Junos dual-WAN IPsec VPN: kople kjeldevegen til rett gateway

To WAN-lenkjer per nettstad ser ut som redundans heilt til ein prøver å syna kva adressepar ein gitt flyt faktisk brukte. På ein SRX ber éin IKE-gateway eitt eksternt grensesnitt og éi lokal adresse; ei liste med eksterne kandidatar lagar ikkje ei ekstra lokal kjelde. Difor startar denne gjennomgangen med parmatrisa i staden for konfigurasjonen, fordi Junos gjerne committar eit design som berre dekkjer halvparten av kombinasjonane du hadde tenkt. Eg støtte på dette med to SRX345s: reserve-tunnelen kom fint opp og drog likevel sesjonen ned ved atterskifte.

Gå gjennom trinna i rekkjefølgje: list opp para du må støtta, bygg éin gateway per lokal kjelde, stadfest kva assosiasjon som bar trafikken, og avgjer først etterpå kva kvar type feil får lov til å endra.

Kartlegg para før du rører CLI-en

Viss nettstad A kan source frå A1 eller A2 og nettstad B kan ta imot på B1 eller B2, har du fire ytre adressepar. Dei fleste design treng to av dei kontinuerleg og handsamar dei to andre som valfrie. Skriv ned matrisa og merk kvar rad, for kvar rad du lovar kostar deg seinare ein gateway, eit tunnegrensesnitt og eit ruteval.

Kvart påkravde par treng tre ting samstundes: eit nåbart underlay mellom nøyaktig desse adressene, gjensidig aksept av peer-identitet og kjeldeadresse i begge endar, og ein verna returveg. Eit par som berre verkar i éi retning, viser framleis ein tunnel, og feilen dukkar opp seinare som einvegskøyrande applikasjonstrafikk.

Éin gateway per lokal kjelde, ikkje per fjernnettstad

Lista over eksterne adresser høyrer til ein gateway, og det gjer den lokale kjelda òg. IKE-gateway-referansen held eksterne adresser, eksternt grensesnitt, lokal adresse og dead-peer-deteksjon som separate innstillingar, og det er nettopp poenget: to lokale kjelder tyder to gatewayar over to st0-einingar. Å dela IKE-policyen mellom dei er greitt; å behalda éin gateway og håpa at han vel ei anna kjelde sjølv, er det ikkje.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Kopla deretter til tunnelane og gje fjernprefikset to next hops, éin per tunnel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Om éin gateway kan halda to fråsegner av typen address avheng av utgåva og av kva IKE-prosess boksen køyrer. Eldre kmd-baserte Junos tek éi enkel ekstern adresse per gateway; nyare bygg handterer fleire kandidatar, men legg til eigne avgrensingar, og high-availability-klyngjer er ein vanleg stad der den støtta blir smalare. Sjekk utgåvenotata for din nøyaktige bygg før du kopierer dette frå eit eldre chassis.

Stadfest kva assosiasjon som bar pakken

To SAs og to tunnelar fortel ikkje kven av dei som vidaresende sesjonen. Spør boksen direkte, og samanlikn felta med paret du hadde tenkt:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Detaljutskrifta oppgir den lokale og den eksterne gatewayen for kvar assosiasjon, som er den raskaste måten å oppdaga ein tunnel som forhandla frå ei kjelde du ikkje venta. Sjå deretter på pakketeljarane per eining på st0.1 og st0.2 medan du sender trafikk gjennom; ein tunnel som ikkje ber noko, held på SA-en sin og ser sunn ut i eit oversyn.

Gje kvar feiltype sin eigen detektor

Peer-liveness, tap av den lokale uplinken, tilbaketrekking av den verna ruta og applikasjonsbrot er fire ulike hendingar. DPD svarar berre på den første, så konfigurer han med eit intervall og ein terskel du kan forsvara i staden for å la standarden stå og anta at han dekkjer resten:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Tunnelovervaking som testar ein destinasjon inne i fjernsubnettet dekkjer tilfellet DPD ikkje kan sjå: IKE lever, gatewayen svarar, og det verna prefikset er likevel uoppnåeleg. Vel kven av dei to som skal trekka preferanse, for viss begge utløyser samtidig blir det ein endringsstorm i staden for ein rein failover.

Gløym ikkje den andre enden. Ei føretrekt rute som blir ståande på fjernnettstaden peikar framleis inn i ein tunnel du alt har forlate, og ingen lokal timer rettar det. Publiser den same preferanselogikken på begge peerane, og noter om ei gjenoppretta lenkje får ta trafikken tilbake automatisk eller må skiftast manuelt.

Adresser om éi lenkje utan å røra den andre

Når ein ISP gir deg ein ny blokk, endra éin relasjon om gongen. Oppdater address eller local-address på begge peerane for det paret, commit, og fjern berre dei berørte assosiasjonane etter indeks i staden for å fjerna alle SAs på boksen. Ei global fjerning tek òg den sunne tunnelen og gjer eit vedlikehaldsvindauge til eit avbrot.

Behald éin feila flyt med sesjonsdetaljen som bevis før du ryddar opp, og køyr deretter kontrollane ovanfor på nytt mot det nye adresseparet. Å gjenoppretta ei lenkje er eit ruteval, så handsam tilbakeføringa som eit eige testa trinn i staden for å anta at den gamle preferansen kjem tilbake av seg sjølv.

Avslutt endringa med ei kort sjekkliste

Eit dual-WAN-tunneldesign er ferdig når du kan namngje paret bak kvar sesjon, ikkje når begge SAs er oppe. Gå gjennom lista nedanfor på boksen du faktisk endra:

• Kvart lova par har ein gateway, ei st0-eining og ein ruteoppføring.
• Kvar tunnel er sett bera pakkar, ikkje berre halda ein SA.
• Begge endar er samde om deteksjon og om kva side som gjenopprettar preferansen.
• Returvegen for kvart par er skriven ned ved sida av framvegen.

Viss ei linje feilar, fiks det paret før du legg til det neste; to halvfungerande tunnelar oppå kvarandre gjer teljarane meiningslause og failover-åtferda umogleg å føresjå.