निजी WAN पर IPsec: SRX नीति की सीमाएँ जिनकी जाँच करनी चाहिए

एक निजी WAN IPsec टनल के बाहरी पैकेट ले जा सकता है, इसलिए पीयर पते सार्वजनिक इंटरनेट पते होने जरूरी नहीं हैं। जो बदलता है वह इन बाहरी पैकेटों का पथ और उन्हें प्राप्त करने वाले इंटरफ़ेस पर की अनुमतियाँ हैं। SRX पर बाहरी नियंत्रण पथ, टनल इंटरफ़ेस बाइंडिंग और आगे भेजे गए ट्रैफ़िक की नीति तीन अलग ऑब्जेक्ट हैं। बाकी दो गलत होने पर एक का निदान करना ही टनल के नीचे रहने का सामान्य कारण है।

पहले बाहरी IKE पथ दर्ज करें

नीति को छूने से पहले चार मान लिखें: पीयर पता, वह स्थानीय इंटरफ़ेस जो IKE प्राप्त करता है, वह रूटिंग संदर्भ जो पीयर तक पहुँचता है और वह रूट जो उस इंटरफ़ेस को चुनता है। IKE पैकेट SRX को ही संबोधित होते हैं, इसलिए उन्हें प्राप्त करने वाले ज़ोन में host-inbound अनुमति चाहिए, आगे भेजे गए ट्रैफ़िक की नीति नहीं। निजी WAN पता उस आवश्यकता को नहीं हटाता, क्योंकि पैकेट अभी भी डिवाइस पर समाप्त होता है।

स्थापित स्थिति इससे जाँचें: show security ike sa और कॉन्फ़िगरेशन इससे: show configuration security ike। पहला बताता है कि चरण 1 मौजूद है या नहीं; दूसरा बताता है कि डिवाइस क्या करना चाहिए यह मानता है।

टनल इंटरफ़ेस को सही नीति से बाइंड करें

रूटिंग-आधारित VPN टनल इंटरफ़ेस को VPN ऑब्जेक्ट से बाइंड करता है, और संरक्षित प्रीफ़िक्स उस इंटरफ़ेस में रूट होते हैं। दर्ज करें कि कौन सा इंटरफ़ेस, कौन सा रूट और कौन सी नीति संबंधित ज़ोन के बीच एप्लिकेशन की अनुमति देती है। trust नाम का ज़ोन नीति कंटेनर है, और नाम यह साबित नहीं करता कि आवश्यक नियंत्रण या डेटा पैकेट की अनुमति है।

पुराने आरेख के बजाय वास्तविक बाइंडिंग पढ़ें: show configuration security ipsec vpn इंटरफ़ेस से बाइंड करने की सेटिंग के लिए और show configuration security policies टनल ज़ोन का संदर्भ देने वाले नियमों के लिए।

अगर संरक्षित रूट कहीं और इंगित करता है, तो टनल ऊपर हो सकता है जबकि ट्रैफ़िक कभी उसमें नहीं जाता। यह IPsec के वेश में रूटिंग की समस्या है।

पीयर रूट को underlay पर रखें

बाहरी पीयर तक का रूट underlay के माध्यम से हल होना चाहिए, न कि उस टनल के माध्यम से पुनरावर्ती रूप से जिसे वह स्थापित करता है। अगर पीयर रूट टनल इंटरफ़ेस की ओर इंगित करता है, तो IKE पैकेट अपनी ही टनल का पीछा करते हैं और चरण 1 कभी पूरा नहीं होता। संरक्षित ट्रैफ़िक के उत्तर पथ को अपना सही रूट और नीति चाहिए, और जब एक दिशा काम करती है तो आमतौर पर यही गायब आधा होता है। पीयर पते के लिए रूट तालिका प्रविष्टि पढ़ें और पुष्टि करें कि आउटगोइंग इंटरफ़ेस WAN इंटरफ़ेस है।

इसे इससे जाँचें: show route 198.51.100.10, वास्तविक पीयर पता डालकर, और पुष्टि करें कि अगला हॉप टनल इंटरफ़ेस नहीं है।

नियंत्रण और सेवा को क्रम में सत्यापित करें

ऊपर की ओर काम करें: चरण 1 की स्थिति, चरण 2 की स्थिति, फिर एक वास्तविक एप्लिकेशन प्रवाह। show security ipsec sa सुरक्षा एसोसिएशन सूचीबद्ध करता है, और show security flow session destination-prefix 10.60.0.0/16 दिखाता है कि संरक्षित नेटवर्क के लिए आगे भेजे गए सत्र बन रहे हैं या नहीं।

स्वस्थ नियंत्रण संबंध और कार्यशील डेटा पथ दो अलग परिणाम हैं, और चरण 2 पास होना इस बारे में कुछ नहीं कहता कि नीति एप्लिकेशन की अनुमति देती है या नहीं। एक अनुमत प्रवाह और एक जिसे नीति को अस्वीकार करना चाहिए, दोनों जाँचें ताकि अंतर दिखे।

पीयर रूट, host-inbound अनुमति, टनल बाइंडिंग, आंतरिक रूट और एप्लिकेशन नीति एक साथ दर्ज करें। ये पाँच रिकॉर्ड दिखाते हैं कि भविष्य की विफलता किस परत की है, पोर्ट लेबल पर निर्भर हुए बिना।