Junos Dual-WAN IPsec VPN: бастау жолын дұрыс шлюзбен сәйкестендіру

Әр алаңға екі WAN желісі резервтеу сияқты көрінеді, бірақ нақты ағын қай адрес жұбын шынымен пайдаланғанын дәлелдеуге тырысқанша. SRX-те бір IKE шлюзі бір сыртқы интерфейсті және бір жергілікті адресті тасымалдайды; қашықтағы кандидаттар тізімі екінші жергілікті көз жасамайды. Сондықтан бұл шолу конфигурациядан емес, жұптар матрицасынан басталады, өйткені Junos ойлаған комбинациялардың тек жартысын қамтитын жобаны да еш қиналмай commit етеді. Мен мұны екі SRX345s құрылғысында кездестірдім: резервтік туннель таза көтерілді және қайтару кезінде сессияны бәрібір құлатты.

Қадамдарды ретімен өтіңіз: қолдауға тиіс жұптарды тізімдеңіз, әр жергілікті көзге бір шлюз салыңыз, трафикті қай ассоциация тасығанын растаңыз, содан кейін ғана әр ақау түрі нені өзгерте алатынын шешіңіз.

CLI-ге тиіспес бұрын жұптарды картаға түсіріңіз

Егер A алаңы A1 немесе A2-ден шыға алса, ал B алаңы B1 немесе B2-де қабылдай алса, сізде төрт сыртқы адрес жұбы бар. Көптеген жобаларға солардың екеуі тұрақты қажет, ал қалған екеуі міндетті емес деп қаралады. Матрицаны жазып, әр жолды белгілеңіз, өйткені әр уәде етілген жол кейін шлюз, туннель интерфейсі және маршруттау шешімі тұрады.

Әр қажет жұпқа бір мезгілде үш нәрсе керек: дәл осы адрестер арасында қолжетімді underlay, екі шетте де серіктестің сәйкестігі мен көз адресін өзара қабылдау, және қорғалған қайтару жолы. Тек бір бағытта жұмыс істейтін жұп бәрібір туннель көрсетеді, ал ақау кейін қолданбаның бір бағытты трафигі ретінде шығады.

Әр жергілікті көзге бір шлюз, қашықтағы алаңға емес

Қашықтағы адрестер тізімі шлюзге тиесілі, жергілікті көз де солай. IKE шлюздерінің анықтамасы қашықтағы адрестерді, сыртқы интерфейсті, жергілікті адресті және өлі серіктесті анықтауды бөлек параметрлер ретінде ұстайды, міне осының бәрінің мәні: екі жергілікті көз екі st0 бірлігі бойынша екі шлюзді білдіреді. Олардың арасында IKE саясатын бөлісу жарайды; бір шлюзді ұстап, ол өзі басқа көз таңдайды деп үміттену жарамайды.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Содан кейін туннельдерді қосып, қашықтағы префикске екі next hop беріңіз, әр туннельге біреу:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Бір шлюздің address типіндегі екі нұсқауды ұстай алуы нұсқаға және құрылғы қандай IKE процесін орындайтынына байланысты. kmd негізіндегі ескі Junos әр шлюзге бір ғана қашықтағы адресті қабылдайды; жаңа құрастырулар бірнеше кандидатты меңгереді, бірақ өз шектеулерін қосады, ал жоғары қолжетімділік кластерлері бұл қолдау тарылатын жиі орын. Мұны ескі шассиден көшірмес бұрын нақты құрастыруыңыз үшін шығарылым жазбаларын тексеріңіз.

Пакетті қай ассоциация тасығанын растаңыз

Екі SA және екі туннель сессияны қайсысы жеткізгенін айтпайды. Құрылғыдан тікелей сұрап, өрістерді ойлаған жұппен салыстырыңыз:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Толық шығыс әр ассоциация үшін жергілікті және қашықтағы шлюзді көрсетеді, бұл күтпеген көзден келісілген туннельді байқаудың ең жылдам жолы. Содан кейін трафикті өткізіп жатқанда st0.1 және st0.2 бірліктері бойынша пакет санағыштарын бақылаңыз; ешнәрсе тасымайтын туннель өз SA-ын сақтайды және шолуда сау көрінеді.

Әр ақау түріне өз детекторын беріңіз

Серіктестің тіршілігі, жергілікті uplink жоғалуы, қорғалған маршруттың қайтарып алынуы және қолданбаның істен шығуы — төрт түрлі оқиға. DPD тек біріншісіне жауап береді, сондықтан оны әдепкі мәнді қалдырып, қалғанын жабады деп болжаудың орнына, дәлелдей алатын интервалмен және шекпен конфигурациялаңыз:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Қашықтағы ішкі желі ішіндегі мекенжайды тексеретін туннель мониторингі DPD көре алмайтын жағдайды жабады: IKE тірі, шлюз жауап береді, ал қорғалған префикс бәрібір қолжетімсіз. Екеуінің қайсысы басымдықты тартуы керектігін таңдаңыз, өйткені екеуі бір уақытта іске қосылса, таза ауысу орнына өзгерістер дауылы пайда болады.

Қашықтағы шетті ұмытпаңыз. Қашықтағы алаңда қалып қалған басым маршрут сіз әлдеқашан тастаған туннельге көрсетуді жалғастырады, және ешқандай жергілікті таймер мұны түзетпейді. Екі серіктесте де бірдей басымдық логикасын жариялаңыз және қалпына келген желі трафикті өзі қайтара ала ма, әлде қолмен ауыстыру керек пе, соны жазып қойыңыз.

Бір желіні екіншісіне тиіспей қайта адрестеңіз

ISP жаңа блок бергенде, бір қатынасты ғана өзгертіңіз. Сол жұп үшін екі серіктесте address немесе local-address параметрін жаңартыңыз, commit жасаңыз және құрылғыдағы барлық SA-ды тазалаудың орнына тек әсер еткен ассоциацияларды индекспен тазалаңыз. Жаһандық тазалау сау туннельді де алып кетеді және қызмет көрсету терезесін үзіліске айналдырады.

Бір сәтсіз ағынды және оның сессия мәліметтерін тазалау алдында дәлел ретінде сақтаңыз, содан кейін жоғарыдағы тексерулерді жаңа адрес жұбына қайта жүргізіңіз. Желіні қалпына келтіру — маршруттау шешімі, сондықтан қайтаруды ескі басымдық өзі қайтады деп болжаудың орнына жеке тексерілген қадам ретінде қарастырыңыз.

Өзгерісті қысқа тексеру тізімімен жабыңыз

Екі WAN-ды туннель жобасы әр сессияның артындағы жұпты атай алатын кезде дайын, екі SA көтерілген кезде емес. Төмендегі тізімді шынымен өзгерткен құрылғыда өтіңіз:

• Әр уәде етілген жұпта шлюз, st0 бірлігі және маршрут жазбасы бар.
• Әр туннель пакеттерді тасығаны байқалды, тек SA ұстағаны емес.
• Екі шет анықтау және басымдықты қай жақ қалпына келтіретіні туралы келіседі.
• Әр жұптың қайтару жолы оның тура жолының қасында жазылған.

Егер қандай да бір жол сәйкес келмесе, келесісін қоспас бұрын сол жұпты түзетіңіз; екі жартылай жұмыс істейтін туннельді бірінің үстіне бірін қою санағыштарды мағынасыз, ал failover мінез-құлқын болжауға келмейтін етеді.