Junos Dual-WAN IPsec VPN: povezivanje izvornog puta s pravim pristupnikom

Dvije WAN veze po lokaciji izgledaju kao redundancija dok ne pokušate dokazati koji je par adresa određeni tok doista upotrijebio. Na SRX-u jedan IKE pristupnik nosi jedno vanjsko sučelje i jednu lokalnu adresu; popis udaljenih kandidata ne stvara drugi lokalni izvor. Zato ovaj prohod počinje matricom parova, a ne konfiguracijom, jer Junos bez oklijevanja commita dizajn koji pokriva samo polovicu predviđenih kombinacija. Na to sam naišao na dva SRX345s: rezervni tunel se čisto podigao i ipak je srušio sesiju pri povratku.

Prođite korake redom: nabrojite parove koje morate podržati, izgradite jedan pristupnik po lokalnom izvoru, potvrdite koja je asocijacija prenijela promet i tek onda odlučite što smije promijeniti koja vrsta kvara.

Mapirajte parove prije nego dotaknete CLI

Ako lokacija A može izlaziti iz A1 ili A2, a lokacija B može primati na B1 ili B2, imate četiri vanjska para adresa. Većina dizajna treba dva od njih stalno, a druga dva tretira kao opcionalna. Zapišite matricu i označite svaki redak, jer svaki obećani redak kasnije stoji pristupnik, tunelsko sučelje i odluku o usmjeravanju.

Svaki potrebni par treba tri stvari istodobno: dostupan underlay između točno tih adresa, uzajamno prihvaćanje identiteta partnera i izvorne adrese na oba kraja te zaštićeni povratni put. Par koji radi samo u jednom smjeru ipak pokaže tunel, a kvar se kasnije pojavi kao jednosmjerni promet aplikacije.

Jedan pristupnik po lokalnom izvoru, ne po udaljenoj lokaciji

Popis udaljenih adresa pripada pristupniku, kao i lokalni izvor. referenca IKE pristupnika drži udaljene adrese, vanjsko sučelje, lokalnu adresu i otkrivanje mrtvog partnera kao odvojene postavke, i upravo je to poanta: dva lokalna izvora znače dva pristupnika na dvije jedinice st0. Dijeljenje IKE politike među njima je u redu; zadržati jedan pristupnik i nadati se da će sam odabrati drugi izvor nije.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Zatim priključite tunele i dajte udaljenom prefiksu dva next hopa, po jedan na tunel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Može li jedan pristupnik držati dvije instrukcije tipa address, ovisi o izdanju i o tome koji proces IKE uređaj izvršava. Stariji Junos zasnovan na kmd prihvaća jednu udaljenu adresu po pristupniku; novije gradnje svladavaju više kandidata, ali dodaju vlastita ograničenja, a klasteri visoke dostupnosti često su mjesto gdje se ta podrška sužava. Provjerite bilješke o izdanju za svoju točnu gradnju prije nego to kopirate sa starijeg kućišta.

Potvrdite koja je asocijacija prenijela paket

Dvije SA i dva tunela ne govore koja je od njih proslijedila sesiju. Pitajte uređaj izravno i usporedite polja s parom koji ste namjeravali:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Detaljni ispis navodi lokalni i udaljeni pristupnik za svaku asocijaciju, što je najbrži način da uočite tunel koji se dogovorio s izvora kojem se niste nadali. Zatim promatrajte brojače paketa po jedinici na st0.1 i st0.2 dok propuštate promet; tunel koji ništa ne nosi zadržava svoj SA i u pregledu izgleda zdravo.

Dajte svakoj vrsti kvara vlastiti detektor

Živost partnera, gubitak lokalnog uplinka, povlačenje zaštićene rute i kvar aplikacije četiri su različita događaja. DPD odgovara samo na prvi, pa ga postavite s intervalom i pragom koje možete braniti umjesto da ostavite zadanu vrijednost i pretpostavite da pokriva ostalo:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Nadzor tunela koji testira odredište unutar udaljene podmreže pokriva slučaj koji DPD ne vidi: IKE je živ, pristupnik odgovara, a zaštićeni prefiks je ipak nedostupan. Odaberite koji od dvaju treba vući prednost, jer ako se oba aktiviraju istodobno nastaje oluja promjena umjesto čistog prebacivanja.

Ne zaboravite drugi kraj. Preferirana ruta koja ostane na udaljenoj lokaciji i dalje pokazuje u tunel koji ste već napustili, i nijedan lokalni timer to ne popravlja. Objavite istu logiku prednosti na oba partnera i zabilježite smije li obnovljena veza automatski preuzeti promet ili se mora prebaciti ručno.

Ponovno adresirajte jednu vezu bez diranja druge

Kad vam ISP dodijeli novi blok, mijenjajte jedan odnos odjednom. Ažurirajte address ili local-address na oba partnera za taj par, napravite commit i očistite samo zahvaćene asocijacije po indeksu umjesto da čistite sve SA na uređaju. Globalno čišćenje odnosi i zdravi tunel i pretvara servisni prozor u ispad.

Sačuvajte jedan neuspjeli tok i pojedinosti njegove sesije kao dokaz prije nego što bilo što počistite, zatim ponovno pokrenite gornje provjere na novom paru adresa. Vraćanje veze odluka je o usmjeravanju, zato povratak tretirajte kao zaseban isproban korak umjesto da pretpostavljate da se stara prednost vraća sama.

Zatvorite promjenu kratkim popisom provjera

Dizajn dual-WAN tunela gotov je kad možete imenovati par iza svake sesije, a ne kad su oba SA podignuta. Prođite donji popis na uređaju koji ste doista promijenili:

• Svaki obećani par ima pristupnik, jedinicu st0 i unos rute.
• Svaki je tunel viđen kako nosi pakete, a ne samo kako drži SA.
• Oba se kraja slažu o otkrivanju i o tome koja strana obnavlja prednost.
• Povratni put svakog para zapisan je uz njegov put tamo.

Ako neki redak ne uspije, popravite taj par prije nego dodate sljedeći; slaganje dvaju napola funkcionalnih tunela čini brojače besmislenima, a ponašanje failovera nepredvidivim.