Junos ഇരട്ട-WAN IPsec VPN: ഉറവിട പാതയെ ശരിയായ ഗേറ്റ്വേയുമായി ചേർക്കൽ

ഓരോ സൈറ്റിലും രണ്ട് WAN ലിങ്കുകൾ അനാവശ്യ കരുതൽ പോലെ തോന്നുന്നു, ഒരു നിർദ്ദിഷ്ട ഫ്ലോ യഥാർത്ഥത്തിൽ ഏത് വിലാസ ജോഡി ഉപയോഗിച്ചു എന്ന് തെളിയിക്കാൻ ശ്രമിക്കുന്നതുവരെ. SRX-ൽ ഒരു IKE ഗേറ്റ്വേ ഒരു ബാഹ്യ ഇന്റർഫേസും ഒരു പ്രാദേശിക വിലാസവും വഹിക്കുന്നു; ദൂരസ്ഥ സ്ഥാനാർത്ഥികളുടെ പട്ടിക രണ്ടാമത്തെ പ്രാദേശിക ഉറവിടം സൃഷ്ടിക്കുന്നില്ല. അതുകൊണ്ടാണ് ഈ ഗൈഡ് കോൺഫിഗറേഷനിൽ നിന്നല്ല, ജോഡികളുടെ മാട്രിക്സിൽ നിന്ന് ആരംഭിക്കുന്നത്, കാരണം Junos നിങ്ങളുടെ ഉദ്ദേശ്യത്തിന്റെ പകുതി സംയോജനങ്ങൾ മാത്രം ഉൾക്കൊള്ളുന്ന ഡിസൈൻ പോലും എളുപ്പത്തിൽ commit ചെയ്യുന്നു. ഞാൻ ഇത് രണ്ട് SRX345s-ൽ നേരിട്ടു: ബാക്കപ്പ് ടണൽ വൃത്തിയായി ഉയർന്നു, തിരികെ വരുമ്പോൾ എന്നിട്ടും സെഷൻ താഴേക്ക് വലിച്ചു.

ഘട്ടങ്ങൾ ക്രമത്തിൽ പൂർത്തിയാക്കുക: പിന്തുണയ്ക്കേണ്ട ജോഡികൾ പട്ടികപ്പെടുത്തുക, ഓരോ പ്രാദേശിക ഉറവിടത്തിനും ഒരു ഗേറ്റ്വേ നിർമ്മിക്കുക, ഏത് അസോസിയേഷൻ ട്രാഫിക് വഹിച്ചു എന്ന് സ്ഥിരീകരിക്കുക, അതിനുശേഷം മാത്രം ഓരോ തരം പരാജയവും എന്ത് മാറ്റാം എന്ന് തീരുമാനിക്കുക.

CLI സ്പർശിക്കുന്നതിന് മുമ്പ് ജോഡികൾ മാപ്പ് ചെയ്യുക

സൈറ്റ് A, A1 അല്ലെങ്കിൽ A2-ൽ നിന്ന് ഉറവിടം എടുക്കാൻ കഴിയുകയും സൈറ്റ് B, B1 അല്ലെങ്കിൽ B2-ൽ സ്വീകരിക്കാൻ കഴിയുകയും ചെയ്താൽ, നിങ്ങൾക്ക് നാല് ബാഹ്യ വിലാസ ജോഡികളുണ്ട്. മിക്ക ഡിസൈനുകൾക്കും അവയിൽ രണ്ടെണ്ണം തുടർച്ചയായി വേണം, ബാക്കി രണ്ടെണ്ണം ഓപ്ഷണലായി കണക്കാക്കുന്നു. മാട്രിക്സ് എഴുതി ഓരോ വരിയും അടയാളപ്പെടുത്തുക, കാരണം നിങ്ങൾ വാഗ്ദാനം ചെയ്യുന്ന ഓരോ വരിയും പിന്നീട് ഒരു ഗേറ്റ്വേയും ഒരു ടണൽ ഇന്റർഫേസും ഒരു റൂട്ടിംഗ് തീരുമാനവുമായി ചെലവാകും.

ഓരോ ആവശ്യമായ ജോഡിക്കും ഒരേസമയം മൂന്ന് കാര്യങ്ങൾ വേണം: കൃത്യമായി ആ വിലാസങ്ങൾക്കിടയിൽ എത്തിച്ചേരാവുന്ന underlay, രണ്ട് അറ്റങ്ങളിലും സഹപ്രവർത്തകന്റെ അടയാളവും ഉറവിട വിലാസവും പരസ്പരം സ്വീകരിക്കൽ, ഒരു സംരക്ഷിത തിരിച്ചുവരവ് പാത. ഒരു ദിശയിൽ മാത്രം പ്രവർത്തിക്കുന്ന ജോഡി എന്നിട്ടും ടണൽ കാണിക്കും, പരാജയം പിന്നീട് അപ്ലിക്കേഷന്റെ ഏകദിശ ട്രാഫിക്കായി പുറത്തുവരും.

ഓരോ പ്രാദേശിക ഉറവിടത്തിനും ഒരു ഗേറ്റ്വേ, ദൂരസ്ഥ സൈറ്റിനല്ല

ദൂരസ്ഥ വിലാസങ്ങളുടെ പട്ടിക ഒരു ഗേറ്റ്വേയുടേതാണ്, പ്രാദേശിക ഉറവിടവും അങ്ങനെതന്നെ. IKE ഗേറ്റ്വേ റഫറൻസ് ദൂരസ്ഥ വിലാസങ്ങൾ, ബാഹ്യ ഇന്റർഫേസ്, പ്രാദേശിക വിലാസം, മൃത സഹപ്രവർത്തക കണ്ടെത്തൽ എന്നിവ വെവ്വേറെ ക്രമീകരണങ്ങളായി സൂക്ഷിക്കുന്നു, അതാണ് കാര്യം: രണ്ട് പ്രാദേശിക ഉറവിടങ്ങൾ എന്നാൽ രണ്ട് st0 യൂണിറ്റുകളിൽ രണ്ട് ഗേറ്റ്വേകൾ. അവയ്ക്കിടയിൽ IKE നയം പങ്കിടുന്നത് കുഴപ്പമില്ല; ഒരു ഗേറ്റ്വേ സൂക്ഷിച്ച് അത് തന്നെ മറ്റൊരു ഉറവിടം തിരഞ്ഞെടുക്കും എന്ന് പ്രതീക്ഷിക്കുന്നത് കുഴപ്പമാണ്.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

തുടർന്ന് ടണലുകൾ ബന്ധിപ്പിച്ച് ദൂരസ്ഥ പ്രിഫിക്സിന് രണ്ട് next hop നൽകുക, ഓരോ ടണലിനും ഒന്ന്:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

ഒരു ഗേറ്റ്വേ address തരത്തിലുള്ള രണ്ട് നിർദ്ദേശങ്ങൾ സൂക്ഷിക്കാൻ കഴിയുമോ എന്നത് റിലീസിനെയും ഉപകരണം ഏത് IKE പ്രക്രിയ പ്രവർത്തിപ്പിക്കുന്നു എന്നതിനെയും ആശ്രയിച്ചിരിക്കുന്നു. kmd അടിസ്ഥാനമാക്കിയ പഴയ Junos ഓരോ ഗേറ്റ്വേയ്ക്കും ഒരൊറ്റ ദൂരസ്ഥ വിലാസം എടുക്കുന്നു; പുതിയ ബിൽഡുകൾ ഒന്നിലധികം സ്ഥാനാർത്ഥികളെ കൈകാര്യം ചെയ്യുന്നു പക്ഷേ സ്വന്തം നിയന്ത്രണങ്ങൾ ചേർക്കുന്നു, ഉയർന്ന ലഭ്യതാ ക്ലസ്റ്ററുകൾ ഈ പിന്തുണ ഇടുങ്ങുന്ന സാധാരണ സ്ഥലമാണ്. പഴയ ചാസിസിൽ നിന്ന് ഇത് പകർത്തുന്നതിന് മുമ്പ് നിങ്ങളുടെ കൃത്യമായ ബിൽഡിനുള്ള റിലീസ് കുറിപ്പുകൾ പരിശോധിക്കുക.

ഏത് അസോസിയേഷൻ പാക്കറ്റ് വഹിച്ചു എന്ന് സ്ഥിരീകരിക്കുക

രണ്ട് SA-കളും രണ്ട് ടണലുകളും സെഷൻ ആരു കൈമാറി എന്ന് പറയുന്നില്ല. ഉപകരണത്തോട് നേരിട്ട് ചോദിച്ച് ഫീൽഡുകൾ നിങ്ങൾ ഉദ്ദേശിച്ച ജോഡിയുമായി താരതമ്യം ചെയ്യുക:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

വിശദമായ ഔട്ട്പുട്ട് ഓരോ അസോസിയേഷനും പ്രാദേശിക, ദൂരസ്ഥ ഗേറ്റ്വേകൾ പറയുന്നു, അപ്രതീക്ഷിത ഉറവിടത്തിൽ നിന്ന് ചർച്ച ചെയ്ത ടണൽ കണ്ടെത്താനുള്ള വേഗതയേറിയ വഴിയാണത്. തുടർന്ന് ട്രാഫിക് കടത്തിവിടുമ്പോൾ st0.1, st0.2 എന്നിവയിൽ ഓരോ യൂണിറ്റിനുമുള്ള പാക്കറ്റ് കൗണ്ടറുകൾ നോക്കുക; ഒന്നും വഹിക്കാത്ത ടണൽ അതിന്റെ SA സൂക്ഷിക്കുകയും സംഗ്രഹത്തിൽ ആരോഗ്യകരമായി കാണപ്പെടുകയും ചെയ്യും.

ഓരോ പരാജയത്തിനും അതിന്റെ സ്വന്തം ഡിറ്റക്ടർ നൽകുക

സഹപ്രവർത്തകന്റെ ജീവനക്ഷമത, പ്രാദേശിക അപ്ലിങ്ക് നഷ്ടം, സംരക്ഷിത റൂട്ട് പിൻവലിക്കൽ, അപ്ലിക്കേഷൻ തകർച്ച എന്നിവ നാല് വ്യത്യസ്ത സംഭവങ്ങളാണ്. DPD ആദ്യത്തേതിന് മാത്രം ഉത്തരം നൽകുന്നു, അതിനാൽ ഡിഫോൾട്ട് വിട്ട് ബാക്കിയെല്ലാം അത് ഉൾക്കൊള്ളും എന്ന് അനുമാനിക്കുന്നതിന് പകരം നിങ്ങൾക്ക് ന്യായീകരിക്കാവുന്ന ഇടവേളയും പരിധിയും ഉപയോഗിച്ച് ക്രമീകരിക്കുക:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

ദൂരസ്ഥ സബ്നെറ്റിനുള്ളിലെ ഒരു ലക്ഷ്യസ്ഥാനം പരിശോധിക്കുന്ന ടണൽ നിരീക്ഷണം DPD കാണാൻ കഴിയാത്ത സാഹചര്യം ഉൾക്കൊള്ളുന്നു: IKE ജീവനോടെയുണ്ട്, ഗേറ്റ്വേ പ്രതികരിക്കുന്നു, സംരക്ഷിത പ്രിഫിക്സ് എന്നിട്ടും അപ്രാപ്യമാണ്. രണ്ടിൽ ഏതാണ് മുൻഗണന വലിക്കേണ്ടതെന്ന് തിരഞ്ഞെടുക്കുക, കാരണം രണ്ടും ഒരുമിച്ച് സജീവമായാൽ വ്യക്തമായ ഫെയിൽഓവറിന് പകരം മാറ്റങ്ങളുടെ കൊടുങ്കാറ്റ് ഉണ്ടാകും.

ദൂരസ്ഥ അറ്റം മറക്കരുത്. ദൂരസ്ഥ സൈറ്റിൽ ഇൻസ്റ്റാൾ ചെയ്ത മുൻഗണനാ റൂട്ട് നിങ്ങൾ ഇതിനകം ഉപേക്ഷിച്ച ടണലിലേക്കാണ് ഇപ്പോഴും ചൂണ്ടുന്നത്, ഒരു പ്രാദേശിക ടൈമറും അത് ശരിയാക്കുന്നില്ല. അതേ മുൻഗണനാ യുക്തി രണ്ട് സഹപ്രവർത്തകരിലും പ്രസിദ്ധീകരിക്കുക, പുനഃസ്ഥാപിച്ച ലിങ്കിന് ട്രാഫിക് സ്വയം തിരികെ എടുക്കാമോ അല്ലെങ്കിൽ കൈകൊണ്ട് മാറ്റണമോ എന്ന് രേഖപ്പെടുത്തുക.

മറ്റൊന്ന് സ്പർശിക്കാതെ ഒരു ലിങ്കിന് വീണ്ടും വിലാസം നൽകുക

ISP നിങ്ങൾക്ക് പുതിയ ബ്ലോക്ക് തരുമ്പോൾ, ഒരു സമയത്ത് ഒരു ബന്ധം മാത്രം മാറ്റുക. ആ ജോഡിക്കായി രണ്ട് സഹപ്രവർത്തകരിലും address അല്ലെങ്കിൽ local-address പുതുക്കി, commit ചെയ്ത്, ഉപകരണത്തിലെ എല്ലാ SA-കളും മായ്ക്കുന്നതിന് പകരം ബാധിച്ച അസോസിയേഷനുകൾ മാത്രം സൂചിക ഉപയോഗിച്ച് മായ്ക്കുക. ആഗോള മായ്ക്കൽ ആരോഗ്യകരമായ ടണലും കൊണ്ടുപോകുകയും അറ്റകുറ്റപ്പണി വിൻഡോ തടസ്സമാക്കി മാറ്റുകയും ചെയ്യും.

എന്തെങ്കിലും വൃത്തിയാക്കുന്നതിന് മുമ്പ് ഒരു പരാജിത ഫ്ലോയും അതിന്റെ സെഷൻ വിശദാംശങ്ങളും തെളിവായി സൂക്ഷിച്ച്, തുടർന്ന് മുകളിലെ പരിശോധനകൾ പുതിയ വിലാസ ജോഡിയിൽ വീണ്ടും പ്രവർത്തിപ്പിക്കുക. ലിങ്ക് പുനഃസ്ഥാപിക്കൽ ഒരു റൂട്ടിംഗ് തീരുമാനമാണ്, അതിനാൽ പഴയ മുൻഗണന സ്വയം തിരികെ വരും എന്ന് അനുമാനിക്കുന്നതിന് പകരം തിരിച്ചുവരവിനെ പ്രത്യേകം പരീക്ഷിച്ച ഘട്ടമായി കാണുക.

മാറ്റം ചെറിയ ചെക്ക്ലിസ്റ്റ് ഉപയോഗിച്ച് അവസാനിപ്പിക്കുക

ഇരട്ട-WAN ടണൽ ഡിസൈൻ ഓരോ സെഷനും പിന്നിലെ ജോഡി പേര് പറയാൻ കഴിയുമ്പോൾ പൂർത്തിയാകുന്നു, രണ്ട് SA-കളും മുകളിൽ ഇരിക്കുമ്പോഴല്ല. താഴെയുള്ള പട്ടിക നിങ്ങൾ യഥാർത്ഥത്തിൽ മാറ്റിയ ഉപകരണത്തിൽ പരിശോധിക്കുക:

• ഓരോ വാഗ്ദാനം ചെയ്ത ജോഡിക്കും ഒരു ഗേറ്റ്വേ, ഒരു st0 യൂണിറ്റ്, ഒരു റൂട്ട് എൻട്രി ഉണ്ട്.
• ഓരോ ടണലും പാക്കറ്റുകൾ വഹിക്കുന്നത് കണ്ടിട്ടുണ്ട്, SA സൂക്ഷിക്കുന്നത് മാത്രമല്ല.
• രണ്ട് അറ്റങ്ങളും കണ്ടെത്തലിനെയും ഏത് വശം മുൻഗണന പുനഃസ്ഥാപിക്കുന്നു എന്നതിനെയും കുറിച്ച് യോജിക്കുന്നു.
• ഓരോ ജോഡിയുടെയും തിരിച്ചുവരവ് പാത അതിന്റെ പോകുന്ന പാതയ്ക്ക് സമീപം എഴുതിയിരിക്കുന്നു.

ഏതെങ്കിലും വരി പരാജയപ്പെട്ടാൽ, അടുത്തത് ചേർക്കുന്നതിന് മുമ്പ് ആ ജോഡി ശരിയാക്കുക; രണ്ട് പകുതി പ്രവർത്തിക്കുന്ന ടണലുകൾ ഒന്നിന് മുകളിൽ ഒന്നായി വയ്ക്കുന്നത് കൗണ്ടറുകളെ അർത്ഥശൂന്യവും failover പെരുമാറ്റത്തെ അനുമാനിക്കാനാകാത്തതുമാക്കുന്നു.