Junos divu WAN IPsec VPN: avota ceļa sasaiste ar pareizo vārteju

Divi WAN savienojumi vienā vietā izskatās kā dublējums, līdz mēģināt pierādīt, kuru adrešu pāri konkrēta plūsma patiešām izmantoja. SRX ierīcē viena IKE vārteja nes vienu ārējo saskarni un vienu lokālo adresi; attālināto kandidātu saraksts neveido otru lokālo avotu. Tāpēc šis pārskats sākas ar pāru matricu, nevis konfigurāciju, jo Junos labprāt commitē projektu, kas aptver tikai pusi no iecerētajām kombinācijām. Ar to saskāros divās SRX345s: rezerves tunelis pacēlās tīri un tomēr nogāza sesiju atpakaļgaitā.

Izejiet soļus pēc kārtas: uzskaitiet pārus, kas jāatbalsta, izveidojiet vienu vārteju katram lokālajam avotam, apstipriniet, kura asociācija nesa datu plūsmu, un tikai pēc tam izlemiet, ko drīkst mainīt katrs atteices veids.

Kartējiet pārus pirms CLI aizskaršanas

Ja A vieta var iziet no A1 vai A2 un B vieta var saņemt uz B1 vai B2, jums ir četri ārējie adrešu pāri. Lielākajai daļai projektu divi no tiem vajadzīgi pastāvīgi, bet pārējie divi tiek uzskatīti par neobligātiem. Pierakstiet matricu un atzīmējiet katru rindu, jo katra apsolītā rinda jums vēlāk izmaksās vārteju, tuneļa saskarni un maršrutēšanas lēmumu.

Katram nepieciešamajam pārim vienlaikus vajadzīgas trīs lietas: sasniedzams underlay starp tieši šīm adresēm, savstarpēja partnera identitātes un avota adreses pieņemšana abos galos, un aizsargāts atgriešanās ceļš. Pāris, kas darbojas tikai vienā virzienā, tomēr parādīs tuneli, un atteice vēlāk izpaudīsies kā vienvirziena lietotnes datu plūsma.

Viena vārteja katram lokālajam avotam, nevis katrai attālinātajai vietai

Attālināto adrešu saraksts pieder vārtejai, tāpat arī lokālais avots. IKE vārteju uzziņa glabā attālinātās adreses, ārējo saskarni, lokālo adresi un mirušā partnera noteikšanu kā atsevišķus iestatījumus, un tas arī ir būtiskākais: divi lokālie avoti nozīmē divas vārtejas uz divām st0 vienībām. Dalīties ar IKE politiku starp tām ir kārtībā; paturēt vienu vārteju un cerēt, ka tā pati izvēlēsies citu avotu, nav kārtībā.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Pēc tam pievienojiet tuneļus un dodiet attālinātajam prefiksam divas next hop, pa vienai tunelim:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Vai viena vārteja drīkst turēt divas address tipa instrukcijas, ir atkarīgs no izlaiduma un no tā, kuru IKE procesu ierīce izpilda. Vecāks uz kmd balstīts Junos pieņem vienu attālināto adresi uz vārteju; jaunāki būvējumi apstrādā vairākus kandidātus, bet pievieno savus ierobežojumus, un augstas pieejamības klasteri ir izplatīta vieta, kur šis atbalsts sašaurinās. Pārbaudiet sava precīzā būvējuma laidiena piezīmes, pirms kopēt šo no vecāka šasija.

Apstipriniet, kura asociācija nesa paketi

Divi SA un divi tuneļi nepasaka, kurš no tiem pārsūtīja sesiju. Uzjautājiet ierīcei tieši un salīdziniet laukus ar pāri, kuru bijāt iecerējuši:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Detalizētā izvade nosauc lokālo un attālināto vārteju katrai asociācijai, un tas ir ātrākais veids, kā pamanīt tuneli, par kuru vienojās negaidīts avots. Pēc tam vērojiet pakešu skaitītājus uz vienību st0.1 un st0.2, kamēr laižat datu plūsmu cauri; tunelis, kas neko nenes, saglabā savu SA un kopsavilkumā izskatās vesels.

Dodiet katram atteices veidam savu detektoru

Partnera dzīvotspēja, lokālā augšupējā savienojuma zudums, aizsargātā maršruta atsaukšana un lietotnes sabrukums ir četri dažādi notikumi. DPD atbild tikai uz pirmo, tāpēc konfigurējiet to ar intervālu un slieksni, ko varat aizstāvēt, nevis atstājiet noklusējumu un pieņemiet, ka tas aptver pārējo:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tuneļa uzraudzība, kas pārbauda galamērķi attālinātajā apakštīklā, aptver gadījumu, ko DPD neredz: IKE ir dzīvs, vārteja atbild, un aizsargātais prefikss tomēr nav sasniedzams. Izvēlieties, kuram no diviem jāvelk prioritāte, jo, ja abi iedarbojas vienlaikus, rodas izmaiņu vētra, nevis tīra pārslēgšanās.

Neaizmirstiet attālo galu. Attālinātajā vietā instalēts prioritārais maršruts joprojām rāda uz tuneli, kuru jau esat atstājis, un neviens lokālais taimeris to nelabo. Publicējiet to pašu prioritātes loģiku abos partneros un pierakstiet, vai atjaunotais savienojums drīkst datu plūsmu pārņemt automātiski vai tas jāpārslēdz manuāli.

Piešķiriet jaunu adresi vienam savienojumam, neaizskarot otru

Kad pakalpojumu sniedzējs dod jaunu bloku, mainiet vienu saikni vienlaikus. Atjauniniet šī pāra address vai local-address abos partneros, veiciet commit un notīriet tikai ietekmētās asociācijas pēc indeksa, nevis notīriet visas SA ierīcē. Globāla tīrīšana aizņem arī veselo tuneli un pārvērš apkopes logu pārtraukumā.

Pirms kaut ko tīrīt, saglabājiet vienu neizdevušos plūsmu un tās sesijas informāciju kā pierādījumu, pēc tam atkārtoti palaidiet iepriekš minētās pārbaudes uz jaunā adrešu pāra. Savienojuma atjaunošana ir maršrutēšanas lēmums, tāpēc uzskatiet atgriešanos par atsevišķi pārbaudītu soli, nevis pieņemiet, ka vecā prioritāte atgriezīsies pati.

Noslēdziet izmaiņu ar īsu kontrolsarakstu

Divu WAN tuneļa projekts ir pabeigts, kad varat nosaukt pāri aiz katras sesijas, nevis kad abi SA ir augšā. Izejiet zemāk esošo sarakstu ierīcē, kuru patiešām mainījāt:

• Katram apsolītajam pārim ir vārteja, st0 vienība un maršruta ieraksts.
• Katrs tunelis ir redzēts nesam paketes, nevis tikai turot SA.
• Abi gali vienojas par noteikšanu un par to, kura puse atjauno prioritāti.
• Katra pāra atgriešanās ceļš ir pierakstīts blakus tā iešanas ceļam.

Ja kāda rinda neiztur, izlabojiet šo pāri pirms nākamā pievienošanas; divu pusstrādājošu tuneļu sakraušana padara skaitītājus bezjēdzīgus un failover uzvedību neprognozējamu.