VPN IPsec Dua WAN dalam Junos: memadankan laluan sumber dengan get laluan yang betul

Dua pautan WAN setiap tapak kelihatan seperti lebihan sehingga anda cuba membuktikan pasangan alamat mana yang sebenarnya digunakan oleh sesuatu aliran. Pada SRX, satu get laluan IKE membawa satu antara muka luaran dan satu alamat tempatan; senarai calon jauh tidak mencipta sumber tempatan kedua. Itulah sebabnya panduan ini bermula dengan matriks pasangan dan bukan dengan konfigurasi, kerana Junos dengan mudah melakukan commit pada reka bentuk yang hanya meliputi separuh daripada gabungan yang anda maksudkan. Saya menemui ini pada dua SRX345s: terowong sandaran naik dengan bersih dan tetap menjatuhkan sesi apabila kembali.

Ikut langkah demi langkah mengikut urutan: senaraikan pasangan yang perlu disokong, bina satu get laluan bagi setiap sumber tempatan, sahkan asosiasi mana yang membawa trafik, dan hanya selepas itu tentukan apa yang boleh diubah oleh setiap jenis kegagalan.

Petakan pasangan sebelum menyentuh CLI

Jika tapak A boleh bersumber dari A1 atau A2 dan tapak B boleh menerima pada B1 atau B2, anda mempunyai empat pasangan alamat luar. Kebanyakan reka bentuk memerlukan dua daripadanya secara berterusan dan menganggap dua lagi sebagai pilihan. Tuliskan matriks dan tandakan setiap baris, kerana setiap baris yang dijanjikan akan mengenakan satu get laluan, satu antara muka terowong dan satu keputusan penghalaan kemudian.

Setiap pasangan yang diperlukan memerlukan tiga perkara serentak: underlay yang boleh dicapai antara alamat-alamat itu, penerimaan bersama identiti rakan dan alamat sumber di kedua-dua hujung, serta laluan balik yang dilindungi. Pasangan yang hanya berfungsi satu arah tetap menunjukkan terowong, dan kegagalan muncul kemudian sebagai trafik aplikasi sehala.

Satu get laluan bagi setiap sumber tempatan, bukan bagi setiap tapak jauh

Senarai alamat jauh milik sesuatu get laluan, begitu juga sumber tempatan. rujukan get laluan IKE menyimpan alamat jauh, antara muka luaran, alamat tempatan dan pengesanan rakan mati sebagai tetapan berasingan, dan itulah intinya: dua sumber tempatan bermakna dua get laluan pada dua unit st0. Berkongsi dasar IKE antara keduanya tidak mengapa; mengekalkan satu get laluan dan berharap ia memilih sumber lain sendiri bukanlah jawapannya.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Kemudian sambungkan terowong dan beri prefiks jauh dua next hop, satu bagi setiap terowong:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Sama ada satu get laluan boleh menyimpan dua pernyataan jenis address bergantung pada keluaran dan pada proses IKE yang dijalankan oleh peranti. Junos lama berasaskan kmd menerima satu alamat jauh bagi setiap get laluan; binaan baharu mengendalikan beberapa calon tetapi menambah kekangan sendiri, dan kluster ketersediaan tinggi ialah tempat lazim di mana sokongan itu menyempit. Semak nota keluaran untuk binaan tepat anda sebelum menyalin ini daripada casis lama.

Sahkan asosiasi mana yang membawa paket

Dua SA dan dua terowong tidak memberitahu yang mana memajukan sesi. Tanya peranti secara terus dan bandingkan medan dengan pasangan yang anda maksudkan:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Keluaran terperinci menyatakan get laluan tempatan dan jauh bagi setiap asosiasi, iaitu cara terpantas untuk mengesan terowong yang dirundingkan daripada sumber yang tidak anda jangkakan. Kemudian perhatikan pembilang paket setiap unit pada st0.1 dan st0.2 semasa anda mengalirkan trafik; terowong yang tidak membawa apa-apa mengekalkan SA-nya dan kelihatan sihat dalam ringkasan.

Beri setiap jenis kegagalan pengesan tersendiri

Kemahuan rakan, kehilangan pautan atas tempatan, penarikan semula laluan terlindung dan kerosakan aplikasi ialah empat peristiwa berbeza. DPD hanya menjawab yang pertama, jadi konfigurasikannya dengan selang dan ambang yang boleh anda pertahankan daripada membiarkan nilai lalai dan menganggapnya meliputi selebihnya:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Pemantauan terowong yang menguji destinasi di dalam subnet jauh meliputi kes yang tidak dapat dilihat oleh DPD: IKE hidup, get laluan menjawab, dan prefiks terlindung tetap tidak dapat dicapai. Pilih mana antara kedua-duanya yang patut menarik keutamaan, kerana jika kedua-duanya tercetus serentak yang muncul ialah ribut perubahan dan bukan failover yang bersih.

Jangan lupa hujung jauh. Laluan pilihan yang kekal terpasang di tapak jauh terus menunjuk ke terowong yang sudah anda tinggalkan, dan tiada pemasa tempatan yang membaikinya. Terbitkan logik keutamaan yang sama pada kedua-dua rakan, dan catat sama ada pautan yang pulih boleh mengambil trafik semula secara automatik atau perlu ditukar dengan tangan.

Beri alamat baharu pada satu pautan tanpa menyentuh yang lain

Apabila penyedia memberi anda blok baharu, ubah satu hubungan setiap kali. Kemas kini address atau local-address pada kedua-dua rakan untuk pasangan itu, lakukan commit, dan hapus hanya asosiasi yang terjejas mengikut indeks dan bukannya menghapus semua SA pada peranti. Penghapusan menyeluruh turut mencabut terowong yang sihat dan menukar tetingkap penyelenggaraan menjadi gangguan.

Simpan satu aliran yang gagal berserta butiran sesinya sebagai bukti sebelum anda membersihkan apa-apa, kemudian jalankan semula pemeriksaan di atas pada pasangan alamat baharu. Memulihkan pautan ialah keputusan penghalaan, jadi anggap pemulihan sebagai langkah teruji tersendiri dan bukannya menganggap keutamaan lama kembali dengan sendirinya.

Tutup perubahan dengan senarai semak ringkas

Reka bentuk terowong dua WAN selesai apabila anda boleh menamakan pasangan di sebalik setiap sesi, bukan apabila kedua-dua SA sudah naik. Telusuri senarai di bawah pada peranti yang benar-benar anda ubah:

• Setiap pasangan yang dijanjikan mempunyai get laluan, unit st0 dan entri laluan.
• Setiap terowong telah dilihat membawa paket, bukan sekadar memegang SA.
• Kedua-dua hujung bersetuju tentang pengesanan dan tentang pihak mana yang memulihkan keutamaan.
• Laluan balik setiap pasangan dicatat di sebelah laluan majunya.

Jika ada baris yang gagal, betulkan pasangan itu sebelum menambah yang seterusnya; menindan dua terowong yang berfungsi separuh menjadikan pembilang tidak bermakna dan tingkah laku failover tidak dapat diramalkan.