VPN IPsec Dual-WAN di Junos: mencocokkan jalur sumber dengan gateway yang tepat

Dua tautan WAN per situs tampak seperti redundansi sampai Anda mencoba membuktikan pasangan alamat mana yang benar-benar dipakai suatu aliran. Pada SRX, satu gateway IKE membawa satu antarmuka eksternal dan satu alamat lokal; daftar kandidat jarak jauh tidak menciptakan sumber lokal kedua. Karena itu panduan ini dimulai dari matriks pasangan, bukan dari konfigurasi, sebab Junos dengan senang hati melakukan commit pada desain yang hanya mencakup separuh kombinasi yang Anda maksud. Saya menemui ini pada dua SRX345s: terowongan cadangan naik dengan bersih dan tetap saja menjatuhkan sesi saat kembali.

Ikuti langkah-langkah secara berurutan: daftar pasangan yang harus didukung, bangun satu gateway per sumber lokal, konfirmasi asosiasi mana yang membawa lalu lintas, dan baru setelah itu putuskan apa yang boleh diubah setiap jenis kegagalan.

Petakan pasangan sebelum menyentuh CLI

Jika situs A dapat bersumber dari A1 atau A2 dan situs B dapat menerima pada B1 atau B2, Anda punya empat pasangan alamat luar. Sebagian besar desain membutuhkan dua di antaranya secara terus-menerus dan memperlakukan dua lainnya sebagai opsional. Tuliskan matriksnya dan tandai setiap baris, karena setiap baris yang dijanjikan akan berbiaya satu gateway, satu antarmuka terowongan, dan satu keputusan perutean di kemudian hari.

Setiap pasangan yang diperlukan membutuhkan tiga hal sekaligus: underlay yang dapat dijangkau di antara alamat-alamat itu, penerimaan timbal balik atas identitas mitra dan alamat sumber di kedua ujung, serta jalur balik yang terlindungi. Pasangan yang hanya bekerja satu arah tetap menampilkan terowongan, dan kegagalannya muncul kemudian sebagai lalu lintas aplikasi satu arah.

Satu gateway per sumber lokal, bukan per situs jarak jauh

Daftar alamat jarak jauh milik sebuah gateway, begitu pula sumber lokalnya. referensi gateway IKE menyimpan alamat jarak jauh, antarmuka eksternal, alamat lokal, dan deteksi mitra mati sebagai pengaturan terpisah, dan itulah intinya: dua sumber lokal berarti dua gateway pada dua unit st0. Berbagi kebijakan IKE di antara keduanya tidak masalah; mempertahankan satu gateway dan berharap ia memilih sumber lain sendiri jelas bukan.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Lalu pasang terowongannya dan beri prefiks jarak jauh dua next hop, satu per terowongan:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Apakah satu gateway boleh menyimpan dua pernyataan bertipe address bergantung pada rilis dan pada proses IKE yang dijalankan perangkat. Junos lama berbasis kmd menerima satu alamat jarak jauh per gateway; build baru menangani beberapa kandidat tetapi menambahkan batasannya sendiri, dan kluster ketersediaan tinggi adalah tempat umum di mana dukungan itu menyempit. Periksa catatan rilis untuk build Anda yang tepat sebelum menyalin ini dari sasis lama.

Konfirmasi asosiasi mana yang membawa paket

Dua SA dan dua terowongan tidak memberi tahu mana yang meneruskan sesi. Tanyakan langsung ke perangkat dan bandingkan kolomnya dengan pasangan yang Anda maksud:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Keluaran detail menyebutkan gateway lokal dan jarak jauh untuk setiap asosiasi, yang merupakan cara tercepat untuk melihat terowongan yang dinegosiasikan dari sumber yang tidak Anda duga. Lalu amati penghitung paket per unit pada st0.1 dan st0.2 saat Anda mengalirkan lalu lintas; terowongan yang tidak membawa apa pun tetap memegang SA-nya dan tampak sehat dalam ringkasan.

Beri setiap jenis kegagalan detektornya sendiri

Kelangsungan hidup mitra, hilangnya uplink lokal, penarikan rute terlindungi, dan kerusakan aplikasi adalah empat peristiwa berbeda. DPD hanya menjawab yang pertama, jadi konfigurasikan dengan interval dan ambang yang bisa Anda pertanggungjawabkan alih-alih membiarkan nilai bawaan dan menganggapnya mencakup sisanya:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Pemantauan terowongan yang menguji tujuan di dalam subnet jarak jauh mencakup kasus yang tidak dilihat DPD: IKE hidup, gateway menjawab, dan prefiks terlindungi tetap tidak terjangkau. Pilih mana dari keduanya yang harus menarik preferensi, karena jika keduanya aktif bersamaan yang muncul adalah badai perubahan, bukan failover yang bersih.

Jangan lupa ujung jauh. Rute pilihan yang tetap terpasang di situs jarak jauh terus menunjuk ke terowongan yang sudah Anda tinggalkan, dan tidak ada timer lokal yang memperbaikinya. Terbitkan logika preferensi yang sama di kedua mitra, dan catat apakah tautan yang pulih boleh mengambil lalu lintas kembali secara otomatis atau harus dialihkan dengan tangan.

Beri alamat baru pada satu tautan tanpa menyentuh yang lain

Ketika penyedia memberi Anda blok baru, ubah satu relasi setiap kali. Perbarui address atau local-address pada kedua mitra untuk pasangan itu, lakukan commit, dan hapus hanya asosiasi yang terdampak berdasarkan indeks alih-alih menghapus semua SA di perangkat. Penghapusan global juga mencabut terowongan yang sehat dan mengubah jendela pemeliharaan menjadi gangguan.

Simpan satu aliran yang gagal beserta detail sesinya sebagai bukti sebelum Anda membersihkan apa pun, lalu jalankan kembali pemeriksaan di atas pada pasangan alamat baru. Memulihkan tautan adalah keputusan perutean, jadi perlakukan pemulihan sebagai langkah teruji tersendiri alih-alih menganggap preferensi lama kembali dengan sendirinya.

Tutup perubahan dengan daftar periksa singkat

Desain terowongan dual-WAN selesai ketika Anda dapat menyebutkan pasangan di balik setiap sesi, bukan ketika kedua SA sudah naik. Telusuri daftar di bawah pada perangkat yang benar-benar Anda ubah:

• Setiap pasangan yang dijanjikan punya gateway, unit st0, dan entri rute.
• Setiap terowongan telah terlihat membawa paket, bukan sekadar memegang SA.
• Kedua ujung sepakat soal deteksi dan soal sisi mana yang memulihkan preferensi.
• Jalur balik setiap pasangan dicatat di samping jalur majunya.

Jika ada baris yang gagal, perbaiki pasangan itu sebelum menambahkan yang berikutnya; menumpuk dua terowongan setengah berfungsi membuat penghitung tak berarti dan perilaku failover tak terprediksi.