Junos két WAN-os IPsec VPN: a forrásútvonal párosítása a megfelelő átjáróval

Két WAN-összeköttetés telephelyenként redundanciának tűnik, amíg meg nem próbálja bizonyítani, melyik cím párost használta egy adott folyam. Az SRX-en egy IKE-átjáró egy külső interfészt és egy helyi címet visz; a távoli jelöltek listája nem hoz létre második helyi forrást. Ezért ez a végigvezetés a párok mátrixával kezdődik, nem a konfigurációval, mert a Junos készségesen commitol egy olyan tervet, amely a szándékolt kombinációk csak felét fedi le. Két SRX345s-en találkoztam ezzel: a tartalék alagút tisztán feljött, és a visszaváltáskor mégis letérdelte a munkamenetet.

Járja végig a lépéseket sorrendben: sorolja fel a támogatandó párokat, építsen egy átjárót helyi forrásonként, igazolja, melyik társítás vitte a forgalmat, és csak ezután döntse el, mit változtathat az egyes hibatípus.

Térképezze fel a párokat, mielőtt hozzányúl a CLI-hez

Ha az A telephely A1-ből vagy A2-ből tud forrásozni, és a B telephely B1-en vagy B2-n tud fogadni, négy külső cím párja van. A legtöbb tervnek kettőre van folyamatosan szüksége, a másik kettőt pedig opcionálisként kezeli. Írja fel a mátrixot, és jelölje meg minden sort, mert minden megígért sor később egy átjáróba, egy alagútinterfészbe és egy útválasztási döntésbe kerül.

Minden szükséges párnak egyszerre három dologra van szüksége: elérhető underlayre pontosan ezen címek között, a partneridentitás és a forráscím kölcsönös elfogadására mindkét végén, valamint védett visszaútra. Az egyirányban működő pár is mutat alagutat, a hiba később az alkalmazás egyirányú forgalmaként jelenik meg.

Egy átjáró helyi forrásonként, nem távoli telephelyenként

A távoli címek listája egy átjáróhoz tartozik, és a helyi forrás is. az IKE-átjárók referenciája a távoli címeket, a külső interfészt, a helyi címet és a halott partner észlelését külön beállításként tartja, és éppen ez a lényeg: két helyi forrás két átjárót jelent két st0-egységen. Az IKE-házirend megosztása közöttük rendben van; egyetlen átjárót megtartani és abban bízni, hogy magától másik forrást választ, nem.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Ezután csatlakoztassa az alagutakat, és adjon a távoli előtagnak két next hopot, egyet alagútonként:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Hogy egy átjáró tarthat-e két address típusú utasítást, a kiadástól és attól függ, melyik IKE-folyamat fut az eszközön. A régebbi kmd-alapú Junos átjárónként egyetlen távoli címet fogad el; az újabb buildek több jelöltet kezelnek, de saját korlátokat adnak hozzá, és a magas rendelkezésre állású klaszterek gyakori helye ennek a támogatásnak a szűküléséhez. Nézze meg a pontos build kiadási megjegyzéseit, mielőtt ezt egy régebbi házról másolja.

Erősítse meg, melyik társítás vitte a csomagot

Két SA és két alagút nem mondja meg, melyik továbbította a munkamenetet. Kérdezze meg közvetlenül az eszközt, és hasonlítsa össze a mezőket azzal a párral, amelyet szándékolt:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

A részletes kimenet minden társításnál megadja a helyi és a távoli átjárót, ami a leggyorsabb módja annak, hogy észrevegyen egy alagutat, amely nem várt forrásból egyezett meg. Ezután figyelje az egységenkénti csomagszámlálókat az st0.1-en és st0.2-n, miközben forgalmat küld át; az az alagút, amely semmit nem visz, megtartja SA-ját, és összesítésben egészségesnek látszik.

Minden hibatípusnak adjon saját detektort

A partner életben léte, a helyi felső kapcsolat elvesztése, a védett útvonal visszavonása és az alkalmazás meghibásodása négy különböző esemény. A DPD csak az elsőre válaszol, ezért olyan intervallummal és küszöbértékkel konfigurálja, amelyet meg tud védeni, ahelyett hogy az alapértéket hagyná meg, és feltételezné, hogy lefedi a többit:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Az az alagútfigyelés, amely a távoli alhálózaton belüli célállomást tesztel, lefedi azt az esetet, amelyet a DPD nem lát: az IKE él, az átjáró válaszol, és a védett előtag mégis elérhetetlen. Válassza ki, melyik kettő húzza a preferenciát, mert ha mindkettő egyszerre lép fel, változási vihar keletkezik tiszta átállás helyett.

Ne feledkezzen meg a távoli végpontról. A távoli telephelyen telepítve maradó előnyben részesített útvonal továbbra is arra az alagútra mutat, amelyet már elhagyott, és semmilyen helyi időzítő nem javítja ezt. Tegye közzé ugyanazt a preferencialogikát mindkét partneren, és jegyezze fel, hogy a helyreállt kapcsolat automatikusan visszaveheti-e a forgalmat, vagy kézzel kell átkapcsolni.

Adjon új címet az egyik kapcsolatnak a másik érintése nélkül

Amikor a szolgáltató új blokkot ad, egyszerre csak egy kapcsolatot módosítson. Frissítse az adott pár address vagy local-address beállítását mindkét partneren, commitoljon, és csak az érintett társításokat törölje index szerint, ahelyett hogy az eszköz összes SA-ját törölné. A globális törlés az egészséges alagutat is elviszi, és a karbantartási ablakot kieséssé változtatja.

Őrizzen meg egy sikertelen folyamot és annak munkamenet-részleteit bizonyítékként, mielőtt bármit kitakarítana, majd futtassa újra a fenti ellenőrzéseket az új cím páron. A kapcsolat helyreállítása útválasztási döntés, ezért a visszatérést külön tesztelt lépésként kezelje, ahelyett hogy feltételezné, hogy a régi preferencia magától visszatér.

Zárja le a változtatást egy rövid ellenőrzőlistával

A két WAN-os alagútterv akkor kész, amikor minden munkamenet mögött meg tudja nevezni a párt, nem akkor, amikor mindkét SA fent van. Járja végig az alábbi listát azon az eszközön, amelyet ténylegesen módosított:

• Minden megígért párnak van átjárója, st0-egysége és útvonalbejegyzése.
• Minden alagutat láttak csomagokat vinni, nem csak SA-t tartani.
• Mindkét vég egyetért az észlelésben és abban, melyik oldal állítja vissza a preferenciát.
• Minden pár visszaútja a menetútja mellé van feljegyezve.

Ha egy sor nem áll, javítsa ki azt a párt, mielőtt a következőt hozzáadná; két félig működő alagút egymásra rakása értelmetlenné teszi a számlálókat, és kiszámíthatatlanná a failover viselkedését.