निजी WAN मा IPsec: जाँच गर्नुपर्ने SRX नीतिका सीमाहरू

निजी WAN ले IPsec टनेलका बाह्य प्याकेटहरू बोक्न सक्छ, त्यसैले पियर ठेगानाहरू सार्वजनिक इन्टरनेट ठेगाना हुनैपर्ने छैन। परिवर्तन हुने कुरा ती बाह्य प्याकेटहरूले लिने मार्ग र तिनलाई प्राप्त गर्ने इन्टरफेसमा रहेका अनुमतिहरू हुन्। SRX मा बाह्य नियन्त्रण मार्ग, टनेल इन्टरफेस बाइन्डिङ र अगाडि पठाइएको ट्राफिकको नीति तीन अलग वस्तु हुन्। अन्य दुई गलत हुँदा एउटाको निदान गर्नु नै टनेल तल रहने सामान्य कारण हो।

पहिले बाह्य IKE मार्ग लेख्नुहोस्

नीतिलाई छुनुअघि चार मान लेख्नुहोस्: पियर ठेगाना, IKE प्राप्त गर्ने स्थानीय इन्टरफेस, पियरसम्म पुग्ने रुटिङ सन्दर्भ र त्यो इन्टरफेस छान्ने रुट। IKE प्याकेटहरू SRX आफैलाई सम्बोधित हुन्छन्, त्यसैले तिनलाई प्राप्त गर्ने जोनमा host-inbound अनुमति चाहिन्छ, अगाडि पठाइएको ट्राफिकको नीति होइन। निजी WAN ठेगानाले त्यो आवश्यकता हटाउँदैन, किनकि प्याकेट अझै उपकरणमा अन्त्य हुन्छ।

स्थापित अवस्था यसले जाँच्नुहोस्: show security ike sa र कन्फिगरेसन यसले: show configuration security ike। पहिलोले चरण 1 अवस्थित छ कि भनेर बताउँछ; दोस्रोले उपकरणले के गर्नुपर्छ भन्ने ठान्छ भनेर बताउँछ।

टनेल इन्टरफेसलाई सही नीतिसँग बाइन्ड गर्नुहोस्

रुटिङमा आधारित VPN ले टनेल इन्टरफेसलाई VPN वस्तुसँग बाइन्ड गर्छ, र संरक्षित प्रिफिक्सहरू त्यो इन्टरफेसमा रुट हुन्छन्। कुन इन्टरफेस, कुन रुट र कुन नीतिले सम्बन्धित जोनहरूबीचका अनुप्रयोगहरूलाई अनुमति दिन्छ लेख्नुहोस्। trust नामको जोन नीति कन्टेनर हो, र नामले आवश्यक नियन्त्रण वा डेटा प्याकेटलाई अनुमति छ भनी प्रमाणित गर्दैन।

पुरानो रेखाचित्रको सट्टा वास्तविक बाइन्डिङहरू पढ्नुहोस्: show configuration security ipsec vpn इन्टरफेसमा बाइन्ड गर्ने सेटिङका लागि र show configuration security policies टनेल जोनलाई सन्दर्भ गर्ने नियमहरूका लागि।

यदि संरक्षित रुट अन्तै देखाउँछ भने, टनेल माथि हुन सक्छ तर ट्राफिक कहिल्यै त्यसमा पस्दैन। यो IPsec को पोशाक लगाएको रुटिङ समस्या हो।

पियर रुटलाई underlay मा राख्नुहोस्

बाह्य पियरसम्मको रुट underlay मार्फत समाधान हुनुपर्छ, यसले स्थापना गर्ने टनेलमार्फत पुनरावृत्ति रूपमा होइन। यदि पियर रुटले टनेल इन्टरफेस देखाउँछ भने, IKE प्याकेटहरू आफ्नै टनेलको पछि लाग्छन् र चरण 1 कहिल्यै पूरा हुँदैन। संरक्षित ट्राफिकको उत्तर मार्गलाई आफ्नै सही रुट र नीति चाहिन्छ, र एक दिशा काम गर्दा सामान्यतया त्यही हराएको आधा हुन्छ। पियर ठेगानाका लागि रुट तालिका प्रविष्टि पढ्नुहोस् र आउटगोइङ इन्टरफेस WAN इन्टरफेस हो भनी पुष्टि गर्नुहोस्।

यसलाई यसले जाँच्नुहोस्: show route 198.51.100.10, वास्तविक पियर ठेगाना राखेर, र अर्को हप टनेल इन्टरफेस होइन भनी पुष्टि गर्नुहोस्।

नियन्त्रण र सेवा क्रममा प्रमाणित गर्नुहोस्

माथितिर काम गर्नुहोस्: चरण 1 को अवस्था, चरण 2 को अवस्था, त्यसपछि वास्तविक अनुप्रयोग प्रवाह। show security ipsec sa सुरक्षा सम्बन्धहरू सूचीबद्ध गर्छ, र show security flow session destination-prefix 10.60.0.0/16 संरक्षित नेटवर्कका लागि अगाडि पठाइएका सत्रहरू बन्दै छन् कि छैनन् देखाउँछ।

स्वस्थ नियन्त्रण सम्बन्ध र कार्यशील डेटा मार्ग दुई फरक परिणाम हुन्, र चरण 2 उत्तीर्ण हुनुले नीतिले अनुप्रयोगलाई अनुमति दिन्छ कि दिँदैन भन्नेबारे केही भन्दैन। एउटा अनुमति दिइएको प्रवाह र नीतिले अस्वीकार गर्नुपर्ने अर्को प्रवाह परीक्षण गर्नुहोस्, ताकि फरक देखियोस्।

पियर रुट, host-inbound अनुमति, टनेल बाइन्डिङ, आन्तरिक रुट र अनुप्रयोग नीति सँगै लेख्नुहोस्। यी पाँच अभिलेखहरूले भविष्यको असफलता कुन तहको हो भनी पोर्ट लेबलमा भर नपर्दै देखाउँछन्।