ಖಾಸಗಿ WAN ಮೇಲೆ IPsec: ಪರಿಶೀಲಿಸಬೇಕಾದ SRX ನೀತಿ ಮಿತಿಗಳು

ಖಾಸಗಿ WAN IPsec ಟನೆಲ್‌ನ ಬಾಹ್ಯ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಸಾಗಿಸಬಹುದು, ಆದ್ದರಿಂದ ಪೀರ್ ವಿಳಾಸಗಳು ಸಾರ್ವಜನಿಕ ಇಂಟರ್ನೆಟ್ ವಿಳಾಸಗಳಾಗಿರಬೇಕಿಲ್ಲ. ಬದಲಾಗುವುದು ಆ ಬಾಹ್ಯ ಪ್ಯಾಕೆಟ್‌ಗಳು ಹೋಗುವ ಮಾರ್ಗ ಮತ್ತು ಅವನ್ನು ಸ್ವೀಕರಿಸುವ ಇಂಟರ್ಫೇಸ್‌ನ ಅನುಮತಿಗಳು. SRX ನಲ್ಲಿ ಬಾಹ್ಯ ನಿಯಂತ್ರಣ ಮಾರ್ಗ, ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ ಬೈಂಡಿಂಗ್ ಮತ್ತು ಫಾರ್ವರ್ಡ್ ಮಾಡಿದ ಸಂಚಾರದ ನೀತಿ ಮೂರು ಪ್ರತ್ಯೇಕ ವಸ್ತುಗಳು. ಉಳಿದ ಎರಡು ತಪ್ಪಾಗಿರುವಾಗ ಒಂದನ್ನು ಪರಿಹರಿಸುವುದು ಟನೆಲ್ ಕೆಳಗೆ ಉಳಿಯುವ ಸಾಮಾನ್ಯ ಕಾರಣ.

ಮೊದಲು ಬಾಹ್ಯ IKE ಮಾರ್ಗವನ್ನು ದಾಖಲಿಸಿ

ನೀತಿಯನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ನಾಲ್ಕು ಮೌಲ್ಯಗಳನ್ನು ಬರೆಯಿರಿ: ಪೀರ್ ವಿಳಾಸ, IKE ಸ್ವೀಕರಿಸುವ ಸ್ಥಳೀಯ ಇಂಟರ್ಫೇಸ್, ಪೀರ್‌ಗೆ ತಲುಪುವ ರೂಟಿಂಗ್ ಸಂದರ್ಭ ಮತ್ತು ಆ ಇಂಟರ್ಫೇಸ್ ಆಯ್ಕೆ ಮಾಡುವ ರೂಟ್. IKE ಪ್ಯಾಕೆಟ್‌ಗಳು SRX ಗೆನೇ ಉದ್ದೇಶಿಸಲಾಗುತ್ತವೆ, ಆದ್ದರಿಂದ ಅವು ಸ್ವೀಕರಿಸುವ ವಲಯದಲ್ಲಿ host-inbound ಅನುಮತಿ ಬೇಕು, ಫಾರ್ವರ್ಡ್ ಮಾಡಿದ ಸಂಚಾರದ ನೀತಿ ಅಲ್ಲ. ಖಾಸಗಿ WAN ವಿಳಾಸ ಆ ಅಗತ್ಯವನ್ನು ತೆಗೆದುಹಾಕುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಪ್ಯಾಕೆಟ್ ಇನ್ನೂ ಸಾಧನದಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ.

ಸ್ಥಾಪಿತ ಸ್ಥಿತಿಯನ್ನು ಇದರಿಂದ ಪರಿಶೀಲಿಸಿ: show security ike sa ಮತ್ತು ಸಂರಚನೆಯನ್ನು ಇದರಿಂದ: show configuration security ike. ಮೊದಲನೆಯದು ಹಂತ 1 ಇದೆಯೇ ಎಂದು ಹೇಳುತ್ತದೆ; ಎರಡನೆಯದು ಸಾಧನವು ಏನು ಮಾಡಬೇಕೆಂದು ಭಾವಿಸುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತದೆ.

ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ ಅನ್ನು ಸರಿಯಾದ ನೀತಿಗೆ ಬೈಂಡ್ ಮಾಡಿ

ರೂಟಿಂಗ್ ಆಧಾರಿತ VPN ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ ಅನ್ನು VPN ವಸ್ತುವಿಗೆ ಬೈಂಡ್ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಸಂರಕ್ಷಿತ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳು ಆ ಇಂಟರ್ಫೇಸ್‌ಗೆ ರೂಟ್ ಆಗುತ್ತವೆ. ಯಾವ ಇಂಟರ್ಫೇಸ್, ಯಾವ ರೂಟ್ ಮತ್ತು ಯಾವ ನೀತಿ ಸಂಬಂಧಿತ ವಲಯಗಳ ನಡುವಿನ ಅಪ್ಲಿಕೇಶನ್‌ಗಳಿಗೆ ಅನುಮತಿ ನೀಡುತ್ತದೆ ಎಂದು ದಾಖಲಿಸಿ. trust ಎಂಬ ವಲಯವು ನೀತಿ ಕಂಟೇನರ್, ಮತ್ತು ಹೆಸರು ಅಗತ್ಯ ನಿಯಂತ್ರಣ ಅಥವಾ ಡೇಟಾ ಪ್ಯಾಕೆಟ್‌ಗಳಿಗೆ ಅನುಮತಿ ಇದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

ಹಳೆಯ ರೇಖಾಚಿತ್ರದ ಬದಲು ನಿಜವಾದ ಬೈಂಡಿಂಗ್‌ಗಳನ್ನು ಓದಿ: show configuration security ipsec vpn ಇಂಟರ್ಫೇಸ್‌ಗೆ ಬೈಂಡ್ ಮಾಡುವ ಸೆಟ್ಟಿಂಗ್‌ಗಾಗಿ ಮತ್ತು show configuration security policies ಟನೆಲ್ ವಲಯವನ್ನು ಉಲ್ಲೇಖಿಸುವ ನಿಯಮಗಳಿಗಾಗಿ.

ಸಂರಕ್ಷಿತ ರೂಟ್ ಬೇರೆಡೆ ತೋರಿಸಿದರೆ, ಟನೆಲ್ ಮೇಲಿರಬಹುದು ಆದರೆ ಸಂಚಾರ ಎಂದಿಗೂ ಅದರೊಳಗೆ ಹೋಗುವುದಿಲ್ಲ. ಇದು IPsec ವೇಷದಲ್ಲಿರುವ ರೂಟಿಂಗ್ ಸಮಸ್ಯೆ.

ಪೀರ್ ರೂಟ್ ಅನ್ನು underlay ನಲ್ಲಿ ಇರಿಸಿ

ಬಾಹ್ಯ ಪೀರ್‌ಗೆ ಇರುವ ರೂಟ್ underlay ಮೂಲಕ ಪರಿಹರಿಸಬೇಕು, ಅದು ಸ್ಥಾಪಿಸುವ ಟನೆಲ್ ಮೂಲಕ ಪುನರಾವರ್ತಿತವಾಗಿ ಅಲ್ಲ. ಪೀರ್ ರೂಟ್ ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್‌ಗೆ ತೋರಿಸಿದರೆ, IKE ಪ್ಯಾಕೆಟ್‌ಗಳು ತಮ್ಮದೇ ಟನೆಲ್‌ನ ಬೆನ್ನು ಹತ್ತುತ್ತವೆ ಮತ್ತು ಹಂತ 1 ಎಂದಿಗೂ ಪೂರ್ಣಗೊಳ್ಳುವುದಿಲ್ಲ. ಸಂರಕ್ಷಿತ ಸಂಚಾರದ ಉತ್ತರ ಮಾರ್ಗಕ್ಕೆ ತನ್ನದೇ ಸರಿಯಾದ ರೂಟ್ ಮತ್ತು ನೀತಿ ಬೇಕು, ಮತ್ತು ಒಂದು ದಿಕ್ಕು ಕೆಲಸ ಮಾಡುವಾಗ ಸಾಮಾನ್ಯವಾಗಿ ಅದೇ ಕಾಣೆಯಾದ ಅರ್ಧ. ಪೀರ್ ವಿಳಾಸಕ್ಕಾಗಿ ರೂಟ್ ಟೇಬಲ್ ನಮೂದನ್ನು ಓದಿ ಮತ್ತು ಹೊರಹೋಗುವ ಇಂಟರ್ಫೇಸ್ WAN ಇಂಟರ್ಫೇಸ್ ಎಂದು ಖಚಿತಪಡಿಸಿ.

ಇದರಿಂದ ಪರಿಶೀಲಿಸಿ: show route 198.51.100.10, ನಿಜವಾದ ಪೀರ್ ವಿಳಾಸವನ್ನು ಹಾಕಿ, ಮತ್ತು ಮುಂದಿನ ಹಾಪ್ ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ ಅಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿ.

ನಿಯಂತ್ರಣ ಮತ್ತು ಸೇವೆಯನ್ನು ಕ್ರಮವಾಗಿ ಪರಿಶೀಲಿಸಿ

ಮೇಲಕ್ಕೆ ಕೆಲಸ ಮಾಡಿ: ಹಂತ 1 ಸ್ಥಿತಿ, ಹಂತ 2 ಸ್ಥಿತಿ, ನಂತರ ನಿಜವಾದ ಅಪ್ಲಿಕೇಶನ್ ಹರಿವು. show security ipsec sa ಭದ್ರತಾ ಸಂಘಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ, ಮತ್ತು show security flow session destination-prefix 10.60.0.0/16 ಸಂರಕ್ಷಿತ ನೆಟ್‌ವರ್ಕ್‌ಗಾಗಿ ಫಾರ್ವರ್ಡ್ ಸೆಷನ್‌ಗಳು ರಚಿಸಲ್ಪಡುತ್ತಿವೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ.

ಆರೋಗ್ಯಕರ ನಿಯಂತ್ರಣ ಸಂಬಂಧ ಮತ್ತು ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಡೇಟಾ ಮಾರ್ಗ ಎರಡು ವಿಭಿನ್ನ ಫಲಿತಾಂಶಗಳು, ಮತ್ತು ಹಂತ 2 ಉತ್ತೀರ್ಣವಾಗುವುದು ನೀತಿ ಅಪ್ಲಿಕೇಶನ್‌ಗೆ ಅನುಮತಿ ನೀಡುತ್ತದೆಯೇ ಎಂಬುದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ಅನುಮತಿಸಲಾದ ಒಂದು ಹರಿವು ಮತ್ತು ನೀತಿ ನಿರಾಕರಿಸಬೇಕಾದ ಇನ್ನೊಂದನ್ನು ಪರೀಕ್ಷಿಸಿ, ವ್ಯತ್ಯಾಸ ಕಾಣುವಂತೆ.

ಪೀರ್ ರೂಟ್, host-inbound ಅನುಮತಿ, ಟನೆಲ್ ಬೈಂಡಿಂಗ್, ಆಂತರಿಕ ರೂಟ್ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ನೀತಿಯನ್ನು ಒಟ್ಟಿಗೆ ದಾಖಲಿಸಿ. ಈ ಐದು ದಾಖಲೆಗಳು ಭವಿಷ್ಯದ ವೈಫಲ್ಯ ಯಾವ ಪದರದ್ದು ಎಂಬುದನ್ನು ಪೋರ್ಟ್ ಲೇಬಲ್ ಮೇಲೆ ಅವಲಂಬಿಸದೆ ತೋರಿಸುತ್ತವೆ.