. Teastaíonn a bhealach agus a bheartas ceart féin ó chosán freagartha an tráchta chosanta, agus is gnáth gurb é sin an leath atá ar iarraidh nuair a oibríonn treo amháin. Léigh iontráil an tábla ródaithe do sheoladh an phiar agus deimhnigh gurb é an comhéadan WAN an comhéadan amach.

Seiceáil é le show route 198.51.100.10, ag cur sheoladh iarbhír an phiar ina ionad, agus deimhnigh nach comhéadan tolláin é an chéad léim eile.

Fíoraigh rialú agus seirbhís in ord

Oibrigh aníos: staid chéim 1, staid chéim 2, ansin sreabhadh feidhmchláir iarbhír. show security ipsec sa liostaíonn sé na comhshócmhainní slándála, agus show security flow session destination-prefix 10.60.0.0/16 taispeánann sé an bhfuil seisiúin a sheoltar ar aghaidh á gcruthú don líonra cosanta.

Is dhá thoradh éagsúla iad caidreamh rialaithe sláintiúil agus cosán sonraí oibre, agus ní deir céim 2 a rith rud ar bith faoi cé acu a ligeann an beartas an feidhmchlár. Tástáil sreabhadh amháin ceadaithe agus ceann ar chóir don bheartas é a dhiúltú, ionas go mbeidh an difríocht le feiceáil.

Taifead le chéile bealach an phiar, an cead host-inbound, ceangal an tolláin, an bealach inmheánach agus beartas an fheidhmchláir. Taispeánann na cúig thaifead sin cé an tsraith a bheidh freagrach as teip sa todhchaí gan brath ar lipéad poirt.