खाजगी WAN वर IPsec: तपासावयाच्या SRX धोरणाच्या मर्यादा

खाजगी WAN IPsec टनेलचे बाहेरील पॅकेट वाहून नेऊ शकते, त्यामुळे पीअर पत्ते सार्वजनिक इंटरनेट पत्ते असणे आवश्यक नाही। बदलते ते म्हणजे त्या बाहेरील पॅकेट्सचा मार्ग आणि ती स्वीकारणाऱ्या इंटरफेसवरील परवानग्या। SRX वर बाहेरील नियंत्रण मार्ग, टनेल इंटरफेस बाइंडिंग आणि पुढे पाठवलेल्या रहदारीचे धोरण हे तीन वेगळे घटक आहेत। इतर दोन चुकीचे असताना एकाची दुरुस्ती करणे हे टनेल खाली राहण्याचे नेहमीचे कारण आहे।

प्रथम बाहेरील IKE मार्ग नोंदवा

धोरणाला हात लावण्यापूर्वी चार मूल्ये लिहा: पीअर पत्ता, IKE स्वीकारणारा स्थानिक इंटरफेस, पीअरपर्यंत पोहोचणारा राउटिंग संदर्भ आणि तो इंटरफेस निवडणारा मार्ग। IKE पॅकेट स्वतः SRX ला उद्देशून असतात, त्यामुळे त्यांना स्वीकारणाऱ्या झोनमध्ये host-inbound परवानगी आवश्यक आहे, पुढे पाठवलेल्या रहदारीचे धोरण नाही। खाजगी WAN पत्ता ती आवश्यकता काढून टाकत नाही, कारण पॅकेट अजूनही उपकरणावर संपते।

स्थापित स्थिती याने तपासा: show security ike sa आणि कॉन्फिगरेशन याने: show configuration security ike। पहिले सांगते की टप्पा 1 अस्तित्वात आहे का; दुसरे सांगते की उपकरणाला काय करावे असे वाटते।

टनेल इंटरफेस योग्य धोरणाशी बाइंड करा

राउटिंग-आधारित VPN टनेल इंटरफेसला VPN घटकाशी बाइंड करते, आणि संरक्षित प्रीफिक्स त्या इंटरफेसमध्ये राउट होतात। कोणता इंटरफेस, कोणता मार्ग आणि कोणते धोरण संबंधित झोनमधील अनुप्रयोगांना परवानगी देते ते नोंदवा। trust नावाचा झोन धोरण कंटेनर आहे, आणि नाव हे सिद्ध करत नाही की आवश्यक नियंत्रण किंवा डेटा पॅकेटला परवानगी आहे।

जुन्या आकृतीऐवजी प्रत्यक्ष बाइंडिंग वाचा: show configuration security ipsec vpn इंटरफेसशी बाइंड करण्याच्या सेटिंगसाठी आणि show configuration security policies टनेल झोनचा संदर्भ देणाऱ्या नियमांसाठी।

जर संरक्षित मार्ग दुसरीकडे निर्देश करत असेल, तर टनेल वर असू शकते पण रहदारी कधीही त्यात जात नाही। ही IPsec च्या वेशातील राउटिंगची समस्या आहे।

पीअर मार्ग underlay वर ठेवा

बाह्य पीअरपर्यंतचा मार्ग underlay मधून सोडवला पाहिजे, तो स्थापित करतो त्या टनेलमधून आवर्ती पद्धतीने नाही। जर पीअर मार्ग टनेल इंटरफेसकडे निर्देश करत असेल, तर IKE पॅकेट स्वतःच्या टनेलचा पाठलाग करतात आणि टप्पा 1 कधीही पूर्ण होत नाही। संरक्षित रहदारीच्या उत्तर मार्गाला स्वतःचा योग्य मार्ग आणि धोरण आवश्यक आहे, आणि एक दिशा कार्यरत असताना सहसा तोच गहाळ अर्धा भाग असतो। पीअर पत्त्यासाठी राउट टेबल नोंद वाचा आणि आउटगोइंग इंटरफेस WAN इंटरफेस आहे याची खात्री करा।

हे याने तपासा: show route 198.51.100.10, प्रत्यक्ष पीअर पत्ता टाकून, आणि पुढील हॉप टनेल इंटरफेस नाही याची खात्री करा।

नियंत्रण आणि सेवा क्रमाने सत्यापित करा

वरच्या दिशेने काम करा: टप्पा 1 स्थिती, टप्पा 2 स्थिती, नंतर प्रत्यक्ष अनुप्रयोग प्रवाह। show security ipsec sa सुरक्षा असोसिएशन सूचीबद्ध करते, आणि show security flow session destination-prefix 10.60.0.0/16 संरक्षित नेटवर्कसाठी पुढे पाठवलेली सत्रे तयार होत आहेत का हे दाखवते।

निरोगी नियंत्रण संबंध आणि कार्यरत डेटा मार्ग हे दोन वेगळे परिणाम आहेत, आणि टप्पा 2 उत्तीर्ण होणे म्हणजे धोरण अनुप्रयोगाला परवानगी देते का याबद्दल काहीच सांगत नाही। एक परवानगी असलेला प्रवाह आणि धोरणाने नाकारावा असा एक प्रवाह तपासा, जेणेकरून फरक दिसेल।

पीअर मार्ग, host-inbound परवानगी, टनेल बाइंडिंग, अंतर्गत मार्ग आणि अनुप्रयोग धोरण एकत्र नोंदवा। हे पाच नोंदी भविष्यातील अपयश कोणत्या स्तराचे आहे हे पोर्ट लेबलवर अवलंबून न राहता दाखवतात।