Junos Dual-WAN IPsec VPN: поврзување на изворната патека со вистинскиот gateway

Две WAN врски по локација изгледаат како редундантност се додека не се обидете да докажете кој пар адреси го користел даден тек. На SRX, еден IKE gateway носи едно надворешно интерфејс и една локална адреса; списокот со оддалечени кандидати не создава втор локален извор. Затоа овој преглед започнува со матрицата на парови, а не со конфигурацијата, бидејќи Junos без двоумење комитува дизајн што покрива само половина од предвидените комбинации. Наидов на ова на два SRX345s: резервниот тунел се крена чисто и сепак ја урна сесијата при враќањето.

Поминете ги чекорите по ред: набројте ги паровите што треба да ги поддржите, изградете еден gateway по локален извор, потврдете која асоцијација го пренесе сообраќајот и дури потоа одлучете што смее да смени секој вид дефект.

Мапирајте ги паровите пред да го допрете CLI

Ако локацијата A може да излегува од A1 или A2, а локацијата B може да прима на B1 или B2, имате четири надворешни пара адреси. Повеќето дизајни бараат два од нив постојано, а другите два ги третираат како опционални. Запишете ја матрицата и означете го секој ред, бидејќи секој ветен ред подоцна ве чини gateway, тунелски интерфејс и одлука за рутирање.

Секој потребен пар бара три работи истовремено: достапен underlay меѓу точно тие адреси, взаемно прифаќање на идентитетот на партнерот и изворната адреса на двата краја, и заштитена повратна патека. Пар што работи само во една насока сепак покажува тунел, а дефектот се појавува подоцна како еднонасоочен сообраќај на апликацијата.

Еден gateway по локален извор, не по оддалечена локација

Списокот со оддалечени адреси му припаѓа на gateway, како и локалниот извор. референцата за IKE gateway ги држи оддалечените адреси, надворешниот интерфејс, локалната адреса и откривањето мртов партнер како одделни поставки, и токму тоа е поентата: два локални извори значат два gateway-а на две единици st0. Споделувањето на IKE политиката меѓу нив е во ред; да задржите еден gateway и да се надевате дека сам ќе избере друг извор не е.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Потоа приклучете ги тунелите и дајте му на оддалечениот префикс два next hop-а, по еден на тунел:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Дали еден gateway може да држи две инструкции од типот address зависи од изданието и од тоа кој процес IKE го извршува уредот. Постариот Junos заснован на kmd прифаќа една оддалечена адреса по gateway; поновите градби совладуваат повеќе кандидати, но додаваат свои ограничувања, а кластерите со висока достапност се често место каде таа поддршка се стеснува. Проверете ги белешките за изданието за вашата точна градба пред да го копирате ова од постаро куќиште.

Потврдете која асоцијација го пренесе пакетот

Две SA и два тунели не кажуваат која од нив ја проследила сесијата. Прашајте го уредот директно и споредете ги полињата со парот што го намеравте:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Деталниот излез ги наведува локалниот и оддалечениот gateway за секоја асоцијација, што е најбрзиот начин да забележите тунел што се договорил од извор што не сте го очекувале. Потоа гледајте ги бројачите на пакети по единица на st0.1 и st0.2 додека пуштате сообраќај; тунел што не носи ништо го задржува својот SA и изгледа здраво во преглед.

Дајте му на секој вид дефект свој детектор

Живоста на партнерот, губењето на локалниот uplink, повлекувањето на заштитената рута и дефектот на апликацијата се четири различни настани. DPD одговара само на првиот, затоа поставете го со интервал и праг што можете да ги браните наместо да ја оставите стандардната вредност и да претпоставите дека го покрива остатокот:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Надзорот на тунелот што тестира одредиште внатре во оддалечената подмрежа го покрива случајот што DPD не го гледа: IKE е жив, gateway-от одговара, а заштитениот префикс сепак е недостапен. Изберете кој од двата треба да влече предност, бидејќи ако двата се активираат истовремено настанува бура од промени наместо чисто префрлање.

Не заборавајте го другиот крај. Преферирана рута што останува на оддалечената локација продолжува да покажува во тунел што веќе го напуштивте, и ниту еден локален тајмер тоа не го поправа. Објавете ја истата логика на предност на двата партнери и забележете дали обновената врска смее автоматски да го преземе сообраќајот или мора рачно да се префрли.

Повторно адресирајте една врска без да ја допрете другата

Кога ISP ќе ви додели нов блок, менувајте еден однос одеднаш. Ажурирајте address или local-address на двата партнери за тој пар, направете commit и исчистете ги само засегнатите асоцијации по индекс наместо да ги исчистите сите SA на уредот. Глобалното чистење го носи и здравиот тунел и претвора сервисниот прозорец во испад.

Зачувајте еден неуспешен тек и деталите од неговата сесија како доказ пред да исчистите нешто, потоа повторно извршете ги горните проверки врз новиот пар адреси. Враќањето на врска е одлука за рутирање, затоа третирајте го враќањето како одделен тестиран чекор наместо да претпоставите дека старата предност се враќа сама.

Затворете ја промената со кратка контролна листа

Дизајнот на dual-WAN тунел е готов кога можете да го именувате парот зад секоја сесија, а не кога двете SA се подигнати. Поминете го списокот подолу на уредот што навистина сте го смениле:

• Секој ветен пар има gateway, единица st0 и запис во рута.
• Секој тунел е виден како носи пакети, не само како држи SA.
• Двата краја се согласуваат за откривањето и за тоа која страна ја обновува предноста.
• Повратната патека за секој пар е запишана до неговата патека напред.

Ако некој ред не успее, поправете го тој пар пред да го додадете следниот; наредувањето на два полуфункционални тунели ги прави бројачите бесмислени, а однесувањето при failover непредвидливо.