IPsec хувийн WAN-аар: шалгах ёстой SRX бодлогын хил

Хувийн WAN нь IPsec туннелийн гадаад пакетыг зөөж чаддаг тул хамтрагчийн хаяг нь нийтийн интернэт хаяг байх албагүй. Өөрчлөгдөх зүйл бол эдгээр гадаад пакетуудын явдаг зам ба тэдгээрийг хүлээн авдаг интерфейс дээрх зөвшөөрөл юм. SRX дээр гадаад удирдлагын зам, туннелийн интерфейсийн холболт, дамжуулсан траффикийн бодлого нь гурван тусдаа объект юм. Нөгөө хоёр нь буруу байхад нэгийг оношлох нь туннель доогуур үлдэх нийтлэг шалтгаан юм.

Эхлээд гадаад IKE замыг бичнэ үү

Бодлогод хүрэхээс өмнө дөрвөн утгыг бичнэ үү: хамтрагчийн хаяг, IKE хүлээн авдаг локал интерфейс, хамтрагч хүрэх маршрутжуулалтын контекст, тэр интерфейсийг сонгодог маршрут. IKE пакетууд SRX өөрт нь хаяглагддаг тул хүлээн авах бүсэд host-inbound зөвшөөрөл хэрэгтэй, дамжуулсан траффикийн бодлого биш. Хувийн WAN хаяг энэ шаардлагыг арилгахгүй, учир нь пакет төхөөрөмж дээр дуусдаг хэвээр.

Суулгасан төлөвийг үүгээр шалгана уу: show security ike sa ба тохиргоог үүгээр: show configuration security ike. Эхнийх нь 1-р үе шат байгаа эсэхийг, хоёр дахь нь төхөөрөмж юу хийх ёстой гэж бодож байгааг хэлнэ.

Туннелийн интерфейсийг зөв бодлогод холбоно уу

Маршрутжуулалтад суурилсан VPN туннелийн интерфейсийг VPN объектод холбож, хамгаалагдсан префиксүүд тэр интерфейс рүү маршрутлагдана. Аль интерфейс, аль маршрут, аль бодлого холбогдох бүсүүдийн хооронд апп-уудыг зөвшөөрч байгааг бичнэ үү. trust нэртэй бүс нь бодлогын контейнер бөгөөд нэр нь шаардлагатай удирдлагын эсвэл өгөгдлийн пакетуудыг зөвшөөрснийг батлахгүй.

Хуучин диаграм биш бодит холболтыг уншина уу: show configuration security ipsec vpn интерфейстэй холбох тохиргоонд ба show configuration security policies туннелийн бүсэд хамаарах дүрмүүдэд.

Хамгаалагдсан маршрут өөр газар зааж байвал туннель дээгүүр байж болох ч траффик түүн рүү хэзээ ч орохгүй. Энэ бол IPsec-ийн өмсгөл өмссөн маршрутжуулалтын асуудал.

Хамтрагчийн маршрутыг underlay дээр байлгана уу

Гадаад хамтрагч руу чиглэсэн маршрут underlay-ээр шийдэгдэх ёстой, өөрөө үүсгэдэг туннелээр рекурсив байдлаар биш. Хамтрагчийн маршрут туннелийн интерфейс рүү зааж байвал IKE пакетууд өөрсдийн туннелийг хөөж, 1-р үе шат хэзээ ч дуусахгүй. Хамгаалагдсан траффикийн хариу зам нь өөрийн зөв маршрут, бодлогыг шаарддаг бөгөөд нэг чиглэл ажиллаж байхад ихэвчлэн тэр нь дутуу тал байдаг. Хамтрагчийн хаягийн маршрутын хүснэгтийн бичлэгийг уншиж, гарч буй интерфейс нь WAN интерфейс гэдгийг батална уу.

Үүнийг үүгээр шалгана уу: show route 198.51.100.10, бодит хамтрагчийн хаягийг тавьж, дараагийн алхам нь туннелийн интерфейс биш гэдгийг батална уу.

Удирдлага ба үйлчилгээг дарааллаар нь шалгана уу

Дээш ажиллана уу: 1-р үе шатны төлөв, 2-р үе шатны төлөв, дараа нь бодит апп-ийн урсгал. show security ipsec sa аюулгүй байдлын холбоодыг жагсааж, show security flow session destination-prefix 10.60.0.0/16 хамгаалагдсан сүлжээнд дамжуулсан сессүүд үүсч байгаа эсэхийг харуулна.

Эрүүл удирдлагын харилцаа ба ажилладаг өгөгдлийн зам нь хоёр өөр үр дүн, 2-р үе шат давсан нь бодлого апп-ыг зөвшөөрч байгаа эсэх талаар юу ч хэлэхгүй. Зөвшөөрөгдсөн нэг урсгал ба бодлогоос татгалзах ёстой нэг урсгалыг туршиж, ялгаа нь харагдах болтугай.

Хамтрагчийн маршрут, host-inbound зөвшөөрөл, туннелийн холболт, дотоод маршрут, апп-ийн бодлогыг хамт бичнэ үү. Эдгээр таван бичлэг нь ирээдүйн доголдол аль давхаргынх болохыг портын шошгонд найдахгүйгээр харуулна.