IPsec жеке WAN аркылуу: текшерүүгө тийиш SRX саясатынын чектери

Жеке WAN IPsec туннелинин сырткы пакеттерин ташыса болот, ошондуктан өнөктөш даректери сөзсүз түрдө коомдук интернет даректери болушу керек эмес. Өзгөргөн нерсе — бул сырткы пакеттер жүрүүчү жол жана аларды кабыл алган интерфейстеги уруксаттар. SRXте сырткы башкаруу жолу, туннел интерфейсинин байланышы жана жөнөтүлүүчү трафиктин саясаты — үч өзүнчө объект. Калган экөө туура эмес болгондо бирин оңдоо — туннелдин ылдый жатып калышынын кадимки себеби.

Алгач сырткы IKE жолун жазыңыз

Саясатка кол тийгизэрден мурун төрт маанини жазыңыз: өнөктөш дареги, IKE кабыл алган жергиликтүү интерфейс, өнөктөшкө жеткен маршруттоо контексти жана ошол интерфейсти тандоочу маршрут. IKE пакеттери SRXтин өзүнө адрестелет, ошондуктан аларга кабыл алуучу аймакта host-inbound уруксаты керек, жөнөтүлүүчү трафиктин саясаты эмес. Жеке WAN дареги бул талапты жок кылбайт, анткени пакет дагы эле түзмөктө бүтөт.

Орнотулган абалды бул менен текшериңиз: show security ike sa жана конфигурацияны бул менен: show configuration security ike. Биринчиси 1-фаза бар-жогун, экинчиси түзмөк эмне кылышы керек деп ойлогонун айтат.

Туннел интерфейсин туура саясатка байланыштырыңыз

Маршруттоого негизделген VPN туннел интерфейсин VPN объектисине байланыштырат, ал эми корголгон префикстер ошол интерфейске маршрутталат. Кайсы интерфейс, кайсы маршрут жана кайсы саясат тиешелүү аймактардын ортосундагы колдонмолорго уруксат берерин жазыңыз. trust аттуу аймак — саясат контейнери, жана ат талап кылынган башкаруу же маалымат пакеттерине уруксат берилгенин далилдебейт.

Эски диаграмманын ордуна чыныгы байланыштарды окуңуз: show configuration security ipsec vpn интерфейске байлоо жөндөөсү үчүн жана show configuration security policies туннел аймагына шилтеме кылган эрежелер үчүн.

Эгер корголгон маршрут башка жерди көрсөтсө, туннел жогору турушу мүмкүн, бирок трафик ага эч качан кирбейт. Бул IPsec костюмун кийген маршруттоо маселеси.

Өнөктөш маршрутун underlayде кармаңыз

Сырткы өнөктөшкө маршрут underlay аркылуу чечилиши керек, ал түзгөн туннел аркылуу рекурсивдүү түрдө эмес. Эгер өнөктөш маршруту туннел интерфейсине шилтесе, IKE пакеттери өз туннелин кууп, 1-фаза эч качан бүтпөйт. Корголгон трафиктин жооп жолуна өзүнүн туура маршруту жана саясаты керек, жана бир багыт иштегенде адатта ошол жетишпеген жарымы болот. Өнөктөш дареги үчүн маршруттар таблицасынын жазуусун окуп, чыгуучу интерфейс WAN интерфейси экенин ырастаңыз.

Аны бул менен текшериңиз: show route 198.51.100.10, чыныгы өнөктөш дарегин коюп, кийинки секирик туннел интерфейси эмес экенин ырастаңыз.

Башкаруу менен кызматты ирети менен текшериңиз

Жогору карай иштеңиз: 1-фаза абалы, 2-фаза абалы, анан чыныгы колдонмо агымы. show security ipsec sa коопсуздук ассоциацияларын тизмелейт жана show security flow session destination-prefix 10.60.0.0/16 корголгон тармак үчүн жөнөтүлүүчү сессиялар түзүлүп жатканын көрсөтөт.

Ден соолугу жакшы башкаруу мамилеси жана иштеген маалымат жолу — эки башка натыйжа, ал эми 2-фазадан өтүү саясат колдонмого уруксат берери тууралуу эч нерсе айтпайды. Уруксат берилген бир агымды жана саясат четке кагышы керек болгон бир агымды сынап көрүңүз, айырма көрүнүп турсун.

Өнөктөш маршрутун, host-inbound уруксатын, туннел байланышын, ички маршрутту жана колдонмо саясатын чогуу жазыңыз. Бул беш жазуу келечектеги бузулуу кайсы катмарга таандык экенин порт белгисине таянбастан көрсөтөт.