Junos ორმაგი WAN IPsec VPN: წყაროს გზის სწორ შლუზთან დაკავშირება

თითო საიტზე ორი WAN ხაზი ჭარბობად გვეჩვენება, სანამ არ შეეცდებით დაამტკიცოთ, რომელი ადრესების წყვილი გამოიყენა კონკრეტულმა ნაკადმა. SRX-ზე ერთი IKE შლუზი ერთ გარე ინტერფეისს და ერთ ლოკალურ მისამართს ატარებს; დისტანციური კანდიდატების სია მეორე ლოკალურ წყაროს არ ქმნის. ამიტომ ეს მიმოხილვა კონფიგურაციით კი არა, წყვილების მატრიცით იწყება, რადგან Junos უპრობლემოდ აკომიტებს ისეთ პროექტს, რომელიც თქვენი ჩანაფიქრის მხოლოდ ნახევარს ფარავს. მე ამას ორ SRX345s-ზე შევხვდი: სარეზერვო გვირაბი სუფთად ავიდა და დაბრუნებისას მაინც ჩამოაგდო სესია.

გაიარეთ ნაბიჯები რიგით: ჩამოთვალეთ წყვილები, რომლებიც უნდა დაუჭიროთ მხარი, ააგეთ ერთი შლუზი თითო ლოკალურ წყაროზე, დაადასტურეთ, რომელმა ასოციაციამ გადაიტანა ტრაფიკი და მხოლოდ ამის შემდეგ გადაწყვიტეთ, რისი შეცვლა შეუძლია თითოეულ გაუმართაობის ტიპს.

CLI-ის შეხებამდე წყვილები რუკაზე გადაიტანეთ

თუ A საიტს შეუძლია A1 ან A2-დან წყაროს აღება, ხოლო B საიტს — B1 ან B2-ზე მიღება, თქვენ გაქვთ ოთხი გარე ადრესების წყვილი. უმეტეს პროექტს მათგან ორი მუდმივად სჭირდება, დანარჩენი ორი კი არასავალდებულოდ ითვლება. ჩაწერეთ მატრიცა და მონიშნეთ თითოეული სტრიქონი, რადგან ყოველი დაპირებული სტრიქონი შემდგომში შლუზი, გვირაბის ინტერფეისი და მარშრუტიზაციის გადაწყვეტილება გიჯდებათ.

ყოველ საჭირო წყვილს ერთდროულად სამი რამ სჭირდება: მისაწვდომი underlay ზუსტად ამ ადრესებს შორის, პარტნიორის იდენტობისა და წყაროს ადრესის ურთიერთაღიარება ორივე ბოლოში და დაცული დაბრუნების გზა. მხოლოდ ერთი მიმართულებით მომუშავე წყვილი მაინც აჩვენებს გვირაბს, ხოლო გაუმართაობა მოგვიანებით აპლიკაციის ცალმხრივ ტრაფიკად ვლინდება.

ერთი შლუზი თითო ლოკალურ წყაროზე და არა დისტანციურ საიტზე

დისტანციური ადრესების სია შლუზს ეკუთვნის, ლოკალური წყაროც ასევე. IKE შლუზების საცნობარი დისტანციურ ადრესებს, გარე ინტერფეისს, ლოკალურ მისამართს და მკვდარი პარტნიორის ამოცნობას ცალკე პარამეტრებად ინახავს და სწორედ ეს არის არსი: ორი ლოკალური წყარო ნიშნავს ორ შლუზს ორ st0 ერთეულზე. IKE პოლიტიკის მათ შორის გაზიარება მისაღებია; ერთი შლუზის დატოვება და იმის იმედი, რომ თავად აირჩევს სხვა წყაროს, არა.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

შემდეგ შეაერთეთ გვირაბები და მიეცით დისტანციურ პრეფიქსს ორი next hop, თითო გვირაბზე:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

შეუძლია თუ არა ერთ შლუზს address ტიპის ორი ინსტრუქციის შენახვა, დამოკიდებულია ვერსიაზე და იმაზე, თუ რომელ IKE პროცესს ასრულებს მოწყობილობა. kmd-ზე დაფუძნებული ძველი Junos შლუზზე ერთ დისტანციურ მისამართს იღებს; ახალი ბილდები რამდენიმე კანდიდატს უმკლავდებიან, მაგრამ საკუთარ შეზღუდვებს ამატებენ, ხოლო მაღალი ხელმისაწვდომობის კლასტერები ხშირი ადგილია, სადაც ეს მხარდაჭერა ვიწროვდება. გადახედეთ გამოშვების შენიშვნებს თქვენი ზუსტი ბილდისთვის, სანამ ამას ძველი შასიდან დააკოპირებთ.

დაადასტურეთ, რომელმა ასოციაციამ გადაიტანა პაკეტი

ორი SA და ორი გვირაბი არ ამბობს, რომელმა მათგანმა გადასცა სესია. ჰკითხეთ მოწყობილობას პირდაპირ და შეადარეთ ველები იმ წყვილს, რომელსაც გულისხმობდით:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

დეტალური გამონატანი თითოეული ასოციაციისთვის ლოკალურ და დისტანციურ შლუზს მიუთითებს, რაც ყველაზე სწრაფი გზაა იმ გვირაბის შესამჩნევად, რომელიც მოულოდნელი წყაროდან შეთანხმდა. შემდეგ დააკვირდით st0.1 და st0.2 ერთეულების პაკეტების მრიცხველებს, სანამ ტრაფიკს ატარებთ; გვირაბი, რომელიც არაფერს ატარებს, თავის SA-ს ინახავს და მიმოხილვაში ჯანმრთელად გამოიყურება.

თითოეულ გაუმართაობის ტიპს საკუთარი დეტექტორი მიეცით

პარტნიორის სიცოცხლისუნარიანობა, ლოკალური uplink-ის დაკარგვა, დაცული მარშრუტის უკან გატანა და აპლიკაციის მარცხი ოთხი განსხვავებული მოვლენაა. DPD მხოლოდ პირველზე პასუხობს, ამიტომ დააკონფიგურირეთ ის ინტერვალითა და ზღვრით, რომელთა დაცვაც შეგიძლიათ, ნაგულისხმევი მნიშვნელობის დატოვებისა და დანარჩენს დაფარავს-მეთქი ვარაუდის ნაცვლად:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

გვირაბის მონიტორინგი, რომელიც დისტანციური ქვექსელის შიგნით სამიზნეს ამოწმებს, ფარავს იმ შემთხვევას, რომელსაც DPD ვერ ხედავს: IKE ცოცხალია, შლუზი პასუხობს და დაცული პრეფიქსი მაინც მიუწვდომელია. აირჩიეთ, რომელმა მათგანმა უნდა გამოწიოს უპირატესობა, რადგან თუ ორივე ერთდროულად ამოქმედდა, სუფთა გადართვის ნაცვლად ცვლილებების ქარიშხალი წარმოიქმნება.

არ დაივიწყოთ დისტანციური ბოლო. დისტანციურ საიტზე დარჩენილი უპირატესი მარშრუტი კვლავ იმ გვირაბზე მიუთითებს, რომელიც უკვე მიატოვეთ, და ვერც ერთი ლოკალური ტაიმერი ამას ვერ გამოასწორებს. გამოაქვეყნეთ იგივე უპირატესობის ლოგიკა ორივე პარტნიორზე და ჩაწერეთ, შეუძლია თუ არა აღდგენილ ხაზს ტრაფიკის ავტომატურად დაბრუნება თუ ხელით უნდა გადაერთოს.

გადაამისამართეთ ერთი ხაზი მეორის შეხების გარეშე

როცა პროვაიდერი ახალ ბლოკს მოგცემთ, ყოველ ჯერზე ერთი კავშირი შეცვალეთ. განაახლეთ address ან local-address ორივე პარტნიორზე ამ წყვილისთვის, გააკეთეთ commit და გაასუფთავეთ მხოლოდ დაზარალებული ასოციაციები ინდექსით, ნაცვლად მოწყობილობაზე ყველა SA-ს გასუფთავებისა. გლობალური გასუფთავება ჯანმრთელ გვირაბსაც წაიღებს და ტექნიკური მომსახურების ფანჯარას შეფერხებად აქცევს.

სანამ რაიმეს გაასუფთავებთ, შეინახეთ ერთი წარუმატებელი ნაკადი და მისი სესიის დეტალები მტკიცებულებად, შემდეგ კვლავ გაუშვით ზემოთ მოცემული შემოწმებები ახალი ადრესების წყვილზე. ხაზის აღდგენა მარშრუტიზაციის გადაწყვეტილებაა, ამიტომ დაბრუნებას ცალკე გამოცდილ ნაბიჯად მოეპყარით და არა ივარაუდოთ, რომ ძველი უპირატესობა თავისით დაბრუნდება.

დახურეთ ცვლილება მოკლე შემოწმების სიით

ორმაგი WAN გვირაბის პროექტი მზადაა მაშინ, როცა ყოველი სესიის უკან არსებულ წყვილს ასახელებთ და არა მაშინ, როცა ორივე SA აწეულია. გაიარეთ ქვემოთ მოცემული სია იმ მოწყობილობაზე, რომელიც ნამდვილად შეცვალეთ:

• ყოველ დაპირებულ წყვილს აქვს შლუზი, st0 ერთეული და მარშრუტის ჩანაწერი.
• თითოეული გვირაბი ნანახია პაკეტების ტარებისას და არა მხოლოდ SA-ს შენახვისას.
• ორივე ბოლო თანხმდება ამოცნობასა და იმაზე, რომელი მხარე აღადგენს უპირატესობას.
• თითოეული წყვილის დაბრუნების გზა მისი წინსვლის გზის გვერდით არის ჩაწერილი.

თუ რომელიმე სტრიქონი არ ემთხვევა, გაასწორეთ ის წყვილი, სანამ შემდეგს დაამატებთ; ორი ნახევრად მომუშავე გვირაბის ერთმანეთზე დაწყობა მრიცხველებს უაზროს ხდის, ხოლო failover-ის ქცევას — წინასწარმეტყველებელს.