IPsec privačiame WAN: SRX politikos ribos, kurias reikia patikrinti

Privatus WAN gali perduoti išorinius IPsec tunelio paketus, todėl peer adresai neturi būti vieši interneto adresai. Keičiasi tik kelias, kuriuo eina tie išoriniai paketai, ir leidimai sąsajoje, kuri juos priima. SRX įrenginyje išorinis valdymo kelias, tunelio sąsajos susiejimas ir perduodamo srauto politika yra trys atskiri objektai. Vieno trikčių šalinimas, kai kiti du neteisingi, yra įprasta priežastis, kodėl tunelis lieka žemyn.

Pirmiausia užrašykite išorinį IKE kelią

Prieš liesdami politiką užrašykite keturias reikšmes: peer adresą, vietinę sąsają, kuri priima IKE, maršrutizavimo kontekstą, kuris pasiekia peer, ir maršrutą, kuris pasirenka tą sąsają. IKE paketai adresuojami pačiam SRX, todėl jiems reikia host-inbound leidimo priimančioje zonoje, o ne perduodamo srauto politikos. Privatus WAN adresas šio reikalavimo nepanaikina, nes paketas vis tiek baigiasi įrenginyje.

Patikrinkite įdiegtą būseną su show security ike sa ir konfigūraciją su show configuration security ike. Pirmoji parodo, ar yra 1 fazė; antroji parodo, ką įrenginys mano turįs daryti.

Susiekite tunelio sąsają su tinkama politika

Maršrutizavimu pagrįstas VPN susieja tunelio sąsają su VPN objektu, o apsaugoti prefiksai nukreipiami į tą sąsają. Užrašykite, kuri sąsaja, kuris maršrutas ir kuri politika leidžia programas tarp atitinkamų zonų. Zona pavadinimu trust yra politikos konteineris, ir pavadinimas neįrodo, kad reikiami valdymo ar duomenų paketai leidžiami.

Skaitykite tikruosius susiejimus, o ne seną diagramą: show configuration security ipsec vpn susiejimo su sąsaja nustatymui ir show configuration security policies taisyklėms, kurios nukreipia į tunelio zoną.

Jei apsaugotas maršrutas rodo kitur, tunelis gali būti aukštyn, nors srautas į jį niekada nepatenka. Tai maršrutizavimo problema IPsec kostiumu.

Laikykite peer maršrutą underlay tinkle

Maršrutas į išorinį peer turi būti sprendžiamas per underlay, o ne rekursyviai per tunelį, kurį jis sukuria. Jei peer maršrutas rodo į tunelio sąsają, IKE paketai vejasi savo tunelį ir 1 fazė niekada nebaigiama. Apsaugoto srauto atsakymo keliui reikia savo teisingo maršruto ir politikos, ir tai paprastai yra trūkstama pusė, kai viena kryptis veikia. Perskaitykite maršrutų lentelės įrašą peer adresui ir patvirtinkite, kad išeinanti sąsaja yra WAN sąsaja.

Patikrinkite tai su show route 198.51.100.10, įrašydami tikrą peer adresą, ir patvirtinkite, kad kitas šuolis nėra tunelio sąsaja.

Patikrinkite valdymą ir paslaugą iš eilės

Dirbkite aukštyn: 1 fazės būsena, 2 fazės būsena, tada tikras programos srautas. show security ipsec sa išvardija saugos asociacijas, o show security flow session destination-prefix 10.60.0.0/16 parodo, ar apsaugotam tinklui kuriamos perduodamos sesijos.

Sveikas valdymo ryšys ir veikiantis duomenų kelias yra du skirtingi rezultatai, o sėkminga 2 fazė nieko nesako apie tai, ar politika leidžia programą. Išbandykite vieną leistiną srautą ir vieną, kurį politika turėtų atmesti, kad skirtumas būtų matomas.

Kartu užrašykite peer maršrutą, host-inbound leidimą, tunelio susiejimą, vidinį maršrutą ir programos politiką. Šie penki įrašai parodo, kuris sluoksnis atsakingas už būsimą gedimą, nepasikliaujant prievado etikete.