IPsec жеке WAN арқылы: тексеруге тиіс SRX саясатының шекаралары

Жеке WAN IPsec туннелінің сыртқы пакеттерін тасымалдай алады, сондықтан әріптес мекенжайлары міндетті түрде жария интернет мекенжайлары болуы керек емес. Өзгеретін нәрсе — осы сыртқы пакеттер жүретін жол және оларды қабылдайтын интерфейстегі рұқсаттар. SRX-те сыртқы басқару жолы, туннель интерфейсінің байланысы және жіберілетін трафик саясаты — үш бөлек нысан. Басқа екеуі дұрыс емес кезде біреуін жөндеу — туннельдің төменде қалуының әдеттегі себебі.

Алдымен сыртқы IKE жолын жазыңыз

Саясатқа қол тигізбес бұрын төрт мәнді жазыңыз: әріптес мекенжайы, IKE қабылдайтын жергілікті интерфейс, әріптеске жететін маршруттау контексті және сол интерфейсті таңдайтын маршрут. IKE пакеттері SRX-тің өзіне адрестеледі, сондықтан оларға қабылдаушы аймақта host-inbound рұқсаты қажет, жіберілетін трафик саясаты емес. Жеке WAN мекенжайы бұл талапты жоймайды, өйткені пакет әлі де құрылғыда аяқталады.

Орнатылған күйді мынау арқылы тексеріңіз: show security ike sa және конфигурацияны мынау арқылы: show configuration security ike. Біріншісі 1-фаза бар-жоғын, екіншісі құрылғының не істеуі керек деп ойлайтынын айтады.

Туннель интерфейсін дұрыс саясатқа байланыстырыңыз

Маршруттауға негізделген VPN туннель интерфейсін VPN нысанына байланыстырады, ал қорғалған префикстер сол интерфейске маршрутталады. Қай интерфейс, қай маршрут және қай саясат тиісті аймақтар арасындағы қолданбаларға рұқсат беретінін жазыңыз. trust атаулы аймақ — саясат контейнері, және атау қажетті басқару немесе деректер пакеттерінің рұқсат етілгенін дәлелдемейді.

Ескі диаграмманың орнына нақты байланыстарды оқыңыз: show configuration security ipsec vpn интерфейске байланыстыру параметрі үшін және show configuration security policies туннель аймағына сілтейтін ережелер үшін.

Егер қорғалған маршрут басқа жерді көрсетсе, туннель жоғары тұруы мүмкін, бірақ трафик оған ешқашан кірмейді. Бұл IPsec костюмін киген маршруттау мәселесі.

Әріптес маршрутын underlay-де ұстаңыз

Сыртқы әріптеске маршрут underlay арқылы шешілуі керек, ол құратын туннель арқылы рекурсивті түрде емес. Егер әріптес маршруты туннель интерфейсіне сілтесе, IKE пакеттері өз туннелін қуып, 1-фаза ешқашан аяқталмайды. Қорғалған трафиктің жауап жолына өзінің дұрыс маршруты мен саясаты қажет, және бір бағыт жұмыс істегенде әдетте сол жетіспейтін жартысы болады. Әріптес мекенжайы үшін маршруттар кестесінің жазбасын оқып, шығыс интерфейсінің WAN интерфейсі екенін растаңыз.

Оны мынау арқылы тексеріңіз: show route 198.51.100.10, нақты әріптес мекенжайын қойып, келесі секіріс туннель интерфейсі емес екенін растаңыз.

Басқару мен қызметті ретімен тексеріңіз

Жоғары қарай жүріңіз: 1-фаза күйі, 2-фаза күйі, содан кейін нақты қолданба ағыны. show security ipsec sa қауіпсіздік ассоциацияларын тізімдейді және show security flow session destination-prefix 10.60.0.0/16 қорғалған желі үшін жіберілетін сессиялар жасалып жатқанын көрсетеді.

Сау басқару қатынасы мен жұмыс істейтін деректер жолы — екі түрлі нәтиже, ал 2-фазаның өтуі саясаттың қолданбаға рұқсат беретіні туралы ештеңе айтпайды. Рұқсат етілген бір ағынды және саясат қабылдамауы тиіс бір ағынды сынап көріңіз, айырмашылық көрінетін болсын.

Әріптес маршрутын, host-inbound рұқсатын, туннель байланысын, ішкі маршрутты және қолданба саясатын бірге жазыңыз. Осы бес жазба болашақа ақаудың қай қабатқа тиесілі екенін порт белгісіне сүйенбей көрсетеді.