IPsec преку приватна WAN: граници на политиките во SRX што треба да се проверат

Приватна WAN може да ги пренесува надворешните пакети на IPsec тунел, па адресите на партнерот не мора да бидат јавни интернет адреси. Она што се менува е патеката што ја поминуваат тие надворешни пакети и дозволите на интерфејсот што ги прима. На SRX надворешната контролна патека, врзувањето на тунелскиот интерфејс и политиката за препратен сообраќај се три одделни објекти. Отстранувањето на дефект во едниот додека другите два се погрешни е вообичаената причина зошто тунелот останува долу.

Прво запишете ја надворешната IKE патека

Запишете четири вредности пред да ја допрете политиката: адресата на партнерот, локалниот интерфејс што прима IKE, контекстот за рутирање што стигнува до партнерот и рутата што го избира тој интерфејс. IKE пакетите се адресирани до самиот SRX, па им треба host-inbound дозвола во зоната за примање, а не политика за препратен сообраќај. Приватната WAN адреса не го отстранува тоа барање, бидејќи пакетот сепак завршува на уредот.

Проверете ја инсталираната состојба со show security ike sa и конфигурацијата со show configuration security ike. Првата покажува дали постои фаза 1; втората покажува што уредот мисли дека треба да прави.

Врзете го тунелскиот интерфејс за правилната политика

VPN заснован на рутирање врзува тунелски интерфејс за VPN објект, а заштитените префикси се рутираат во тој интерфејс. Запишете кој интерфејс, која рута и која политика ги дозволува апликациите меѓу соодветните зони. Зона со име trust е контејнер за политики, а името не докажува дека потребните контролни или податочни пакети се дозволени.

Читајте ги вистинските врзувања наместо стара шема: show configuration security ipsec vpn за поставката за врзување за интерфејс и show configuration security policies за правилата што упатуваат на тунелската зона.

Ако заштитената рута покажува на друго место, тунелот може да е кренат додека сообраќајот никогаш не влегува во него. Ова е проблем со рутирање во IPsec костим.

Држете ја рутата до партнерот на underlay

Рутата до надворешниот партнер мора да се реши преку underlay, а не рекурзивно преку тунелот што го воспоставува. Ако рутата до партнерот покажува на тунелскиот интерфејс, IKE пакетите го бркаат сопствениот тунел и фаза 1 никогаш не завршува. Повратната патека за заштитениот сообраќај бара своја правилна рута и политика, и тоа е обично половината што недостасува кога една насока работи. Прочитајте го записот во табелата за рутирање за адресата на партнерот и потврдете дека излезниот интерфејс е WAN интерфејсот.

Проверете го со show route 198.51.100.10, со вистинската адреса на партнерот, и потврдете дека следниот скок не е тунелски интерфејс.

Проверете контрола и услуга по ред

Работете нагоре: состојба на фаза 1, состојба на фаза 2, потоа вистински тек на апликација. show security ipsec sa ги наведува безбедносните асоцијации, а show security flow session destination-prefix 10.60.0.0/16 покажува дали се создаваат препратени сесии за заштитената мрежа.

Здрава контролна врска и работна податочна патека се два различни резултати, а успешната фаза 2 не кажува ништо за тоа дали политиката ја дозволува апликацијата. Тестирајте еден дозволен тек и еден што политиката треба да го одбие, за да биде видлива разликата.

Запишете ги заедно рутата до партнерот, host-inbound дозволата, врзувањето на тунелот, внатрешната рута и политиката на апликацијата. Овие пет записи покажуваат кој слој ќе биде одговорен за иден дефект без потпирање на етикета на порта.