IPsec iwwer eng privat WAN: SRX-Politiksgrenzen déi ze kontrolléieren sinn

Eng privat WAN kann déi baussenzeg Pakete vun engem IPsec-Tunnel droen, dofir mussen d'Peer-Adressen net ëffentlech Internetadressen sinn. Wat sech ännert, ass de Wee, deen déi baussenzeg Pakete huelen, an d'Permissiounen op der Interface, déi se empfänkt. Op enger SRX sinn de baussenzege Kontrollwee, d'Tunnelinterfacebindung an d'Politik fir weidergeleete Trafic dräi getrennt Objeten. Een ze diagnostizéieren, wärend déi aner zwee falsch sinn, ass de gewéinleche Grond, firwat en Tunnel ënnen bleift.

Notéiert als éischt de baussenzege IKE-Wee

Schreift véier Wäerter op, ier Dir d'Politik beréiert: d'Peer-Adress, d'lokal Interface déi IKE empfänkt, de Routing-Kontext deen de Peer erreecht an d'Route déi déi Interface auswielt. IKE-Pakete si selwer un d'SRX adresséiert, dofir brauche si eng host-inbound-Permissioun an der Empfangszon, net eng Politik fir weidergeleeten Trafic. Eng privat WAN-Adress hëlt déi Ufuerderung net ewech, well de Paket nach ëmmer um Apparat endegt.

Kontrolléiert den installéierte Stat mat show security ike sa an d'Konfiguratioun mat show configuration security ike. Déi éischt seet, ob d'Phase 1 existéiert; déi zweet seet, wat den Apparat mengt ze mussen.

Bind d'Tunnelinterface un déi richteg Politik

Eng routebaséiert VPN bindet eng Tunnelinterface un en VPN-Objet, an déi geschützt Prefixe ginn an déi Interface gerout. Notéiert wéi eng Interface, wéi eng Route a wéi eng Politik d'Applikatiounen tëscht den relevante Zone erlaabt. Eng Zon mam Numm trust ass e Politikcontainer, an den Numm beweist net, datt déi noutwenneg Kontroll- oder Datenpakete erlaabt sinn.

Liest déi tatsächlech Bindungen amplaz vun engem ale Diagramm: show configuration security ipsec vpn fir d'Astellung Bind-to-Interface an show configuration security policies fir d'Reegelen déi op d'Tunnelzon verweisen.

Wann déi geschützt Route soss enger Plaz weist, kann den Tunnel uewen sinn, wärend den Trafic ni dra kënnt. Dat ass e Routingproblem am IPsec-Kostüm.

Halt d'Peer-Route um Underlay

D'Route zum externen Peer muss iwwer den Underlay opgeléist ginn, net rekursiv iwwer den Tunnel deen se opbaut. Wann d'Peer-Route op d'Tunnelinterface weist, jage d'IKE-Paketen hir eege Tunnel an d'Phase 1 giert ni fäerdeg. Den Äntwertswee fir geschützten Trafic brauch seng eege korrekt Route a Politik, an dat ass meeschtens déi fehlend Halschent wann eng Richtung funktionéiert. Liest den Entrée an der Routentabelle fir d'Peer-Adress a bestätegt datt déi ausgänglech Interface d'WAN-Interface ass.

Kontrolléiert et mat show route 198.51.100.10, setzt déi richteg Peer-Adress an, a bestätegt datt den nächsten Hopp keng Tunnelinterface ass.

Verifizéiert Kontroll a Service an der Rei

Schafft sech no uewen: Phase-1-Stat, Phase-2-Stat, duerno e richtegen Applikatiounsfloss. show security ipsec sa listet d'Sécherheetsassociatiounen op, an show security flow session destination-prefix 10.60.0.0/16 weist ob weidergeleet Sessioune fir de geschützten Netz opgebaut ginn.

Eng gesond Kontrollbezéiung an en funktionéierende Datenwee sinn zwou verschidde Resultater, an eng bestanene Phase 2 seet näischt doriwwer, ob d'Politik d'Applikatioun erlaabt. Testt ee erlaabte Floss an een deen d'Politik refuséiere soll, sou datt den Ënnerscheed sichtbar ass.

Notéiert d'Peer-Route, d'host-inbound-Permissioun, d'Tunnelbindung, d'intern Route an d'Applikatiounspolitik zesummen. Déi fënnef Opzeechnunge weisen wéi eng Schicht eng zukünfteg Stéierung besëtzt, ouni sech op en Hafenetikett ze verloossen.