Junos երկու WAN IPsec VPN՝ աղբյուրի ուղին ճիշտ դարպասի հետ համադրելը
Junos SRX-ի ուղեցույց երկու WAN IPsec-ի համար։ համադրեք յուրաքանչյուր տեղական աղբյուրը իր թեկնածու դարպասների հետ, ապա ապացուցեք, թե որ ասոցիացիան է իրականում տեղափոխել թրաֆիկը։
Մեկ կայքի համար երկու WAN գիծը թվում է ավելորդություն, քանի դեռ չեք փորձում ապացուցել, թե կոնկրետ հոսքը իրականում որ հասցեազույգն է օգտագործել։ SRX-ում մեկ IKE դարպաս կրում է մեկ արտաքին ինտերֆեյս և մեկ տեղական հասցե՝ հեռավոր թեկնածուների ցանկը երկրորդ տեղական աղբյուր չի ստեղծում։ Այդ պատճառով այս ուղեցույցը սկսվում է զույգերի մատրիցայից, ոչ թե կոնֆիգուրացիայից, քանի որ Junos-ը հանգիստ commit է անում նախագիծ, որը ծածկում է ձեր մտադրած համակցությունների միայն կեսը։ Ես սա հանդիպել եմ երկու SRX345s-ի վրա՝ պահուստային թունելը մաքուր բարձրացավ և այնուամենայնիվ վայր գցեց սեսիան վերադարձի ժամանակ։
Անցեք քայլերը հերթականությամբ՝ թվարկեք այն զույգերը, որոնք պետք է աջակցեք, կառուցեք մեկ դարպաս յուրաքանչյուր տեղական աղբյուրի համար, հաստատեք, թե որ ասոցիացիան է տեղափոխել թրաֆիկը, և միայն դրանից հետո որոշեք, թե յուրաքանչյուր տեսակի խափանում ինչ կարող է փոխել։
Քարտեզագրեք զույգերը նախքան CLI-ին դիպչելը
Եթե A կայքը կարող է աղբյուր լինել A1-ից կամ A2-ից, իսկ B կայքը կարող է ընդունել B1-ի կամ B2-ի վրա, դուք ունեք արտաքին հասցեների չորս զույգ։ Դիզայնների մեծ մասին անհրաժեշտ է դրանցից երկուսը անընդհատ, իսկ մյուս երկուսը համարվում են ընտրովի։ Գրեք մատրիցան և նշեք յուրաքանչյուր տողը, որովհետև յուրաքանչյուր խոստացված տող ձեզ հետագայում արժենա մեկ դարպաս, մեկ թունելի ինտերֆեյս և մեկ երթուղային որոշում։
| Local source | Remote candidate | Required? |
|---|---|---|
| A1, ISP1 address | B1 | steady state |
| A1, ISP1 address | B2 | decide explicitly |
| A2, ISP2 address | B1 | decide explicitly |
| A2, ISP2 address | B2 | backup path |
Յուրաքանչյուր պահանջվող զույգի միաժամանակ պետք է երեք բան՝ հասանելի underlay հենց այդ հասցեների միջև, գործընկերոջ ինքնության և աղբյուրի հասցեի փոխադարձ ընդունում երկու ծայրերում, և պաշտպանված վերադարձի ուղի։ Միայն մեկ ուղղությամբ աշխատող զույգը միևնույն է թունել ցույց կտա, և խափանումը հետագայում կդրսևորվի որպես հավելվածի միակողմանի թրաֆիկ։
Մեկ դարպաս յուրաքանչյուր տեղական աղբյուրի համար, ոչ թե յուրաքանչյուր հեռավոր կայքի համար
Հեռավոր հասցեների ցանկը պատկանում է դարպասին, ինչպես նաև տեղական աղբյուրը։ IKE դարպասների տեղեկատուն պահում է հեռավոր հասցեները, արտաքին ինտերֆեյսը, տեղական հասցեն և մեռած գործընկերոջ հայտնաբերումը որպես առանձին կարգավորումներ, և հենց դա է իմաստը՝ երկու տեղական աղբյուր նշանակում է երկու դարպաս երկու st0 միավորների վրա։ IKE քաղաքականությունը նրանց միջև կիսելը նորմալ է՝ մեկ դարպաս պահել և հուսալ, որ ինքն իրեն այլ աղբյուր կընտրի, նորմալ չէ։
set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-onlyԱյնուհետև միացրեք թունելները և հեռավոր նախածանցին տվեք երկու next hop՝ մեկը յուրաքանչյուր թունելի համար:
set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20Արդյոք մեկ դարպասը կարող է պահել address տիպի երկու հրահանգ, կախված է թողարկումից և նրանից, թե սարքը որ IKE գործընթացն է կատարում։ kmd-ի վրա հիմնված հին Junos-ը ընդունում է մեկ հեռավոր հասցե յուրաքանչյուր դարպասի համար՝ նոր կառուցվածքները կառավարում են մի քանի թեկնածու, բայց ավելացնում են իրենց սահմանափակումները, և բարձր հասանելիության կլաստերները սովորական տեղ են, որտեղ այդ աջակցությունը նեղանում է։ Ստուգեք ձեր ճշգրիտ կառուցվածքի թողարկման նշումները նախքան սա ավելի հին շասսիից պատճենելը։
Հաստատեք, թե որ ասոցիացիան է տեղափոխել փաթեթը
Երկու SA և երկու թունել չեն ասում, թե դրանցից որն է փոխանցել սեսիան։ Հարցրեք սարքին ուղղակիորեն և համեմատեք դաշտերը ձեր մտադրած զույգի հետ:
show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packetsՄանրամասն ելքը նշում է տեղական և հեռավոր դարպասը յուրաքանչյուր ասոցիացիայի համար, ինչը ամենաարագ միջոցն է նկատելու անսպասելի աղբյուրից պայմանավորված թունելը։ Այնուհետև հետևեք միավորի համար փաթեթների հաշվիչներին st0.1-ի և st0.2-ի վրա, մինչ թրաֆիկ եք անցկացնում՝ թունելը, որը ոչինչ չի կրում, պահպանում է իր SA-ն և ամփոփ տեսքում առողջ է թվում։
Յուրաքանչյուր տեսակի խափանում տվեք սեփական հայտնաբերիչ
Գործընկերոջ կենսունակությունը, տեղական վերին կապի կորուստը, պաշտպանված երթուղու հետկանչը և հավելվածի խափանումը չորս տարբեր իրադարձություններ են։ DPD-ն պատասխանում է միայն առաջինին, ուստի կարգավորեք այն ինտերվալով և շեմով, որոնք կարող եք պաշտպանել, փոխարենը թողնելու լռելյայն արժեքը և ենթադրելու, որ այն ծածկում է մնացածը:
set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1Թունելի մոնիտորինգը, որը ստուգում է հեռավոր ենթացանցի ներսում գտնվող նպատակակետը, ծածկում է այն դեպքը, որը DPD-ն չի տեսնում՝ IKE-ն կենդանի է, դարպասը պատասխանում է, և պաշտպանված նախածանցը միևնույն է անհասանելի է։ Ընտրեք, թե դրանցից որն առաջնահերթություն պետք է քաշի, քանի որ եթե երկուսը միաժամանակ ակտիվանան, մաքուր անցման փոխարեն փոփոխությունների փոթորիկ կառաջանա։
Մի մոռացեք հեռավոր ծայրը։ Հեռավոր կայքում տեղադրված մնացած նախընտրելի երթուղին շարունակում է ցույց տալ այն թունելին, որը դուք արդեն լքել եք, և ոչ մի տեղական ժամաչափ դա չի շտկի։ Հրապարակեք նույն նախապատվության տրամաբանությունը երկու գործընկերներում և գրանցեք՝ վերականգնված գիծը կարող է ինքնուրույն հետ վերցնել թրաֆիկը, թե պետք է ձեռքով փոխարկել։
Վերահասցեավորեք մեկ գիծը՝ չդիպչելով մյուսին
Երբ մատակարարը ձեզ նոր բլոկ է տալիս, փոխեք մեկ կապ միաժամանակ։ Թարմացրեք address կամ local-address երկու գործընկերներում այդ զույգի համար, commit արեք, և մաքրեք միայն տուժած ասոցիացիաները ըստ ինդեքսի՝ սարքի բոլոր SA-ները մաքրելու փոխարեն։ Գլոբալ մաքրումը տանում է նաև առողջ թունելը և սպասարկման պատուհանը վերածում է ընդհատման։
Պահեք մեկ ձախողված հոսք և դրա սեսիայի մանրամասները որպես ապացույց նախքան որևէ բան մաքրելը, այնուհետև կրկին գործարկեք վերևի ստուգումները նոր հասցեազույգի վրա։ Գծի վերականգնումը երթուղային որոշում է, ուստի վերադարձը դիտարկեք որպես առանձին փորձարկված քայլ՝ փոխարենը ենթադրելու, որ հին նախապատվությունն ինքն իրեն կվերադառնա։
Փակեք փոփոխությունը կարճ ստուգաթերթով
Երկու WAN-ի թունելի նախագիծը պատրաստ է, երբ կարող եք անվանել յուրաքանչյուր սեսիայի հետևում գտնվող զույգը, ոչ թե երբ երկու SA-ներն էլ վերևում են։ Անցեք ստորև բերված ցանկը այն սարքում, որը իրականում փոխել եք:
- Յուրաքանչյուր խոստացված զույգ ունի դարպաս, st0 միավոր և երթուղու գրառում։
- Յուրաքանչյուր թունել տեսել ենք փաթեթներ կրելիս, ոչ միայն SA պահելիս։
- Երկու ծայրերը համաձայն են հայտնաբերման և այն բանի շուրջ, թե որ կողմն է վերականգնում նախապատվությունը։
- Յուրաքանչյուր զույգի վերադարձի ուղին գրված է նրա գնալու ուղու կողքին։
Եթե տողերից մեկը չի համապատասխանում, ուղղեք այդ զույգը նախքան հաջորդն ավելացնելը՝ երկու կիսաաշխատող թունելների կուտակումը հաշվիչները դարձնում է անիմաստ, իսկ failover-ի վարքը՝ անկանխատեսելի։