IPsec melalui WAN peribadi: sempadan dasar SRX yang perlu diperiksa

WAN peribadi boleh membawa paket luar tunnel IPsec, jadi alamat rakan tidak perlu menjadi alamat internet awam. Yang berubah ialah laluan yang dilalui paket luar itu dan kebenaran pada antara muka yang menerimanya. Pada SRX, laluan kawalan luar, pengikatan antara muka tunnel dan dasar trafik yang dimajukan ialah tiga objek berasingan. Menyelesaikan masalah pada satu sedangkan dua yang lain salah ialah punca biasa tunnel kekal turun.

Catat laluan IKE luar dahulu

Tulis empat nilai sebelum menyentuh dasar: alamat rakan, antara muka setempat yang menerima IKE, konteks penghalaan yang sampai ke rakan dan laluan yang memilih antara muka itu. Paket IKE dialamatkan kepada SRX itu sendiri, jadi ia memerlukan kebenaran host-inbound dalam zon penerimaan, bukan dasar trafik yang dimajukan. Alamat WAN peribadi tidak menghapuskan keperluan itu, kerana paket masih berakhir pada peranti.

Periksa keadaan terpasang dengan show security ike sa dan konfigurasi dengan show configuration security ike. Yang pertama memberitahu sama ada fasa 1 wujud; yang kedua memberitahu apa yang peranti fikir patut dilakukannya.

Ikat antara muka tunnel kepada dasar yang betul

VPN berasaskan penghalaan mengikat antara muka tunnel kepada objek VPN, dan prefiks yang dilindungi dihalakan ke antara muka itu. Catat antara muka, laluan dan dasar mana yang membenarkan aplikasi antara zon berkaitan. Zon bernama trust ialah bekas dasar, dan namanya tidak membuktikan bahawa paket kawalan atau data yang diperlukan dibenarkan.

Baca pengikatan sebenar dan bukan gambar rajah lama: show configuration security ipsec vpn untuk tetapan ikat-ke-antara muka dan show configuration security policies untuk peraturan yang merujuk zon tunnel.

Jika laluan yang dilindungi menunjuk ke tempat lain, tunnel boleh berada di atas sementara trafik tidak pernah masuk ke dalamnya. Ini masalah penghalaan yang memakai kostum IPsec.

Kekalkan laluan rakan di underlay

Laluan ke rakan luar mesti diselesaikan melalui underlay, bukan secara rekursif melalui tunnel yang dibentuknya. Jika laluan rakan menunjuk ke antara muka tunnel, paket IKE mengejar tunnel sendiri dan fasa 1 tidak pernah selesai. Laluan balasan untuk trafik yang dilindungi memerlukan laluan dan dasar sendiri yang betul, dan biasanya itulah separuh yang hilang apabila satu arah berfungsi. Baca entri jadual laluan untuk alamat rakan dan sahkan antara muka keluar ialah antara muka WAN.

Periksa dengan show route 198.51.100.10, dengan menggantikan alamat rakan sebenar, dan sahkan hop seterusnya bukan antara muka tunnel.

Sahkan kawalan dan perkhidmatan mengikut urutan

Bekerja ke atas: keadaan fasa 1, keadaan fasa 2, kemudian aliran aplikasi sebenar. show security ipsec sa menyenaraikan persatuan keselamatan, dan show security flow session destination-prefix 10.60.0.0/16 menunjukkan sama ada sesi yang dimajukan sedang dicipta untuk rangkaian yang dilindungi.

Hubungan kawalan yang sihat dan laluan data yang berfungsi ialah dua hasil berbeza, dan lulus fasa 2 tidak berkata apa-apa tentang sama ada dasar membenarkan aplikasi itu. Uji satu aliran yang dibenarkan dan satu yang sepatutnya ditolak oleh dasar, supaya perbezaannya kelihatan.

Catat bersama laluan rakan, kebenaran host-inbound, pengikatan tunnel, laluan dalaman dan dasar aplikasi. Kelima-lima rekod itu menunjukkan lapisan mana yang memiliki kegagalan masa depan tanpa bergantung pada label port.