Junos dviejų WAN IPsec VPN: šaltinio kelio susiejimas su tinkamu šliuzu

Dvi WAN linijos vienoje vietoje atrodo kaip rezervas, kol nepabandote įrodyti, kurią adresų porą konkretus srautas iš tikrųjų naudojo. SRX įrenginyje vienas IKE šliuzas neša vieną išorinę sąsają ir vieną vietinį adresą; nuotolinių kandidatų sąrašas nesukuria antrojo vietinio šaltinio. Todėl ši apžvalga pradedama porų matrica, o ne konfigūracija, nes Junos lengvai commitina projektą, apimantį tik pusę numatytų kombinacijų. Su tuo susidūriau dviejuose SRX345s: atsarginis tunelis pakilo švariai ir vis tiek numetė sesiją grįžtant.

Pereikite veiksmus iš eilės: išvardykite poras, kurias turite palaikyti, sukurkite vieną šliuzą kiekvienam vietiniam šaltiniui, patvirtinkite, kuri asociacija perdavė srautą, ir tik tada nuspręskite, ką gali pakeisti kiekvienas gedimo tipas.

Susižymėkite poras prieš liesdami CLI

Jei A vieta gali siųsti iš A1 arba A2, o B vieta gali priimti B1 arba B2, turite keturias išorines adresų poras. Daugumai projektų dviejų reikia nuolat, o kitos dvi laikomos pasirenkamomis. Užrašykite matricą ir pažymėkite kiekvieną eilutę, nes kiekviena pažadėta eilutė vėliau kainuos šliuzą, tunelio sąsają ir maršrutizavimo sprendimą.

Kiekvienai reikalingai porai vienu metu reikia trijų dalykų: pasiekiamo underlay tarp būtent tų adresų, abipusio partnerio tapatybės ir šaltinio adreso priėmimo abiejuose galuose bei apsaugoto grįžimo kelio. Porą, veikianti tik viena kryptimi, vis tiek parodys tunelį, o gedimas pasirodys vėliau kaip vienkryptis programos srautas.

Vienas šliuzas kiekvienam vietiniam šaltiniui, o ne kiekvienai nuotolinei vietai

Nuotolinių adresų sąrašas priklauso šliuzui, taip pat ir vietinis šaltinis. IKE šliuzų nuoroda saugo nuotolinius adresus, išorinę sąsają, vietinį adresą ir negyvo partnerio aptikimą kaip atskirus nustatymus, ir būtent tai yra esmė: du vietiniai šaltiniai reiškia du šliuzus dviejuose st0 įrenginiuose. Pasidalinti IKE politika tarp jų yra gerai; palikti vieną šliuzą ir tikėtis, kad jis pats pasirinks kitą šaltinį, ne.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Tada prijunkite tunelius ir duokite nuotoliniam prefiksui du next hop, po vieną tuneliui:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Ar vienas šliuzas gali laikyti du address tipo nurodymus, priklauso nuo versijos ir nuo to, kurį IKE procesą vykdo įrenginys. Senesnis kmd pagrindu veikiantis Junos priima vieną nuotolinį adresą šliuzui; naujesni buildai tvarko kelis kandidatus, bet prideda savo apribojimus, o didelio prieinamumo klasteriai yra įprasta vieta, kurioje ši parama susiaurėja. Prieš kopijuodami tai iš senesnio korpuso, patikrinkite savo tikslios versijos leidimo pastabas.

Patvirtinkite, kuri asociacija perdavė paketą

Du SA ir du tuneliai nepasako, kuris jų perdavė sesiją. Paklauskite įrenginio tiesiogiai ir palyginkite laukus su pora, kurią numatėte:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Išsami išvestis nurodo vietinį ir nuotolinį šliuzą kiekvienai asociacijai, o tai greičiausias būdas pastebėti tunelį, dėl kurio susitarta iš netikėto šaltinio. Tada stebėkite paketų skaitiklius vienetui st0.1 ir st0.2, kol siunčiate srautą; tunelis, kuris nieko neneša, išlaiko savo SA ir suvestinėje atrodo sveikas.

Kiekvienam gedimo tipui suteikite savo detektorių

Partnerio gyvybingumas, vietinės viršutinės jungties praradimas, apsaugoto maršruto atšaukimas ir programos lūžimas yra keturi skirtingi įvykiai. DPD atsako tik į pirmąjį, todėl sukonfigūruokite jį su intervalu ir slenksčiu, kuriuos galite pagrįsti, o ne palikite numatytąją reikšmę ir manykite, kad ji apima likusią dalį:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tunelio stebėjimas, kuris tikrina paskirties tašką nuotoliniame potinkyje, apima atvejį, kurio DPD nemato: IKE gyvas, šliuzas atsako, o apsaugotas prefiksas vis tiek nepasiekiamas. Pasirinkite, kuris iš dviejų turi traukti pirmenybę, nes jei abu suveiks vienu metu, kils pokyčių audra, o ne švarus perjungimas.

Nepamirškite tolimojo galo. Nuotolinėje vietoje įdiegtas pageidaujamas maršrutas vis dar rodo į tunelį, kurį jau palikote, ir joks vietinis laikmatis to nepataisys. Paskelbkite tą pačią pirmenybės logiką abiejuose partneriuose ir užrašykite, ar atkurtas ryšys gali automatiškai susigrąžinti srautą, ar jį reikia perjungti rankiniu būdu.

Suteikite naują adresą vienai linijai neliesdami kitos

Kai tiekėjas duoda naują bloką, keiskite po vieną ryšį. Atnaujinkite tos poros address arba local-address abiejuose partneriuose, atlikite commit ir išvalykite tik paveiktas asociacijas pagal indeksą, o ne visas įrenginio SA. Visuotinis valymas paima ir sveiką tunelį bei paverčia techninės priežiūros langą pertraukimu.

Prieš ką nors valydami, išsaugokite vieną nepavykusį srautą ir jo sesijos duomenis kaip įrodymą, tada dar kartą paleiskite aukščiau pateiktus patikrinimus naujai adresų porai. Ryšio atkūrimas yra maršrutizavimo sprendimas, todėl grįžimą traktuokite kaip atskirą patikrintą žingsnį, o ne manykite, kad sena pirmenybė grįš pati.

Uždarykite pakeitimą trumpu kontroliniu sąrašu

Dviejų WAN tunelio projektas baigtas, kai galite įvardyti porą už kiekvienos sesijos, o ne kai abu SA pakelti. Pereikite toliau pateiktą sąrašą įrenginyje, kurį iš tikrųjų pakeitėte:

• Kiekviena pažadėta pora turi šliuzą, st0 vienetą ir maršruto įrašą.
• Kiekvienas tunelis buvo matytas nešantis paketus, o ne tik laikantis SA.
• Abu galai sutaria dėl aptikimo ir dėl to, kuri pusė atkuria pirmenybę.
• Kiekvienos poros grįžimo kelias užrašytas šalia jos ėjimo kelio.

Jei kuri nors eilutė nepraeina, pataisykite tą porą prieš pridėdami kitą; dviejų pusiau veikiančių tunelių sukrovimas daro skaitiklius beprasmius, o failover elgesį nenuspėjamą.