Junos dual-WAN IPsec VPN: tengdu upprunaleiðina við rétta gátt

Tvær WAN-tengingar á hvern stað líta út eins og varaleið þar til maður reynir að sanna hvaða vistfangapar tiltekið flæði notaði í raun. Á SRX ber ein IKE-gátt eitt ytra viðmót og eitt staðbundið vistfang; listi yfir fjarkandidata býr ekki til aðra staðbundna uppsprettu. Þess vegna byrjar þessi gegnumgangur á parafylkinu frekar en stillingunum, því Junos committar gjarnan hönnun sem nær aðeins yfir helming þeirra samsetninga sem þú ætlaðir þér. Ég rak mig á þetta með tveimur SRX345s: varatunnillinn kom hreinlega upp og dró samt lotuna niður við afturhvarf.

Farðu í gegnum skrefin í réttri röð: teldu upp þau pör sem þú verður að styðja, byggðu eina gátt fyrir hverja staðbundna uppsprettu, staðfestu hvaða samtenging bar umferðina og ákveddu fyrst eftir það hvað hver tegund bilunar má breyta.

Kortleggðu pörin áður en þú snertir CLI-ið

Ef staður A getur sótt frá A1 eða A2 og staður B getur tekið á móti á B1 eða B2, hefur þú fjögur ytri vistfangapör. Flestar hannanir þurfa tvö þeirra stöðugt og líta á hin tvö sem valkosti. Skrifaðu fylkið niður og merktu hverja röð, því hver röð sem þú lofar kostar þig seinna gátt, tunnilviðmót og leiðarákvörðun.

Hvert nauðsynlegt par þarf þrjá hluti á sama tíma: fært undirlag milli nákvæmlega þessara vistfanga, gagnkvæma viðurkenningu á auðkenni jafningja og upprunavistfangi á báðum endum, og varða afturleið. Par sem virkar aðeins í aðra átt sýnir samt tunnil, og bilunin kemur síðar fram sem einstefnu umferð forritsins.

Ein gátt fyrir hverja staðbundna uppsprettu, ekki fyrir hvern fjarlægan stað

Listinn yfir fjarvistföng tilheyrir gátt, og það gerir staðbunda uppsprettan líka. IKE-gáttarviðmiðið heldur fjarvistföngum, ytra viðmóti, staðbundnu vistfangi og dauðs-jafningja-skynjun sem aðskildum stillingum, og það er einmitt málið: tvær staðbundnar uppsprettur þýða tvær gáttir yfir tvær st0-einingar. Að deila IKE-stefnunni milli þeirra er í lagi; að halda einni gátt og vona að hún velji sér aðra uppsprettu sjálf, er það ekki.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Tengdu síðan tunnlana og gefðu fjarlæga forskeytinu tvö næstu hopp, eitt fyrir hvern tunnil:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Hvort ein gátt má halda tveimur yfirlýsingum af gerðinni address fer eftir útgáfunni og hvaða IKE-ferli kassinn keyrir. Eldri kmd-byggð Junos tekur eitt fjarvistfang fyrir hverja gátt; nýrri byggingar ráða við marga kandítata en bæta við eigin takmörkunum, og háa-framboðsþyrpingar eru algengur staður þar sem stuðningurinn þrengist. Skoðaðu útgáfuskýringarnar fyrir þína nákvæmu byggingu áður en þú afritar þetta af eldri kassa.

Staðfestu hvaða samtenging bar pakkann

Tvær SAs og tveir tunlar segja ekki til um hvor þeirra sendi lotuna áfram. Spurðu kassann beint og berðu svo saman reitina við parið sem þú ætlaðir þér:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Ítarleg úttakstextinn tilgreinir staðbundnu og fjarlægu gáttina fyrir hverja samtengingu, sem er fljótlegasta leiðin til að koma auga á tunnil sem semdi frá uppsprettu sem þú bjóst ekki við. Fylgstu síðan með pakkatalningum hverrar einingar á st0.1 og st0.2 á meðan þú sendir umferð í gegn; tunnill sem ber ekkert heldur SA-inu sínu og lítur heilbrigður út í yfirliti.

Gefðu hverri bilunartegund sinn eigin skynjara

Lífvirkni jafningja, tap á staðbundnu uppstreymistenginu, afturköllun varðar leiðar og bilun forritsins eru fjórir ólíkir atburðir. DPD svarar aðeins þeim fyrsta, svo stilltu hann með bili og þröskuldi sem þú getur varið í stað þess að láta sjálfgefið standa og gera ráð fyrir að það nái yfir restina:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tunnilvöktun sem prófar áfangastað inni í fjarnetinu nær yfir tilvikið sem DPD sér ekki: IKE er lifandi, gáttin svarar og varða forskeytið er samt óaðgengilegt. Veldu hvort þeirra tveggja eigi að draga forgang, því ef bæði kvikna á sama tíma verður breytingarstormur í stað hreins failover.

Ekki gleyma hinum endanum. Æskileg leið sem verður eftir á fjarlæga staðnum bendir áfram inn í tunnil sem þú hefur þegar yfirgefið, og engin staðbundin tímatakmörk laga það. Birtu sömu forgangsrökfræðina á báðum jafningjum og skráðu hvort endurheimt tenging má taka umferðina til baka sjálfkrafa eða verður að skipta handvirkt.

Gefðu einni tengingu nýtt vistfang án þess að snerta hina

Þegar ISP gefur þér nýjan blokk skaltu breyta einu sambandi í einu. Uppfærðu address eða local-address á báðum jafningjum fyrir það par, committaðu og hreinsaðu aðeins þær samtengingar sem verða fyrir áhrifum eftir númeri í stað þess að hreinsa allar SAs á kassanum. Alhliða hreinsun tekur líka heilbrigða tunnilinn og gerir viðhaldsglugga að niðurfalli.

Haltu einu misheppnuðu flæði og lotuupplýsingum þess sem sönnunargögnum áður en þú rífur til, keyrðu síðan prófanirnar hér að ofan aftur á nýja vistfangaparið. Að endurheimta tengingu er leiðarákvörðun, svo meðhöndlaðu afturkvörðuna sem sérstakt prófað skref í stað þess að gera ráð fyrir að gamli forgangurinn komi aftur af sjálfu sér.

Lokaðu breytingunni með stuttum gátlista

Dual-WAN-tunnilhönnun er lokið þegar þú getur nefnt parið á bak við hverja lotu, ekki þegar báðar SAs eru uppi. Farðu í gegnum listann hér að neðan á kassanum sem þú breyttir í raun:

• Hvert lofað par hefur gátt, st0-einingu og leiðarfærslu.
• Hver tunnill hefur sést bera pakka, ekki bara halda SA.
• Báðir endar eru sammála um skynjun og hvor hliðin endurheimtir forganginn.
• Afturleiðin fyrir hvert par er skrifuð niður við hlið framleiðar þess.

Ef lína bregst skaltu laga það par áður en þú bætir við því næsta; tveir hálfvirkir tunlar ofan á hvorn annan gera talningarnar merkingarlausar og failover-hegðunina ófyrirsjáanlega.