IPsec privātā WAN: pārbaudāmās SRX politikas robežas

Privāts WAN var pārnēsāt IPsec tuneļa ārējās paketes, tāpēc partnera adresēm nav jābūt publiskām interneta adresēm. Mainās ceļš, pa kuru iet šīs ārējās paketes, un atļaujas saskarnē, kas tās saņem. SRX ierīcē ārējais vadības ceļš, tuneļa saskarnes sasaiste un pārsūtītās plūsmas politika ir trīs atsevišķi objekti. Vienas problēmas novēršana, kamēr pārējās divas ir nepareizas, ir ierastais iemesls, kāpēc tunelis paliek lejā.

Vispirms pierakstiet ārējo IKE ceļu

Pirms politikas aiztikšanas pierakstiet četras vērtības: partnera adresi, vietējo saskarni, kas saņem IKE, maršrutēšanas kontekstu, kas sasniedz partneri, un maršrutu, kas izvēlas šo saskarni. IKE paketes tiek adresētas pašai SRX ierīcei, tāpēc tām ir vajadzīga host-inbound atļauja saņēmējā zonā, nevis pārsūtītās plūsmas politika. Privāta WAN adrese šo prasību neatceļ, jo pakete joprojām beidzas ierīcē.

Pārbaudiet instalēto stāvokli ar show security ike sa un konfigurāciju ar show configuration security ike. Pirmā parāda, vai pastāv 1. fāze; otrā parāda, ko ierīce domā, ka tai vajadzētu darīt.

Saistiet tuneļa saskarni ar pareizo politiku

Maršrutēšanā balstīts VPN saista tuneļa saskarni ar VPN objektu, un aizsargātie prefiksi tiek maršrutēti uz šo saskarni. Pierakstiet, kura saskarne, kurš maršruts un kura politika atļauj lietojumprogrammas starp attiecīgajām zonām. Zona ar nosaukumu trust ir politikas konteiners, un nosaukums nepierāda, ka nepieciešamās vadības vai datu paketes ir atļautas.

Lasiet faktiskās sasaistes, nevis vecu diagrammu: show configuration security ipsec vpn sasaistes ar saskarni iestatījumam un show configuration security policies noteikumiem, kas atsaucas uz tuneļa zonu.

Ja aizsargātais maršruts norāda citur, tunelis var būt augšā, kamēr plūsma tajā nekad neiekļūst. Šī ir maršrutēšanas problēma IPsec kostīmā.

Turiet partnera maršrutu uz underlay

Maršruts uz ārējo partneri ir jāatrisina caur underlay, nevis rekursīvi caur tuneli, ko tas izveido. Ja partnera maršruts norāda uz tuneļa saskarni, IKE paketes dzenas pakaļ savam tunelim un 1. fāze nekad nebeidzas. Aizsargātās plūsmas atbildes ceļam ir vajadzīgs savs pareizais maršruts un politika, un parasti tas ir trūkstošā puse, kad viena virziena darbojas. Izlasiet maršrutu tabulas ierakstu partnera adresei un apstipriniet, ka izejošā saskarne ir WAN saskarne.

Pārbaudiet to ar show route 198.51.100.10, ievietojot īsto partnera adresi, un apstipriniet, ka nākamais lēciens nav tuneļa saskarne.

Pārbaudiet vadību un pakalpojumu secībā

Strādājiet uz augšu: 1. fāzes stāvoklis, 2. fāzes stāvoklis, tad reāla lietojumprogrammas plūsma. show security ipsec sa uzskaita drošības asociācijas, un show security flow session destination-prefix 10.60.0.0/16 parāda, vai aizsargātajam tīklam tiek veidotas pārsūtītās sesijas.

Veselīga vadības attiecības un strādājošs datu ceļš ir divi dažādi rezultāti, un veiksmīga 2. fāze neko neizsaka par to, vai politika atļauj lietojumprogrammu. Pārbaudiet vienu atļautu plūsmu un vienu, kuru politikai vajadzētu noraidīt, lai atšķirība būtu redzama.

Kopā pierakstiet partnera maršrutu, host-inbound atļauju, tuneļa sasaisti, iekšējo maršrutu un lietojumprogrammas politiku. Šie pieci ieraksti parāda, kuram slānim piederēs nākotnes kļūme, nepaļaujoties uz porta etiķeti.