Junos Dual-WAN IPsec VPN: de Quellwee mat der richteger Gateway verbannen

Zwou WAN-Verbindungen pro Site gesinn no Redundanz aus, bis een beweisen wëll, wéi en Adresspaar engem bestëmmten Floss tatsächlech benotzt huet. Op engem SRX dréit eng IKE-Gateway eng extern Interface an eng lokal Adress; eng Lëscht mat externe Kandidaten schaaft keng zweet lokal Quell. Duerfir fänkt dësen Duerchgang mat der Paarmatrix un an net mat der Konfiguratioun, well Junos gär en Design committet, deen nëmmen d'Halschent vun de virgesinnene Kombinatiounen deckt. Mir ass dat op zwee SRX345s geschitt: den Backup-Tunnel ass propper eropkomm an huet d'Sessioun beim Zréckschalten trotzdem erofgezunn.

Schaff d'Schrëtt der Rei no of: ziel d'Paaren op, déi s du mussen ënnerstëtzen, bau eng Gateway pro lokal Quell, bestäteg, wéi eng Associatioun den Trafik gedroen huet, a entscheed erscht duerno, wat jiddwer Aart Feeler ännere darf.

D'Paaren a Kaart bréngen, ier s d'CLI uschléis

Wann Site A aus A1 oder A2 ka sourcen an Site B op B1 oder B2 ka empfänken, hues du véier baussenzeg Adresspaaren. Déi meescht Designen brauche just zwee dovun duerchgehend a behandelen déi aner zwee als fakultativ. Schréif d'Matrix op a markéier jiddwer Zeil, well jiddwer Zeil, déi s du verspréchs, kascht dech méi spéit eng Gateway, eng Tunnel-Interface an eng Routing-Entscheedung.

Jiddwer néidegt Paar brauch dräi Saachen zur selwechter Zäit: en erreechbaren Underlay tëscht just dësen Adressen, géigesäiteg Akzeptanz vun der Peer-Identitéit an der Quelladress op béide Säiten, an en geschützten Zréckwee. En Paar, dat nëmmen an eng Richtung funktionéiert, weist trotzdem en Tunnel, an de Feeler kënnt méi spéit als eenrichtung Applikatiounstrafik eraus.

Eng Gateway pro lokal Quell, net pro remote Site

D'Lëscht vun den externen Adressen gehéiert zu enger Gateway, an déi lokal Quell souguer. D'IKE-Gateway-Referenz hält extern Adressen, extern Interface, lokal Adress an Dead-Peer-Erkennung als getrennt Astellungen, an dat ass just de Punkt: zwou lokal Quellen heescht zwou Gatewayen iwwer zwou st0-Eenheeten. D'IKE-Policy tëscht hinne deelen ass an der Rei; eng eenzeg Gateway halen an ze hoffen, si géif sech selwer eng aner Quell sichen, net.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Duerno hänk d'Tunnelen un a gëff dem wäitem Prefix zwee next hops, ee pro Tunnel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Ob eng eenzeg Gateway zwee Instruktiounen vum Typ address halen darf, hänkt vun der Release a vun deem IKE-Prozess of, deen d'Box lafe léisst. Méi al kmd-baséiert Junos hëlt eng eenzeg extern Adress pro Gateway; méi nei Builds handhaben méi Kandidaten, awer setzen hir eege Restriktiounen derbäi, an Héich-Disponibilitéit-Cluster sinn en typesche Punkt, wou dës Ënnerstëtzung méi schmuel gëtt. Kuck d'Release Notes fir deng genau Build un, ier s dat vun engem méi alen Chassis kopéiers.

Bestäteg, wéi eng Associatioun de Pak gedroen huet

Zwou SAs an zwee Tunnelen soen net, wéi eng dovu d'Sessioun virugeleet huet. Fro d'Box direkt a vergläich d'Felder mam Paar, dat s déi virgestallt hues:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

D'Detailausgab nennt fir jiddwer Associatioun déi lokal an déi wäit Gateway, wat de séierste Wee ass, en Tunnel ze fannen, deen sech vun enger onerwaarter Quell aus verhandelt huet. Kuck duerno op d'Paketzieler pro Eenheet op st0.1 an st0.2, während s du Trafik duerchschécks; en Tunnel, deen näischt dréit, behält seng SA an gesäit an enger Iwwersiicht gesond aus.

Gëff jiddwer Aart Feeler säin eegenen Detektor

Peer-Liveness, Verloscht vum lokalen Uplink, Zréckzuch vun der geschützter Route an Ausfall vun der Applikatioun sinn véier verschidden Evenementer. DPD äntwert just op dat éischt, also konfiguréier en mat engem Intervall an engem Schwellwäert, deen s vertriede kanns, amplaz de Standard stoen ze loossen an unzehuelen, en deckt de Rescht:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tunnelmonitoring, dat en Zil bannent dem wäitem Subnetz probéiert, deckt de Fall, deen DPD net gesäit: IKE lieft, d'Gateway äntwert, an de geschützte Prefix ass trotzdem net erreechbar. Wiel, wéi eng vun den zwou d'Präferenz zéie soll, well wa béid gläichzäiteg ausléisen, entsteet en Ännerungsstuerm amplaz vun engem proppere Failover.

Vergiess net déi aner Säit. Eng bevorzugt Route, déi op der wäiter Site installéiert bleift, weist weider an en Tunnel, deen s schonn opginn hues, an keen lokalen Timer behieft dat. Publizéier déi selwecht Präferenzlogik op béide Peers, a notéier, ob eng erëmhiergestallte Verbindung den Trafik automatesch zréckhuele darf oder vun Hand ëmgeschalt musse ginn.

Eng Verbindung nei adresséieren, ouni déi aner unzeréieren

Wann en ISP dech en neie Block gëtt, ännere just eng Bezéiung op eemol. Aktualiséier address oder local-address op béide Peers fir dat Paar, commit, a läsch just déi betraff Associatiounen nom Index amplaz all SA op der Box ze läschen. Eng global Läschung hëlt och den gesonden Tunnel mat a macht aus engem Maintenance-Fënster en Ausfall.

Halt een ausgefallene Floss mat sengem Sessiounsdetail als Beweis fest, ier s eppes botz, a widderhuel duerno d'Kontrollen uewendriwwer géint dat neit Adresspaar. Eng Verbindung erëmzestellen ass eng Routing-Entscheedung, also behandelt d'Zeréckkommen als eege getestene Schrëtt amplaz unzehuelen, déi al Präferenz géif vun selwer zréckkommen.

D'Ännerung mat enger kuerzer Checkliste ofschléissen

En Dual-WAN-Tunneldesign ass fäerdeg, wa s bei jiddwer Sessioun d'Paar nenne kanns, net wa béid SAs uewen sinn. Gah déi Lëscht hei ënnen op der Box duerch, déi s wierklech geännert hues:

• Jiddwer versprachent Paar huet eng Gateway, eng st0-Eenheet an en Route-Andrag.
• Jiddwer Tunnel gouf gesi wéi en Päck gedroen huet, net just wéi en eng SA gehal huet.
• Béid Säiten d'accord iwwer d'Erkennung an iwwer wéi eng Säit d'Präferenz erëmhierstellt.
• Den Zréckwee fir jiddwer Paar steet nieft sengem Hinwee opgeschriwwen.

Wa eng Zeil feelt, fléck dat Paar, ier s dat nächst derbäi setz; zwee hallef funktionéierend Tunnelen iwwerenee maachen d'Zieler sënnlos an d'Failover-Verhalen onviraussobar.