VPN IPsec de dobre WAN en Junos: emparellar a ruta de orixe coa pasarela

Dous enlaces WAN por sitio parecen redundancia ata que intentas demostrar que par de enderezos usou realmente un fluxo concreto. Nun SRX, unha pasarela IKE leva unha interface externa e un enderezo local; unha lista de candidatos remotos non crea unha segunda orixe local. Por iso este percorrido comeza pola matriz de pares e non pola configuración, porque Junos valida sen problema un deseño que só cobre a metade das combinacións previstas. Pasoume con dous SRX345s: o túnel de respaldo subiu limpo e aínda así arrastrou a sesión na volta.

Percorre os pasos en orde: enumera os pares que debes soportar, constrúe unha pasarela por orixe local, confirma que asociación levou o tráfico e só despois decide que pode cambiar cada tipo de fallo.

Debuxar os pares antes de tocar a CLI

Se o sitio A pode orixinar desde A1 ou A2 e o sitio B pode recibir en B1 ou B2, tes catro pares de enderezos externos. A maioría dos deseños necesitan dous de forma continua e tratan os outros dous como opcionais. Anota a matriz e marca cada fila, porque cada fila prometida custa despois unha pasarela, unha interface de túnel e unha decisión de encamiñamento.

Cada par necesario require tres cousas á vez: un underlay alcanzable entre eses enderezos exactos, aceptación mutua da identidade do par e do enderezo de orixe nos dous extremos, e un camiño de retorno protexido. Un par que só funciona nun sentido segue mostrando un túnel, e o fallo aparece máis tarde como tráfico de aplicación unidireccional.

Unha pasarela por orixe local, non por sitio remoto

A lista de enderezos remotos pertence a unha pasarela, e a orixe local tamén. A referencia de pasarelas IKE mantén os enderezos remotos, a interface externa, o enderezo local e a detección de par morto como axustes separados, e é exactamente diso do que se trata: dúas orixes locais significan dúas pasarelas sobre dúas unidades st0. Compartir a política IKE entre elas está ben; quedar cunha soa pasarela e esperar que cambie de orixe soa, non.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Despois conecta os túneles e dálle ao prefixo remoto dous next hops, un por túnel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Que unha pasarela poida manter dúas instrucións do tipo address depende da versión e de que proceso IKE execute o equipo. Os Junos antigos baseados en kmd aceptan un só enderezo remoto por pasarela; as compilacións novas manexan varios candidatos pero engaden restricións propias, e os clústeres de alta dispoñibilidade son un lugar habitual onde ese soporte se estreita. Consulta as notas de versión da túa compilación exacta antes de copiar isto dun chasis máis antigo.

Confirmar que asociación levou o paquete

Dúas SAs e dous túneles non din cal deles reenviou a sesión. Pregúntalle ao equipo directamente e compara os campos co par que pretendías:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

A saída detallada indica a pasarela local e a remota de cada asociación, que é a forma máis rápida de detectar un túnel negociado desde unha orixe que non esperabas. Despois observa os contadores de paquetes por unidade en st0.1 e st0.2 mentres envías tráfico; un túnel que non leva nada conserva a súa SA e parece san nunha vista resumida.

Darlle a cada fallo o seu propio detector

A vitalidade do par, a perda da ligazón ascendente local, a retirada da ruta protexida e a rotura da aplicación son catro eventos distintos. O DPD só responde ao primeiro, así que configúrao cun intervalo e un limiar que poidas defender en lugar de deixar o valor por defecto e supoñer que cobre o resto:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

A supervisión de túnel que sonda un destino dentro da subrede remota cobre o caso que o DPD non ve: IKE está vivo, a pasarela responde e o prefixo protexido segue sendo inalcanzable. Escolle cal dos dous debe atraer a preferencia, porque se ambos se disparan á vez prodúcese unha tormenta de cambios en lugar dun failover limpo.

Non esquezas o extremo remoto. Unha ruta preferida que queda instalada no sitio remoto segue apuntando a un túnel que xa abandonaches, e ningún temporizador local o arranxa. Publica a mesma lóxica de preferencia nos dous pares e anota se unha ligazón recuperada pode retomar o tráfico automaticamente ou ten que conmutarse á man.

Readresar unha ligazón sen tocar a outra

Cando un ISP che entrega un bloque novo, cambia unha relación cada vez. Actualiza address ou local-address nos dous pares para ese par, fai commit, e borra só as asociacións afectadas por índice en lugar de borrar todas as SAs do equipo. Un borrado global leva tamén o túnel san e converte unha xanela de mantemento nunha caída.

Garda un fluxo fallido e o detalle da súa sesión como proba antes de limpar nada, e despois repite as comprobacións anteriores contra o novo par de enderezos. Restaurar unha ligazón é unha decisión de encamiñamento, así que trata a volta como un paso probado á parte en lugar de supoñer que a preferencia antiga volve soa.

Pechar o cambio cunha lista curta

Un deseño de túnel de dobre WAN está rematado cando podes nomear o par detrás de cada sesión, non cando as dúas SAs están levantadas. Percorre a lista seguinte no equipo que realmente cambiaches:

• Cada par prometido ten unha pasarela, unha unidade st0 e unha entrada de ruta.
• Cada túnel foi visto levando paquetes, non só mantendo unha SA.
• Os dous extremos coinciden na detección e en que lado restaura a preferencia.
• A ruta de retorno de cada par está anotada ao carón da súa ruta de ida.

Se unha liña falla, arranxa ese par antes de engadir o seguinte; apilar dous túneles a medias fai que os contadores non signifiquen nada e que o failover sexa imprevisible.