IPsec preko privatnog WAN-a: granice SRX politika koje treba provjeriti

Privatni WAN može prenositi vanjske pakete IPsec tunela, pa adrese partnera ne moraju biti javne internetske adrese. Mijenja se put koji ti vanjski paketi prelaze i dozvole na sučelju koje ih prima. Na SRX-u su vanjski kontrolni put, vezivanje tunelskog sučelja i politika proslijeđenog prometa tri odvojena objekta. Otklanjanje kvara na jednom dok su druga dva pogrešna uobičajen je razlog zašto tunel ostaje dolje.

Prvo zabilježite vanjski IKE put

Zapišite četiri vrijednosti prije nego što dirnete politiku: adresu partnera, lokalno sučelje koje prima IKE, kontekst usmjeravanja koji stiže do partnera i rutu koja odabire to sučelje. IKE paketi su adresirani na sam SRX, pa im treba host-inbound dozvola na zoni prijema, a ne politika proslijeđenog prometa. Privatna WAN adresa ne uklanja taj zahtjev, jer paket i dalje završava na uređaju.

Provjerite instalirano stanje sa show security ike sa i konfiguraciju sa show configuration security ike. Prva pokazuje postoji li faza 1; druga pokazuje što uređaj misli da bi trebao raditi.

Vežite tunelsko sučelje za ispravnu politiku

VPN zasnovan na usmjeravanju veže tunelsko sučelje za VPN objekt, a zaštićeni prefiksi se usmjeravaju u to sučelje. Zabilježite koje sučelje, koja ruta i koja politika dopušta aplikacije između relevantnih zona. Zona nazvana trust je spremnik politika, a ime ne dokazuje da su potrebni kontrolni ili podatkovni paketi dopušteni.

Čitajte stvarne veze, a ne stari dijagram: show configuration security ipsec vpn za postavku vezivanja za sučelje i show configuration security policies za pravila koja upućuju na tunelsku zonu.

Ako zaštićena ruta pokazuje negdje drugdje, tunel može biti gore dok promet nikada ne ulazi u njega. To je problem usmjeravanja u IPsec kostimu.

Držite rutu do partnera na underlayu

Ruta do vanjskog partnera mora se razriješiti kroz underlay, a ne rekurzivno kroz tunel koji uspostavlja. Ako ruta do partnera pokazuje na tunelsko sučelje, IKE paketi jure vlastiti tunel i faza 1 nikada se ne završava. Povratni put za zaštićeni promet treba vlastitu ispravnu rutu i politiku, i to je obično nedostajuća polovica kada jedan smjer radi. Pročitajte unos rutne tablice za adresu partnera i potvrdite da je izlazno sučelje WAN sučelje.

Provjerite to sa show route 198.51.100.10, uz stvarnu adresu partnera, i potvrdite da sljedeći hop nije tunelsko sučelje.

Provjerite kontrolu i uslugu po redu

Radite prema gore: stanje faze 1, stanje faze 2, zatim stvarni tok aplikacije. show security ipsec sa navodi sigurnosne asocijacije, a show security flow session destination-prefix 10.60.0.0/16 pokazuje stvaraju li se proslijeđene sesije za zaštićenu mrežu.

Zdrav kontrolni odnos i ispravan put podataka dva su različita rezultata, a prolazak faze 2 ništa ne govori o tome dopušta li politika aplikaciju. Testirajte jedan dopušteni tok i jedan koji politika treba odbiti, da razlika bude vidljiva.

Zabilježite zajedno rutu do partnera, host-inbound dozvolu, vezivanje tunela, unutarnju rutu i politiku aplikacije. Tih pet zapisa pokazuje koji sloj posjeduje budući kvar bez oslanjanja na oznaku porta.