IPsec fuq WAN privat: limiti tal-politika SRX li għandhom jiġu vverifikati

WAN privat jista' jġorr il-pakketti ta' barra ta' tunnel IPsec, għalhekk l-indirizzi tal-pari m'għandhomx għalfejn ikunu indirizzi pubbliċi tal-internet. Dak li jinbidel huwa t-triq li jieħdu dawk il-pakketti ta' barra u l-permessi fuq l-interface li tirċevihom. Fuq SRX, it-triq tal-kontroll ta' barra, it-tqabbid tal-interface tat-tunnel u l-politika tat-traffiku mgħoddi huma tliet oġġetti separati. Li ssolvi waħda waqt li ż-żewġ oħra huma ħżiena huwa r-raġuni tas-soltu li tunnel jibqa' 'l isfel.

L-ewwel innota t-triq IKE ta' barra

Ikteb erba' valuri qabel ma tmiss il-politika: l-indirizz tal-pari, l-interface lokali li tirċievi IKE, il-kuntest tar-routing li jasal għall-pari u r-rotta li tagħżel dak l-interface. Il-pakketti IKE huma indirizzati lill-SRX stess, għalhekk jeħtieġu permess host-inbound fiż-żona li tirċievi, mhux politika tat-traffiku mgħoddi. Indirizz WAN privat ma jneħħix dik il-ħtieġa, għax il-pakkett xorta jispiċċa fuq l-apparat.

Iċċekkja l-istat installat b' show security ike sa u l-konfigurazzjoni b' show configuration security ike. L-ewwel waħda tgħid jekk teżistix il-fażi 1; it-tieni tgħid x'jaħseb l-apparat li għandu jagħmel.

Qabbad l-interface tat-tunnel mal-politika t-tajba

VPN ibbażat fuq routing iqabbad interface tat-tunnel ma' oġġett VPN, u l-prefissi protetti jiġu routed f'dak l-interface. Innota liema interface, liema rotta u liema politika jippermettu l-applikazzjonijiet bejn iż-żoni rilevanti. Żona bl-isem trust hija kontenitur ta' politika, u l-isem ma jipprovax li l-pakketti tal-kontroll jew tad-data meħtieġa huma permessi.

Aqra t-tqabbidiet attwali minflok dijagramma antika: show configuration security ipsec vpn għall-ambjent tat-tqabbid mal-interface u show configuration security policies għar-regoli li jirreferu għaż-żona tat-tunnel.

Jekk ir-rotta protetta tipponta band'oħra, it-tunnel jista' jkun 'il fuq waqt li t-traffiku qatt ma jidħol fih. Din hija problema ta' routing bil-kostum IPsec.

Żomm ir-rotta tal-pari fuq l-underlay

Ir-rotta lejn il-pari estern trid tiġi riżolta mill-underlay, mhux b'mod rekursiv mit-tunnel li jistabbilixxi. Jekk ir-rotta tal-pari tipponta lejn l-interface tat-tunnel, il-pakketti IKE jiġru wara t-tunnel tagħhom u l-fażi 1 qatt ma titlesta. It-triq tar-risposta għat-traffiku protett teħtieġ ir-rotta u l-politika korretti tagħha, u normalment dik hija n-nofs nieqes meta direzzjoni waħda taħdem. Aqra d-dħul fit-tabella tar-rotot għall-indirizz tal-pari u kkonferma li l-interface tal-ħruġ hija l-interface WAN.

Iċċekkjaha b' show route 198.51.100.10, billi tdaħħal l-indirizz reali tal-pari, u kkonferma li l-hop li jmiss mhuwiex interface tat-tunnel.

Ivverifika kontroll u servizz fl-ordni

Aħdem 'il fuq: stat tal-fażi 1, stat tal-fażi 2, imbagħad fluss reali tal-applikazzjoni. show security ipsec sa telenka l-assoċjazzjonijiet tas-sigurtà, u show security flow session destination-prefix 10.60.0.0/16 turi jekk qegħdin jinħolqux sessjonijiet mgħoddija għan-netwerk protett.

Relazzjoni ta' kontroll sana u triq tad-data li taħdem huma żewġ riżultati differenti, u l-għaddi tal-fażi 2 ma jgħid xejn dwar jekk il-politika tippermettix l-applikazzjoni. Ipprova fluss wieħed permess u ieħor li l-politika għandha tirrifjuta, biex id-differenza tkun viżibbli.

Innota flimkien ir-rotta tal-pari, il-permess host-inbound, it-tqabbid tat-tunnel, ir-rotta interna u l-politika tal-applikazzjoni. Dawn il-ħames rekords juru liema saff se jkun responsabbli għal falliment futur mingħajr ma tiddependi fuq tikketta tal-port.