VPN IPsec Dual-WAN fuq Junos: qabbad it-triq tas-sors mal-gateway it-tajjeb

Żewġ links WAN għal kull sit jidhru bħala redundanza sakemm tipprova tistabbilixxi liema par ta' indirizzi uża fil-fatt ċertu flow. Fuq SRX, gateway IKE wieħed iġorr interface esterna waħda u indirizz lokali wieħed; lista ta' kandidati remoti ma toħloqx it-tieni sors lokali. Għalhekk din il-mixja tibda mill-matriċi tal-pari u mhux mill-konfigurazzjoni, għax Junos jikkommetti bla tlaqliq disinn li jkopri biss nofs il-kombinazzjonijiet li kellek f'moħħok. Iltaqajt ma' dan fuq żewġ SRX345s: it-tunnel tar-riżerva tela' nadif u xorta waħda ġibed is-sessjoni 'l isfel fit-treġġigħ lura.

Għaddi mill-passi fl-ordni: niżżel il-pari li trid tappoġġja, ibni gateway wieħed għal kull sors lokali, ikkonferma liema assoċjazzjoni ġarret it-traffiku, u iddeċiedi biss wara x'jista' jbiddel kull tip ta' falliment.

Immappa l-pari qabel ma tmiss il-CLI

Jekk is-sit A jista' jibda minn A1 jew A2 u s-sit B jista' jirċievi fuq B1 jew B2, għandek erba' pari ta' indirizzi esterni. Il-biċċa l-kbira tad-disinni jkollhom bżonn tnejn minnhom b'mod kontinwu u jittrattaw it-tnejn l-oħra bħala fakultattivi. Ikteb il-matriċi u mmarka kull ringiela, għax kull ringiela li twiegħed tiswik aktar tard gateway, interface tat-tunnel u deċiżjoni ta' routing.

Kull par meħtieġ jeħtieġ tliet affarijiet fl-istess ħin: underlay li jintlaħaq bejn dawk l-indirizzi eżatti, aċċettazzjoni reċiproka tal-identità tal-peer u tal-indirizz tas-sors fiż-żewġt itruf, u mogħdija ta' ritorn protetta. Par li jaħdem biss f'direzzjoni waħda xorta juri tunnel, u l-falliment jiġi wara bħala traffiku tal-applikazzjoni f'direzzjoni waħda.

Gateway wieħed għal kull sors lokali, mhux għal kull sit remot

Il-lista tal-indirizzi remoti tappartjeni lil gateway, u s-sors lokali wkoll. Ir-referenza tal-gateways IKE żżomm l-indirizzi remoti, l-interface esterna, l-indirizz lokali u d-detezzjoni tal-peer mejjet bħala settings separati, u dan huwa eżattament il-punt: żewġ sorsi lokali jfissru żewġ gateways fuq żewġ unitajiet st0. Li taqsam il-policy IKE bejniethom huwa tajjeb; li żżomm gateway wieħed u ttama li jbiddel is-sors tiegħu nnifsu mhuwiex.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Imbagħad waħħal it-tunnels u agħti lill-prefiss remot żewġ next hops, wieħed għal kull tunnel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Jekk gateway wieħed jistax iżomm żewġ istruzzjonijiet tat-tip address jiddependi mir-release u minn liema proċess IKE qed iħaddem il-box. Junos eqdem ibbażat fuq kmd jieħu indirizz remot wieħed għal kull gateway; builds ġodda jimmaniġġjaw kandidati multipli iżda jżidu restrizzjonijiet tagħhom, u clusters ta' disponibilità għolja huma post komuni fejn dak l-appoġġ jonqos. Iċċekkja r-release notes għall-build eżatt tiegħek qabel ma tikkopja dan minn chassis eqdem.

Ikkonferma liema assoċjazzjoni ġarret il-pakkett

Żewġ SAs u żewġ tunnels ma jgħidux liema wieħed għadda s-sessjoni. Staqsi lill-box direttament u qabbel l-oqsma mal-par li kellek f'moħħok:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

L-output tad-dettall jirrapporta l-gateway lokali u remot għal kull assoċjazzjoni, li huwa l-aktar mod mgħaġġel biex tintebaħ tunnel li nnegozja minn sors li ma kontx qed tistenna. Imbagħad ara l-counters tal-pakketti għal kull unità fuq st0.1 u st0.2 waqt li tibgħat it-traffiku; tunnel li ma jġorr xejn iżomm l-SA tiegħu u jidher f'saħħtu f'veduta ta' sommarju.

Agħti lil kull tip ta' falliment id-detector tiegħu

Il-vitalità tal-peer, it-telf tal-uplink lokali, l-irtirar tar-rotta protetta u l-ħsara tal-applikazzjoni huma erba' avvenimenti differenti. DPD iwieġeb biss għall-ewwel, għalhekk ikkonfigurah b'intervall u limitu li tista' tiddefendi minflok ma tħalli l-valur awtomatiku u tassumi li jkopri l-bqija:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Il-monitoraġġ tat-tunnel li jittestja destinazzjoni ġewwa s-subnet remot ikopri l-każ li DPD ma jarax: IKE huwa ħaj, il-gateway iwieġeb, u l-prefiss protett xorta ma jintlaħaqx. Agħżel liema miż-żewġ għażliet għandu jiġbed il-preferenza, għax jekk it-tnejn jisparaw fl-istess ħin toħroġ tempesta ta' bidliet minflok failover nadif.

Tinsiex it-tarf remot. Rotta preferuta li tibqa' installata fis-sit remot tibqa' tipponta lejn tunnel li diġà abbandunajt, u l-ebda timer lokali ma jsewwi dan. Ippubblika l-istess loġika ta' preferenza fuq iż-żewġ peers, u nnota jekk link irkuprat jistax jieħu t-traffiku lura awtomatikament jew irid jiġi commutat bl-idejn.

Erġa' indirizza link wieħed mingħajr ma tmiss l-ieħor

Meta ISP jagħtik blokk ġdid, ibdel relazzjoni waħda b'waħda. Aġġorna address jew local-address fuq iż-żewġ peers għal dak il-par, agħmel commit, u ħassar biss l-assoċjazzjonijiet milquta bl-index minflok ma tħassar kull SA fuq il-box. Tħassir globali jieħu magħhom ukoll it-tunnel f'saħħtu u jbiddel tieqa ta' manutenzjoni f'waqfa.

Żomm flow fallut u d-dettall tas-sessjoni tiegħu bħala evidenza qabel ma tnaddaf xejn, imbagħad erġa' agħmel il-verifiki ta' hawn fuq fuq il-par il-ġdid ta' indirizzi. Li tirrestawra link hija deċiżjoni ta' routing, għalhekk ittratta r-ritorn bħala pass ittestjat għalih innifsu minflok ma tassumi li l-preferenza l-antika terġa' lura waħedha.

Agħlaq il-bidla b'lista qasira ta' kontroll

Disinn ta' tunnel Dual-WAN ikun lest meta tkun tista' ssemmi l-par wara kull sessjoni, mhux meta ż-żewġ SAs ikunu 'l fuq. Għaddi mil-lista hawn taħt fuq il-box li fil-fatt biddilt:

• Kull par imwiegħed għandu gateway, unità st0 u entrata ta' rotta.
• Kull tunnel ġie osservat iġorr pakketti, mhux biss iżomm SA.
• Iż-żewġt itruf jaqblu fuq id-detezzjoni u fuq liema naħa tirrestawra l-preferenza.
• It-triq tar-ritorn għal kull par hija miktuba ħdejn it-triq 'il quddiem tiegħu.

Jekk linja tfalli, sewwi dak il-par qabel ma żżid l-ieħor; li tistiva żewġ tunnels nofsu jaħdmu xulxin jagħmel il-counters bla sens u l-imġiba tal-failover impossibbli biex tbassarha.