IPsec yfir einkareknu WAN: SRX-stefnumörk sem þarf að athuga

Einkarekið WAN getur flutt ytri pakka IPsec-tunnels, svo peer-vistföngin þurfa ekki að vera almenn internetvistföng. Það sem breytist er leiðin sem þessir ytri pakkar fara og heimildirnar á viðmótinu sem tekur á móti þeim. Á SRX eru ytra stýrileiðin, tenging tunnelviðmótsins og stefnan fyrir framsendan umferð þrjú aðskilin hlutir. Að leysa vandamál í einu á meðan hin tvö eru röng er venjuleg ástæða þess að tunnel verður niðri.

Skráðu fyrst ytri IKE-leiðina

Skrifaðu niður fjögur gildi áður en þú snertir stefnuna: peer-vistfangið, staðbundið viðmótið sem tekur á móti IKE, leiðarvalssamhengið sem nær til peersins og leiðin sem velur það viðmót. IKE-pakkar eru stílaðir á SRX sjálft, svo þeir þurfa host-inbound-heimild í móttökusvæðinu, ekki stefnu fyrir framsendan umferð. Einkarekið WAN-vistfang fjarlægir ekki þá kröfu, því pakkinn endar samt á tækinu.

Athugaðu uppsettu stöðuna með show security ike sa og stillinguna með show configuration security ike. Sú fyrri segir hvort fasi 1 sé til; sú seinni segir hvað tækið heldur að það eigi að gera.

Tengdu tunnelviðmótið við réttu stefnuna

VPN byggt á leiðarvali tengir tunnelviðmót við VPN-hlut og verndaðar forskeytir eru leiðarvaldar inn í það viðmót. Skráðu hvaða viðmót, hvaða leið og hvaða stefna leyfir forritin milli viðkomandi svæða. Svæði sem heitir trust er stefnugámur, og nafnið sannar ekki að nauðsynlegu stýri- eða gagnapakkarnir séu leyfðir.

Lestu raunverulegu tengingarnar í stað gamals skýringarmyndar: show configuration security ipsec vpn fyrir stillinguna að tengja við viðmót og show configuration security policies fyrir reglurnar sem vísa á tunnelsvæðið.

Ef verndaða leiðin bendir annað, getur tunnelinn verið uppi á meðan umferð fer aldrei inn í hann. Þetta er leiðarvalsvandamál í IPsec-búningi.

Haltu peer-leiðinni á underlayinu

Leiðin að ytri peernum verður að leysast í gegnum underlayið, ekki endurkvæmt í gegnum tunnelinn sem hún býr til. Ef peer-leiðin bendir á tunnelviðmótið elta IKE-pakkar sinn eigin tunnel og fasi 1 klárast aldrei. Svarleiðin fyrir verndaða umferð þarf sína eigin réttu leið og stefnu, og hún er yfirleitt vantaði helmingurinn þegar ein átt virkar. Lestu færsluna í leiðartöflunni fyrir peer-vistfangið og staðfestu að útviðmótið sé WAN-viðmótið.

Athugaðu það með show route 198.51.100.10, settu raunverulegt peer-vistfang í staðinn, og staðfestu að næsta stökk sé ekki tunnelviðmót.

Staðfestu stýringu og þjónustu í réttri röð

Vinnið upp á við: staða fasa 1, staða fasa 2, svo raunverulegt forritstreymi. show security ipsec sa telur upp öryggistengslin, og show security flow session destination-prefix 10.60.0.0/16 sýnir hvort framsend lotur eru búnar til fyrir verndaða netið.

Heilbrigt stýrisamband og vinnandi gagnaleið eru tvær mismunandi niðurstöður, og að standast fasa 2 segir ekkert um hvort stefnan leyfi forritið. Prófaðu eitt leyft streymi og eitt sem stefnan ætti að hafna, svo munurinn sjáist.

Skráðu saman peer-leiðina, host-inbound-heimildina, tunnel-tenginguna, innri leiðina og stefnu forritsins. Þessar fimm færslur sýna hvaða lag ber ábyrgð á framtíðarbilun án þess að treysta á portmerki.