Junos Dual-WAN IPsec VPN: башат жолун туура шлюз менен дал келтирүү

Ар бир аянтчага эки WAN линиясы резервдөө болуп көрүнөт, бирок белгилүү агым кайсы адрес жупун чындап колдонгонун далилдегенге аракет кылганга чейин. SRX'те бир IKE шлюзу бир тышкы интерфейсти жана бир жергиликтүү адрести алып жүрөт; алыскы талапкерлердин тизмеси экинчи жергиликтүү булакты түзбөйт. Ошондуктан бул сереп конфигурациядан эмес, жуптар матрицасынан башталат, анткени Junos ойлогон айкалыштардын жарымын гана камтыган долбоорду деле токтоосуз commit кылат. Мен муну эки SRX345s'те кезиктим: резервдик туннель таза көтөрүлдү жана кайтаруу учурунда сессияны баары бир кулатты.

Кадамдарды тартиби менен өтүңүз: колдоого тийиш жуптарды тизмелеңиз, ар бир жергиликтүү булакка бир шлюз куруңуз, трафикти кайсы ассоциация ташыганын ырастаңыз жана ошондон кийин гана ар бир бузулуу түрү эмнени өзгөртө аларын чечиңиз.

CLI'ге тийүүдөн мурун жуптарды картага түшүрүңүз

Эгер A аянтчасы A1 же A2'ден чыга алса, ал эми B аянтчасы B1 же B2'де кабыл алса, сизде төрт тышкы адрес жубу бар. Көпчүлүк долбоорлорго алардын экөө туруктуу керек, калган экөө милдеттүү эмес деп каралат. Матрицаны жазып, ар бир сапты белгилеңиз, анткени ар бир убада кылынган сап кийин шлюз, туннель интерфейси жана маршруттоо чечимин талап кылат.

Ар бир керектүү жупка бир убакта үч нерсе керек: так ушул адрестердин ортосунда жеткиликтүү underlay, эки четинде тең өнөктүн идентификациясын жана булак адресин өз ара кабыл алуу, жана корголгон кайтаруу жолу. Бир гана багытта иштеген жуп баары бир туннель көрсөтөт, ал эми бузулуу кийин колдонмонун бир багыттуу трафиги катары чыгат.

Ар бир жергиликтүү булакка бир шлюз, алыскы аянтчага эмес

Алыскы адрестердин тизмеси шлюзга таандык, жергиликтүү булак да ошондой. IKE шлюздарынын маалымдамасы алыскы адрестерди, тышкы интерфейсти, жергиликтүү адрести жана өлүк өнөктү аныктоону өзүнчө жөндөөлөр катары кармайт, мына ушунун баарынын мааниси: эки жергиликтүү булак эки st0 бирдиги боюнча эки шлюзду билдирет. Алардын ортосунда IKE саясатын бөлүшүү жарайт; бир шлюзду кармап, ал өзү башка булак тандайт деп үмүт кылуу жарабайт.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Анан туннелдерди туташтырып, алыскы префикске эки next hop бериңиз, ар бир туннелге бирөө:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Бир шлюз address тибиндеги эки нускаманы кармай алабы, бул версияга жана түзмөк кайсы IKE процессин аткарганына байланыштуу. kmd негизиндеги эски Junos ар бир шлюзга бир гана алыскы адрести кабыл алат; жаңы курулуштар бир нече талапкерди өздөштүрөт, бирок өз чектөөлөрүн кошот, ал эми жогорку жеткиликтүүлүк кластерлери бул колдоо тарай турган кеңири жай. Муну эски шассиден көчүрүүдөн мурун так курулушуңуз үчүн чыгарылыш жазууларын текшериңиз.

Пакетти кайсы ассоциация ташыганын ырастаңыз

Эки SA жана эки туннель сессияны кайсысы жеткиргенин айтпайт. Түзмөктөн түз сурап, талааларды ойлогон жуп менен салыштырыңыз:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Толук чыгарылыш ар бир ассоциация үчүн жергиликтүү жана алыскы шлюзду көрсөтөт, бул күтүлбөгөн булактан келишилген туннелди байкоонун эң тез жолу. Анан трафикти өткөрүп жатканда st0.1 жана st0.2 бирдиктери боюнча пакет эсептегичтерин байкаңыз; эч нерсе ташыбаган туннель өз SA'сын сактайт жана серепте соо көрүнөт.

Ар бир бузулуу түрүнө өз детекторун бериңиз

Өнөктүн тирүүлүгү, жергиликтүү uplink жоготуу, корголгон маршруттун кайтарылып алынышы жана колдонмонун иштебей калышы — төрт башка окуя. DPD биринчисине гана жооп берет, ошондуктан аны демейки маанини калтырып, калганын жабат деп болжолдоонун ордуна, негиздей алган интервал жана чек менен конфигурациялаңыз:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Алыскы ички тармактын ичиндеги даректи текшерген туннель мониторинги DPD көрө албаган учурду жабат: IKE тирүү, шлюз жооп берет, ал эми корголгон префикс баары бир жеткиликсиз. Экөөнүн кайсынысы басымдуулукту тартышы керектигин тандаңыз, анткени экөө бир убакта ишке кирсе, таза которуунун ордуна өзгөрүүлөр бороону пайда болот.

Алыскы четти унутпаңыз. Алыскы аянтчада калган басымдуу маршрут сиз мурун эле таштаган туннелге көрсөтүүнү улантат, жана эч кандай жергиликтүү таймер муну оңдобойт. Эки өнөктө тең бирдей басымдуулук логикасын жарыялаңыз жана калыбына келген линия трафикти өзү кайтара алабы же кол менен которуу керекпи, ошону жазып коюңуз.

Бир линияны экинчисине тийбестен кайра адрестеңиз

ISP жаңы блок бергенде, бир гана байланышты өзгөртүңүз. Ошол жуп үчүн эки өнөктө address же local-address параметрин жаңыртыңыз, commit жасаңыз жана түзмөктөгү бардык SA'ларды тазалоонун ордуна таасир тийген ассоциацияларды гана индекси боюнча тазалаңыз. Глобалдык тазалоо соо туннелди да алып кетет жана тейлөө терезесин үзгүлтүккө айландырат.

Бир ийгиликсиз агымды жана анын сессия деталдарын тазалоодон мурун далил катары сактаңыз, анан жогорудагы текшерүүлөрдү жаңы адрес жубуна кайра жүргүзүңүз. Линияны калыбына келтирүү — маршруттоо чечими, ошондуктан кайтарууну эски басымдуулук өзү кайтат деп болжолдоонун ордуна өзүнчө текшерилген кадам катары караңыз.

Өзгөртүүнү кыска текшерүү тизмеси менен жабыңыз

Эки WAN туннелинин долбоору ар бир сессиянын артындагы жупту атай алганда даяр, эки SA көтөрүлгөндө эмес. Төмөнкү тизмени чындап өзгөрткөн түзмөктө өтүңүз:

• Ар бир убада кылынган жупта шлюз, st0 бирдиги жана маршрут жазуусу бар.
• Ар бир туннель пакеттерди ташыганы байкалды, жөн гана SA кармаганы эмес.
• Эки чет аныктоо жана басымдуулукту кайсы тарап калыбына келтирери боюнча макул.
• Ар бир жуптун кайтаруу жолу анын түз жолунун жанында жазылган.

Эгер кандайдыр бир сап дал келбесе, кийинкисин кошуудан мурун ошол жупту оңдоңуз; эки жарым иштеген туннелди биринин үстүнө бирин коюу эсептегичтерди маанисиз, ал эми failover жүрүм-турумун болжолдоого келгис кылат.