ખાનગી WAN પર IPsec: SRX નીતિની સીમાઓ જે તપાસવી જોઈએ

ખાનગી WAN IPsec ટનલના બહારના પેકેટ વહન કરી શકે છે, તેથી પીઅર સરનામાં સાર્વજનિક ઇન્ટરનેટ સરનામાં હોવા જરૂરી નથી. જે બદલાય છે તે એ બહારના પેકેટ લેતો માર્ગ અને તેમને સ્વીકારતા ઇન્ટરફેસ પરની પરવાનગીઓ છે. SRX પર બહારનો નિયંત્રણ માર્ગ, ટનલ ઇન્ટરફેસ બાઈન્ડિંગ અને ફોરવર્ડ કરેલા ટ્રાફિકની નીતિ ત્રણ અલગ ઑબ્જેક્ટ છે. બાકીના બે ખોટા હોય ત્યારે એકનું નિદાન કરવું એ ટનલ નીચે રહેવાનું સામાન્ય કારણ છે.

પહેલા બહારનો IKE માર્ગ નોંધો

નીતિને સ્પર્શ કરતા પહેલા ચાર મૂલ્યો લખો: પીઅર સરનામું, IKE સ્વીકારતું સ્થાનિક ઇન્ટરફેસ, પીઅર સુધી પહોંચતો રાઉટિંગ સંદર્ભ અને તે ઇન્ટરફેસ પસંદ કરતો રૂટ. IKE પેકેટ SRX પોતાને સંબોધાય છે, તેથી તેમને સ્વીકારતા ઝોનમાં host-inbound પરવાનગી જોઈએ, ફોરવર્ડ કરેલા ટ્રાફિકની નીતિ નહીં. ખાનગી WAN સરનામું એ જરૂરિયાત દૂર કરતું નથી, કારણ કે પેકેટ હજી ઉપકરણ પર સમાપ્ત થાય છે.

સ્થાપિત સ્થિતિ આનાથી તપાસો: show security ike sa અને રૂપરેખાંકન આનાથી: show configuration security ike. પ્રથમ કહે છે કે તબક્કો 1 છે કે નહીં; બીજું કહે છે કે ઉપકરણ શું કરવું જોઈએ એમ માને છે.

ટનલ ઇન્ટરફેસને યોગ્ય નીતિ સાથે જોડો

રૂટિંગ આધારિત VPN ટનલ ઇન્ટરફેસને VPN ઑબ્જેક્ટ સાથે જોડે છે, અને સુરક્ષિત પ્રીફિક્સ તે ઇન્ટરફેસમાં રૂટ થાય છે. કયું ઇન્ટરફેસ, કયો રૂટ અને કઈ નીતિ સંબંધિત ઝોન વચ્ચેની એપ્લિકેશનને પરવાનગી આપે છે તે નોંધો. trust નામનો ઝોન નીતિ કન્ટેનર છે, અને નામ સાબિત કરતું નથી કે જરૂરી નિયંત્રણ અથવા ડેટા પેકેટ માન્ય છે.

જૂના આકૃતિને બદલે વાસ્તવિક બાઈન્ડિંગ વાંચો: show configuration security ipsec vpn ઇન્ટરફેસ સાથે જોડવાની સેટિંગ માટે અને show configuration security policies ટનલ ઝોનનો સંદર્ભ આપતા નિયમો માટે.

જો સુરક્ષિત રૂટ બીજે ક્યાંય નિર્દેશ કરે, તો ટનલ ઉપર હોઈ શકે જ્યારે ટ્રાફિક ક્યારેય તેમાં પ્રવેશતું નથી. આ IPsec વેશમાં રાઉટિંગની સમસ્યા છે.

પીઅર રૂટ underlay પર રાખો

બાહ્ય પીઅર સુધીનો રૂટ underlay દ્વારા ઉકેલાવો જોઈએ, તે સ્થાપિત કરે છે તે ટનલ દ્વારા પુનરાવર્તિત રીતે નહીં. જો પીઅર રૂટ ટનલ ઇન્ટરફેસ તરફ નિર્દેશ કરે, તો IKE પેકેટ પોતાની ટનલનો પીછો કરે છે અને તબક્કો 1 ક્યારેય પૂર્ણ થતો નથી. સુરક્ષિત ટ્રાફિકના જવાબ માર્ગને પોતાનો સાચો રૂટ અને નીતિ જોઈએ, અને જ્યારે એક દિશા કામ કરે ત્યારે સામાન્ય રીતે એ જ ખૂટતો અડધો ભાગ હોય છે. પીઅર સરનામા માટે રૂટ કોષ્ટકની પ્રવેશ વાંચો અને ખાતરી કરો કે આઉટગોઇંગ ઇન્ટરફેસ WAN ઇન્ટરફેસ છે.

આનાથી તપાસો: show route 198.51.100.10, વાસ્તવિક પીઅર સરનામું મૂકીને, અને ખાતરી કરો કે આગલું હોપ ટનલ ઇન્ટરફેસ નથી.

નિયંત્રણ અને સેવા ક્રમમાં ચકાસો

ઉપર તરફ કામ કરો: તબક્કો 1 ની સ્થિતિ, તબક્કો 2 ની સ્થિતિ, પછી વાસ્તવિક એપ્લિકેશન પ્રવાહ. show security ipsec sa સુરક્ષા એસોસિએશનની યાદી આપે છે, અને show security flow session destination-prefix 10.60.0.0/16 સુરક્ષિત નેટવર્ક માટે ફોરવર્ડ સેશન બની રહ્યા છે કે નહીં તે દર્શાવે છે.

સ્વસ્થ નિયંત્રણ સંબંધ અને કાર્યક્ષમ ડેટા માર્ગ બે અલગ પરિણામો છે, અને તબક્કો 2 પસાર થવાથી એ વિશે કંઈ કહેવાતું નથી કે નીતિ એપ્લિકેશનને પરવાનગી આપે છે કે નહીં. એક માન્ય પ્રવાહ અને એક જે નીતિએ નકારવો જોઈએ તેનું પરીક્ષણ કરો, જેથી તફાવત દેખાય.

પીઅર રૂટ, host-inbound પરવાનગી, ટનલ બાઈન્ડિંગ, આંતરિક રૂટ અને એપ્લિકેશન નીતિ એકસાથે નોંધો. આ પાંચ રેકોર્ડ દર્શાવે છે કે ભવિષ્યની નિષ્ફળતા કયા સ્તરની છે, પોર્ટ લેબલ પર આધાર રાખ્યા વિના.