സ്വകാര്യ WAN-ൽ IPsec: പരിശോധിക്കേണ്ട SRX നയപരിധികൾ

ഒരു സ്വകാര്യ WAN-ന് IPsec ടണലിന്റെ പുറം പാക്കറ്റുകൾ വഹിക്കാനാകും, അതിനാൽ പിയർ വിലാസങ്ങൾ പൊതു ഇന്റർനെറ്റ് വിലാസങ്ങളാകേണ്ടതില്ല. മാറുന്നത് ആ പുറം പാക്കറ്റുകൾ സഞ്ചരിക്കുന്ന പാതയും അവ സ്വീകരിക്കുന്ന ഇന്റർഫേസിലെ അനുമതികളുമാണ്. SRX-ൽ പുറം നിയന്ത്രണ പാത, ടണൽ ഇന്റർഫേസ് ബൈൻഡിംഗ്, ഫോർവേഡ് ചെയ്ത ട്രാഫിക് നയം എന്നിവ മൂന്ന് വേറിട്ട വസ്തുക്കളാണ്. മറ്റ് രണ്ടും തെറ്റായിരിക്കെ ഒന്ന് കണ്ടെത്തുന്നതാണ് ടണൽ താഴെ തുടരുന്നതിന്റെ സാധാരണ കാരണം.

ആദ്യം പുറം IKE പാത രേഖപ്പെടുത്തുക

നയം തൊടുന്നതിന് മുൻപ് നാല് മൂല്യങ്ങൾ എഴുതുക: പിയർ വിലാസം, IKE സ്വീകരിക്കുന്ന ലോക്കൽ ഇന്റർഫേസ്, പിയറിലെത്തുന്ന റൂട്ടിംഗ് സന്ദർഭം, ആ ഇന്റർഫേസ് തിരഞ്ഞെടുക്കുന്ന റൂട്ട്. IKE പാക്കറ്റുകൾ SRX-ന് തന്നെ അഭിസംബോധന ചെയ്യുന്നതിനാൽ സ്വീകരിക്കുന്ന സോണിൽ host-inbound അനുമതി വേണം, ഫോർവേഡ് ചെയ്ത ട്രാഫിക് നയമല്ല. സ്വകാര്യ WAN വിലാസം ആ ആവശ്യകത നീക്കുന്നില്ല, കാരണം പാക്കറ്റ് ഇപ്പോഴും ഉപകരണത്തിൽ അവസാനിക്കുന്നു.

ഇൻസ്റ്റാൾ ചെയ്ത അവസ്ഥ ഇതിലൂടെ പരിശോധിക്കുക: show security ike sa കൂടാതെ കോൺഫിഗറേഷൻ ഇതിലൂടെ: show configuration security ike. ആദ്യത്തേത് ഘട്ടം 1 നിലവിലുണ്ടോ എന്ന് പറയുന്നു; രണ്ടാമത്തേത് ഉപകരണം എന്ത് ചെയ്യണമെന്ന് കരുതുന്നു എന്ന് പറയുന്നു.

ടണൽ ഇന്റർഫേസ് ശരിയായ നയവുമായി ബൈൻഡ് ചെയ്യുക

റൂട്ടിംഗ് അടിസ്ഥാനമാക്കിയ VPN ഒരു ടണൽ ഇന്റർഫേസിനെ VPN വസ്തുവുമായി ബൈൻഡ് ചെയ്യുന്നു, സംരക്ഷിത പ്രിഫിക്സുകൾ ആ ഇന്റർഫേസിലേക്ക് റൂട്ട് ചെയ്യപ്പെടുന്നു. ഏത് ഇന്റർഫേസ്, ഏത് റൂട്ട്, ഏത് നയം ബന്ധപ്പെട്ട സോണുകൾക്കിടയിലെ ആപ്ലിക്കേഷനുകൾക്ക് അനുമതി നൽകുന്നു എന്ന് രേഖപ്പെടുത്തുക. trust എന്ന പേരിലുള്ള സോൺ ഒരു നയ കണ്ടെയ്നറാണ്, പേര് ആവശ്യമായ നിയന്ത്രണ അല്ലെങ്കിൽ ഡാറ്റ പാക്കറ്റുകൾക്ക് അനുമതിയുണ്ടെന്ന് തെളിയിക്കുന്നില്ല.

പഴയ ഡയഗ്രാമിന് പകരം യഥാർത്ഥ ബൈൻഡിംഗുകൾ വായിക്കുക: show configuration security ipsec vpn ഇന്റർഫേസിലേക്ക് ബൈൻഡ് ചെയ്യുന്ന ക്രമീകരണത്തിനും show configuration security policies ടണൽ സോണിനെ പരാമർശിക്കുന്ന നിയമങ്ങൾക്കും.

സംരക്ഷിത റൂട്ട് മറ്റെവിടെയെങ്കിലും ചൂണ്ടുന്നുവെങ്കിൽ ടണൽ മുകളിലായിരിക്കാം, പക്ഷേ ട്രാഫിക് ഒരിക്കലും അതിലേക്ക് കയറുന്നില്ല. ഇത് IPsec വേഷമണിഞ്ഞ ഒരു റൂട്ടിംഗ് പ്രശ്നമാണ്.

പിയർ റൂട്ട് underlay-ൽ നിലനിർത്തുക

പുറം പിയറിലേക്കുള്ള റൂട്ട് underlay വഴി പരിഹരിക്കണം, അത് സ്ഥാപിക്കുന്ന ടണൽ വഴി ആവർത്തിച്ചല്ല. പിയർ റൂട്ട് ടണൽ ഇന്റർഫേസിലേക്ക് ചൂണ്ടുന്നുവെങ്കിൽ IKE പാക്കറ്റുകൾ സ്വന്തം ടണലിനെ പിന്തുടരുന്നു, ഘട്ടം 1 ഒരിക്കലും പൂർത്തിയാകുന്നില്ല. സംരക്ഷിത ട്രാഫിക്കിന്റെ മറുപടി പാതയ്ക്ക് സ്വന്തം ശരിയായ റൂട്ടും നയവും വേണം, ഒരു ദിശ പ്രവർത്തിക്കുമ്പോൾ സാധാരണയായി അതാണ് കാണാത്ത പകുതി. പിയർ വിലാസത്തിനുള്ള റൂട്ട് ടേബിൾ എൻട്രി വായിച്ച് ഔട്ട്ഗോയിംഗ് ഇന്റർഫേസ് WAN ഇന്റർഫേസാണെന്ന് ഉറപ്പാക്കുക.

ഇതിലൂടെ പരിശോധിക്കുക: show route 198.51.100.10, യഥാർത്ഥ പിയർ വിലാസം ചേർത്ത്, അടുത്ത ഹോപ്പ് ടണൽ ഇന്റർഫേസല്ലെന്ന് ഉറപ്പാക്കുക.

നിയന്ത്രണവും സേവനവും ക്രമത്തിൽ പരിശോധിക്കുക

മുകളിലേക്ക് പ്രവർത്തിക്കുക: ഘട്ടം 1 അവസ്ഥ, ഘട്ടം 2 അവസ്ഥ, തുടർന്ന് യഥാർത്ഥ ആപ്ലിക്കേഷൻ ഫ്ലോ. show security ipsec sa സുരക്ഷാ അസോസിയേഷനുകൾ പട്ടികപ്പെടുത്തുന്നു, കൂടാതെ show security flow session destination-prefix 10.60.0.0/16 സംരക്ഷിത നെറ്റ്വർക്കിനായി ഫോർവേഡ് ചെയ്ത സെഷനുകൾ സൃഷ്ടിക്കുന്നുണ്ടോ എന്ന് കാണിക്കുന്നു.

ആരോഗ്യകരമായ നിയന്ത്രണ ബന്ധവും പ്രവർത്തിക്കുന്ന ഡാറ്റാ പാതയും രണ്ട് വ്യത്യസ്ത ഫലങ്ങളാണ്, ഘട്ടം 2 കടക്കുന്നത് നയം ആപ്ലിക്കേഷനെ അനുവദിക്കുന്നുണ്ടോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. അനുവദിക്കപ്പെട്ട ഒരു ഫ്ലോയും നയം നിരസിക്കേണ്ട ഒരു ഫ്ലോയും പരീക്ഷിക്കുക, വ്യത്യാസം കാണുന്ന വിധത്തിൽ.

പിയർ റൂട്ട്, host-inbound അനുമതി, ടണൽ ബൈൻഡിംഗ്, ആന്തരിക റൂട്ട്, ആപ്ലിക്കേഷൻ നയം എന്നിവ ഒരുമിച്ച് രേഖപ്പെടുത്തുക. ഈ അഞ്ച് രേഖകൾ പോർട്ട് ലേബലിനെ ആശ്രയിക്കാതെ ഭാവി പരാജയം ഏത് പാളിയുടേതാണെന്ന് കാണിക്കുന്നു.