Junos хос WAN IPsec VPN: эх замыг зөв гарцтай тааруулах

Сайт бүрт хоёр WAN холбоос нь нөөц мэт харагддаг боловч тухайн урсгал ямар хаягийн хосыг үнэхээр ашигласныг батлах хүртэл төдий. SRX дээр нэг IKE гарц нэг гадаад интерфэйс, нэг локал хаягийг зөөдөг; алсын нэр дэвшигчдийн жагсаалт хоёр дахь локал эх үүсгэхгүй. Тиймээс энэ тойм тохиргооноос биш, хосуудын матрицаас эхэлдэг, учир нь Junos таны төлөвлөсөн хослолуудын зөвхөн хагасыг хамарсан загварыг ч хялбархан commit хийдэг. Би үүнтэй хоёр SRX345s дээр таарсан: нөөц туннель цэвэр босч, буцах үед сесс нурсан.

Алхмуудыг дарааллаар нь гүйцэтгээрэй: дэмжих ёстой хосуудаа жагсаа, локал эх бүрд нэг гарц барь, трафикийг аль ассоциац зөөснийг батал, зөвхөн дараа нь алдааны төрөл бүр юуг өөрчилж болохыг шийд.

CLI-д хүрэхээс өмнө хосуудыг зурагла

Хэрэв А талбай A1 эсвэл A2-оос эхэлж чаддаг, Б талбай B1 эсвэл B2 дээр хүлээж авч чаддаг бол танд дөрвөн гадаад хаягийн хос байна. Ихэнх загварт тэдгээрийн хоёр нь байнга хэрэгтэй, үлдсэн хоёр нь сонголтоор тооцогддог. Матрицыг бичээд мөр бүрийг тэмдэглээрэй, учир нь амласан мөр бүр танд дараа нь гарц, туннелийн интерфэйс, чиглүүлэлтийн шийдвэр болж эргэж ирнэ.

Шаардлагатай хос бүрт нэгэн зэрэг гурван зүйл хэрэгтэй: яг эдгээр хаягийн хооронд хүртээмжтэй underlay, хоёр үзүүрт түншийн таних мэдээлэл болон эх хаягийг харилцан хүлээн зөвшөөрөх, мөн хамгаалагдсан буцах зам. Зөвхөн нэг чиглэлд ажилладаг хос туннелийг гэсэн ч харуулна, алдаа нь дараа нь програмын нэг чиглэлийн трафик болж илэрнэ.

Алсын талбайд биш, локал эх бүрд нэг гарц

Алсын хаягийн жагсаалт нэг гарцад хамаарна, локал эх ч мөн адил. IKE гарцын лавлагаа алсын хаяг, гадаад интерфэйс, локал хаяг, үхсэн түншийг илрүүлэхийг тусдаа тохиргоо болгон хадгалдаг бөгөөд яг үүнд л учир байгаа: хоёр локал эх нь хоёр st0 нэгж дээр хоёр гарц гэсэн үг. IKE бодлогыг тэдний хооронд хуваалцах нь зүгээр; нэг гарц үлдээгээд өөрөө өөр эх сонгоно гэж найдах нь зүгээр биш.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Дараа нь туннелүүдийг холбож, алсын префикст хоёр next hop өгөөрэй, туннель бүрд нэг:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Нэг гарц address төрлийн хоёр зааврыг барьж чадах эсэх нь хувилбар болон төхөөрөмж ямар IKE процесс ажиллуулж байгаагаас хамаарна. kmd-д суурилсан хуучин Junos гарц бүрд нэг алсын хаяг авдаг; шинэ бүтээцүүд хэд хэдэн нэр дэвшигчийг зохицуулдаг ч өөрийн хязгаарлалтыг нэмдэг, өндөр хүртээмжийн кластерууд энэ дэмжлэг нарийсах нийтлэг газар юм. Үүнийг хуучин шассиас хуулахаасаа өмнө яг өөрийн бүтээцийн хувилбарын тэмдэглэлийг шалгаарай.

Пакетыг аль ассоциац зөөснийг батал

Хоёр SA, хоёр туннель нь сессийг аль нь дамжуулсныг хэлэхгүй. Төхөөрөмжөөс шууд асууж, талбаруудыг төлөвлөсөн хостой харьцуул:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Дэлгэрэнгүй гаралт ассоциац бүрийн локал болон алсын гарцыг харуулдаг бөгөөд энэ нь санаанд оромгүй эхээс тохиролцсон туннелийг анзаарах хамгийн хурдан арга юм. Дараа нь трафик дамжуулж байхдаа st0.1 ба st0.2 дээрх нэгжийн пакетын тоолуурыг ажигла; юу ч зөөдөггүй туннель өөрийн SA-г хадгалж, ерөнхий харагдацад эрүүл харагдана.

Алдааны төрөл бүрд өөрийн детектор өг

Түншийн амьд байдал, локал uplink алдагдах, хамгаалагдсан маршрут буцаагдах, программ эвдрэх нь дөрвөн өөр үйл явдал. DPD зөвхөн эхнийд нь хариулдаг тул анхдагч утгыг үлдээж, үлдсэнийг хамарна гэж таамаглахын оронд өмгөөлж чадах интервал, босготой тохируул:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Алсын дэд сүлжээний доторх хаягийг шалгадаг туннелийн хяналт нь DPD харж чадахгүй тохиолдлыг хамарна: IKE амьд, гарц хариулж байна, хамгаалагдсан префикс гэсэн ч хүртээмжгүй. Хоёрын аль нь давуу талыг татах ёстойг сонго, учир нь хоёулаа нэгэн зэрэг ажиллавал цэвэр шилжилтийн оронд өөрчлөлтийн шуурга үүснэ.

Алсын үзүүрийг мартаж болохгүй. Алсын талбайд суусан давуу маршрут нь таны аль хэдийн орхисон туннель руу заасан хэвээр байх бөгөөд ямар ч локал таймер үүнийг засахгүй. Ижил давуу талын логикийг хоёр түнш дээр нийтэлж, сэргэсэн холбоос трафикийг автоматаар буцааж чадах эсэх, эсвэл гараар шилжүүлэх шаардлагатай эсэхийг тэмдэглэ.

Нөгөөд нь хүрэхгүйгээр нэг холбоосыг дахин хаягла

Үйлчилгээ үзүүлэгч шинэ блок өгөхөд нэг харилцааг л өөрчил. Тухайн хосын хувьд хоёр түнш дээр address эсвэл local-address-г шинэчилж, commit хий, төхөөрөмж дээрх бүх SA-г цэвэрлэхийн оронд зөвхөн нөлөөлсөн ассоциацуудыг индексийн дагуу цэвэрлэ. Глобал цэвэрлэлт эрүүл туннелийг ч аваад явж, засвар үйлчилгээний цонхыг тасалдал болгоно.

Ямар нэг цэвэрлэлт хийхээс өмнө нэг бүтэлгүй урсгал болон түүний сессийн дэлгэрэнгүйг нотолгоо болгон хадгал, дараа нь дээрх шалгалтуудыг шинэ хаягийн хос дээр дахин ажиллуул. Холбоосыг сэргээх нь чиглүүлэлтийн шийдвэр тул буцалтыг хуучин давуу тал өөрөө буцаж ирнэ гэж таамаглахын оронд тусдаа шалгасан алхам гэж үз.

Өөрчлөлтийг богино хяналтын жагсаалтаар хаа

Хос WAN туннелийн загвар нь хоёр SA боссон үед биш, сесс бүрийн ард байгаа хосыг нэрлэж чаддаг үед бэлэн болно. Доорх жагсаалтыг үнэхээр өөрчилсөн төхөөрөмж дээрээ гүйцэтгэ:

• Амласан хос бүр гарц, st0 нэгж, маршрутын бичлэгтэй.
• Туннель бүр пакет зөөж байхыг харсан, зөвхөн SA бариад байхыг биш.
• Хоёр үзүүр илрүүлэлт болон давуу талыг аль тал сэргээх талаар санал нэгддэг.
• Хос бүрийн буцах зам нь түүний урагшлах замын хажууд бичигдсэн.

Хэрэв ямар нэг мөр тохирохгүй бол дараагийнхыг нэмэхийн өмнө тэр хосыг зас; хагас ажилладаг хоёр туннелийг давхарлан тавих нь тоолуурыг утгагүй, failover-ийн зан төлөвийг урьдчилан хэлэх боломжгүй болгоно.