Junos ડ્યુઅલ-WAN IPsec VPN: સ્રોત પથને યોગ્ય ગેટવે સાથે મેળવવો

દરેક સાઇટ પર બે WAN લિંક્સ નિરર્થક અનામત જેવી લાગે છે, જ્યાં સુધી તમે સાબિત ન કરવા માંગો કે આપેલા ફ્લો ઍક્સેસે ખરેખર કઈ સરનામા જોડી વાપરી. SRX પર એક IKE ગેટવે એક બાહ્ય ઇન્ટરફેસ અને એક સ્થાનિક સરનામું વહન કરે છે; દૂરસ્થ ઉમેદવારોની યાદી બીજો સ્થાનિક સ્રોત બનાવતી નથી. તેથી આ વૉકથ્રુ કન્ફિગરેશનથી નહીં, જોડીના મેટ્રિક્સથી શરૂ થાય છે, કારણ કે Junos તમારા ઇરાદાના અડધા જ સંયોજનો આવરી લેતી રચના પણ સરળતાથી commit કરે છે. મને આ બે SRX345s પર મળ્યું: બેકઅપ ટનલ સ્વચ્છ રીતે ઉપર આવી અને પાછા ફરતી વખતે છતાં સત્ર નીચે પાડી દીધું.

પગલાં ક્રમમાં પૂરાં કરો: જે જોડીને ટેકો આપવો છે તેની યાદી બનાવો, દરેક સ્થાનિક સ્રોત માટે એક ગેટવે બનાવો, કઈ એસોસિએશને ટ્રાફિક વહન કર્યો તેની પુષ્ટિ કરો, અને પછી જ નક્કી કરો કે દરેક પ્રકારની નિષ્ફળતા શું બદલી શકે છે.

CLI ને સ્પર્શ કરતા પહેલાં જોડીનો નકશો બનાવો

જો સાઇટ A, A1 અથવા A2 થી સ્રોત લઈ શકે અને સાઇટ B, B1 અથવા B2 પર પ્રાપ્ત કરી શકે, તો તમારી પાસે ચાર બાહ્ય સરનામા જોડી છે. મોટાભાગની રચનાને તેમાંથી બે સતત જોઈએ છે અને બાકીની બેને વૈકલ્પિક ગણે છે. મેટ્રિક્સ લખો અને દરેક પંક્તિને ચિહ્નિત કરો, કારણ કે દરેક વચન આપેલી પંક્તિ પછી તમને એક ગેટવે, એક ટનલ ઇન્ટરફેસ અને એક રાઉટિંગ નિર્ણયનો ખર્ચ કરાવે છે.

દરેક જરૂરી જોડીને એકસાથે ત્રણ વસ્તુ જોઈએ: બરાબર તે સરનામાંઓ વચ્ચે પહોંચી શકાય તેવું underlay, બંને છેડે સાથીની ઓળખ અને સ્રોત સરનામાની પરસ્પર સ્વીકૃતિ, અને એક સુરક્ષિત પરત માર્ગ. ફક્ત એક દિશામાં ચાલતી જોડી છતાં ટનલ દર્શાવે છે, અને નિષ્ફળતા પછી એપ્લિકેશનની એકમાર્ગી ટ્રાફિક તરીકે સામે આવે છે.

દરેક સ્થાનિક સ્રોત માટે એક ગેટવે, દૂરસ્થ સાઇટ માટે નહીં

દૂરસ્થ સરનામાંઓની યાદી એક ગેટવેની છે, અને સ્થાનિક સ્રોત પણ. IKE ગેટવે સંદર્ભ દૂરસ્થ સરનામાં, બાહ્ય ઇન્ટરફેસ, સ્થાનિક સરનામું અને મૃત સાથીની ઓળખને અલગ સેટિંગ તરીકે રાખે છે, અને વાત એ જ છે: બે સ્થાનિક સ્રોત એટલે બે st0 એકમો પર બે ગેટવે. તેમની વચ્ચે IKE નીતિ વહેંચવી ઠીક છે; એક જ ગેટવે રાખીને એ આશા રાખવી કે તે જાતે બીજો સ્રોત પસંદ કરશે, ઠીક નથી.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

પછી ટનલ જોડો અને દૂરસ્થ પ્રીફિક્સને બે next hop આપો, દરેક ટનલ માટે એક:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

એક ગેટવે address પ્રકારની બે સૂચનાઓ રાખી શકે કે નહીં તે રિલીઝ પર અને ઉપકરણ કઈ IKE પ્રક્રિયા ચલાવે છે તેના પર આધાર રાખે છે. kmd આધારિત જૂનું Junos પ્રતિ ગેટવે એક જ દૂરસ્થ સરનામું લે છે; નવા બિલ્ડ ઘણા ઉમેદવારો સંભાળે છે પણ પોતાની મર્યાદાઓ ઉમેરે છે, અને ઉચ્ચ ઉપલબ્ધતા ક્લસ્ટર સામાન્ય જગ્યા છે જ્યાં આ ટેકો સાંકડો થાય છે. આને જૂના ચેસિસ પરથી કોપી કરતા પહેલાં તમારા ચોક્કસ બિલ્ડની રિલીઝ નોંધ જુઓ.

કઈ એસોસિએશને પેકેટ વહન કર્યું તેની પુષ્ટિ કરો

બે SA અને બે ટનલ નથી કહેતાં કે સત્ર કોણે આગળ મોકલ્યું. ઉપકરણને સીધું પૂછો અને ક્ષેત્રોની તુલના તમારા ઇરાદાની જોડી સાથે કરો:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

વિગતવાર આઉટપુટ દરેક એસોસિએશન માટે સ્થાનિક અને દૂરસ્થ ગેટવે જણાવે છે, જે અણધાર્યા સ્રોતથી નક્કી થયેલી ટનલ ઓળખવાનો સૌથી ઝડપી માર્ગ છે. પછી ટ્રાફિક પસાર કરતી વખતે st0.1 અને st0.2 પર પ્રતિ એકમ પેકેટ કાઉન્ટર જુઓ; જે ટનલ કંઈ વહન કરતી નથી તે તેનું SA રાખે છે અને સારાંશમાં સ્વસ્થ દેખાય છે.

દરેક નિષ્ફળતાને તેનું પોતાનું ડિટેક્ટર આપો

સાથીની જીવંતતા, સ્થાનિક અપલિંકનું નુકસાન, સુરક્ષિત રૂટની પાછી ખેંચ અને એપ્લિકેશનનું તૂટવું એ ચાર અલગ ઘટનાઓ છે. DPD ફક્ત પ્રથમનો જવાબ આપે છે, તેથી તેને એવા અંતરાલ અને મર્યાદા સાથે ગોઠવો જે તમે વાજબી ઠેરવી શકો, ડિફૉલ્ટ છોડીને બાકીનું બધું આવરી લે છે એમ માનવાને બદલે:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

દૂરસ્થ સબનેટની અંદરના ગંતવ્યને ચકાસતું ટનલ મોનિટરિંગ DPD ન જોઈ શકે તે સ્થિતિ આવરે છે: IKE જીવંત છે, ગેટવે જવાબ આપે છે, અને સુરક્ષિત પ્રીફિક્સ છતાં પહોંચની બહાર છે. બંનેમાંથી કોણે અગ્રતા ખેંચવી જોઈએ તે પસંદ કરો, કારણ કે બંને એકસાથે સક્રિય થાય તો સ્વચ્છ ફેલઓવરને બદલે ફેરફારોનું તોફાન આવે છે.

દૂરસ્થ છેડો ભૂલશો નહીં. દૂરસ્થ સાઇટ પર સ્થાપિત પ્રાધાન્ય રૂટ તમે પહેલેથી છોડી દીધેલી ટનલ તરફ જ ઇશારો કરતો રહે છે, અને કોઈ સ્થાનિક ટાઇમર તેને સુધારતું નથી. એ જ અગ્રતા તર્ક બંને સાથીઓ પર પ્રકાશિત કરો, અને નોંધો કે પુનઃસ્થાપિત લિંક ટ્રાફિક જાતે પાછો લઈ શકે છે કે હાથે બદલવો પડશે.

બીજાને સ્પર્શ કર્યા વિના એક લિંકને ફરી સરનામું આપો

જ્યારે ISP તમને નવો બ્લોક આપે, ત્યારે એક સમયે એક સંબંધ બદલો. તે જોડી માટે બંને સાથીઓ પર address અથવા local-address અપડેટ કરો, commit કરો, અને ઉપકરણ પરના બધા SA સાફ કરવાને બદલે ફક્ત અસરગ્રસ્ત એસોસિએશનને ઇન્ડેક્સ દ્વારા સાફ કરો. વૈશ્વિક સફાઈ સ્વસ્થ ટનલને પણ લઈ જાય છે અને જાળવણી વિન્ડોને વિક્ષેપમાં ફેરવે છે.

કંઈપણ સાફ કરતા પહેલાં એક નિષ્ફળ ફ્લો અને તેના સત્રની વિગત પુરાવા તરીકે રાખો, પછી ઉપરની ચકાસણી નવી સરનામા જોડી પર ફરી ચલાવો. લિંક પુનઃસ્થાપિત કરવી એ રાઉટિંગ નિર્ણય છે, તેથી પરત ફરવાને અલગ ચકાસાયેલ પગલું ગણો, જૂની અગ્રતા જાતે પાછી આવશે એમ માનવાને બદલે.

ફેરફારને ટૂંકી ચેકલિસ્ટ સાથે બંધ કરો

ડ્યુઅલ-WAN ટનલ રચના ત્યારે પૂરી થાય છે જ્યારે તમે દરેક સત્ર પાછળની જોડી નામ આપી શકો, ત્યારે નહીં જ્યારે બંને SA ઉપર હોય. નીચેની યાદી તમે ખરેખર બદલેલા ઉપકરણ પર જુઓ:

• દરેક વચન આપેલી જોડી પાસે એક ગેટવે, એક st0 એકમ અને એક રૂટ એન્ટ્રી છે.
• દરેક ટનલને પેકેટ વહન કરતી જોઈ છે, ફક્ત SA રાખતી નહીં.
• બંને છેડા ઓળખ અને કઈ બાજુ અગ્રતા પુનઃસ્થાપિત કરે છે તેના પર સહમત છે.
• દરેક જોડીનો પરત માર્ગ તેના જવાના માર્ગની બાજુમાં લખેલો છે.

જો કોઈ પંક્તિ નિષ્ફળ જાય, તો આગળની ઉમેરતા પહેલાં તે જોડી સુધારો; બે અડધી ચાલતી ટનલ એક બીજા પર મૂકવાથી કાઉન્ટર અર્થહીન અને failover વર્તન અંદાજની બહાર થાય છે.