IPsec privát WAN felett: ellenőrizendő SRX-házirendhatárok

Egy privát WAN továbbíthatja egy IPsec-tunel külső csomagjait, ezért a partner címeknek nem kell nyilvános internetcímeknek lenniük. Ami változik, az az útvonal, amelyet ezek a külső csomagok bejárnak, és az engedélyek a fogadó interfészen. Egy SRX-en a külső vezérlési útvonal, a tunelinterfész kapcsolása és a továbbított forgalom házirendje három külön objektum. Az egyik hibakeresése, miközben a másik kettő hibás, a szokásos oka annak, hogy a tunel lent marad.

Először rögzítse a külső IKE-útvonalat

A házirend érintése előtt írjon le négy értéket: a partner címét, az IKE-t fogadó helyi interfészt, a partnert elérő útválasztási kontextust és az interfészt kiválasztó útvonalat. Az IKE-csomagok magára az SRX-re címezve vannak, ezért host-inbound engedélyre van szükségük a fogadó zónában, nem továbbított forgalom házirendjére. A privát WAN-cím nem szünteti meg ezt a követelményt, mert a csomag továbbra is az eszközön végződik.

Ellenőrizze a telepített állapotot ezzel: show security ike sa és a konfigurációt ezzel: show configuration security ike. Az első megmondja, létezik-e az 1-es fázis; a második megmondja, mit gondol az eszköz, mit kellene tennie.

Kapcsolja a tunelinterfészt a megfelelő házirendhez

Útválasztáson alapuló VPN egy tunelinterfészt VPN-objektumhoz kapcsol, és a védett előtagok abba az interfészbe irányulnak. Rögzítse, melyik interfész, melyik útvonal és melyik házirend engedi az alkalmazásokat az érintett zónák között. A trust nevű zóna házirendtároló, és a név nem bizonyítja, hogy a szükséges vezérlő- vagy adatcsomagok engedélyezettek.

A tényleges kapcsolásokat olvassa, ne egy régi diagramot: show configuration security ipsec vpn az interfészhez kapcsolás beállításához és show configuration security policies a tunelzónára hivatkozó szabályokhoz.

Ha a védett útvonal máshova mutat, a tunel fent lehet, miközben a forgalom soha nem lép be oda. Ez útválasztási probléma IPsec-jelmezben.

Tartsa a partnerútvonalat az underlayen

A külső partnerhez vezető útvonalat az underlayen keresztül kell feloldani, nem rekurzívan a létrehozott tunelen át. Ha a partnerútvonal a tunelinterfészre mutat, az IKE-csomagok a saját tunelüket kergetik, és az 1-es fázis soha nem fejeződik be. A védett forgalom válaszútvonalának saját helyes útvonalra és házirendre van szüksége, és általában ez a hiányzó fél, amikor az egyik irány működik. Olvassa el a partner címéhez tartozó útválasztási tábla bejegyzését, és erősítse meg, hogy a kimenő interfész a WAN-interfész.

Ellenőrizze ezzel: show route 198.51.100.10, a valódi partnercím behelyettesítésével, és erősítse meg, hogy a következő ugrás nem tunelinterfész.

Ellenőrizze a vezérlést és a szolgáltatást sorrendben

Haladjon felfelé: az 1-es fázis állapota, a 2-es fázis állapota, majd egy valódi alkalmazásfolyam. show security ipsec sa felsorolja a biztonsági társításokat, és show security flow session destination-prefix 10.60.0.0/16 megmutatja, létrejönnek-e továbbított munkamenetek a védett hálózat számára.

Az egészséges vezérlési kapcsolat és a működő adatútvonal két különböző eredmény, és a 2-es fázis teljesítése semmit nem mond arról, hogy a házirend engedi-e az alkalmazást. Teszteljen egy engedélyezett folyamot és egyet, amelyet a házirendnek el kell utasítania, hogy a különbség látható legyen.

Rögzítse együtt a partnerútvonalat, a host-inbound engedélyt, a tunel kapcsolását, a belső útvonalat és az alkalmazás házirendjét. Ez az öt feljegyzés megmutatja, melyik réteg felelős egy jövőbeli hibáért, anélkül hogy portcímkére támaszkodna.