ਨਿੱਜੀ WAN ਉੱਤੇ IPsec: ਜਾਂਚਣ ਯੋਗ SRX ਨੀਤੀ ਦੀਆਂ ਸੀਮਾਵਾਂ

ਇੱਕ ਨਿੱਜੀ WAN IPsec ਟਨਲ ਦੇ ਬਾਹਰੀ ਪੈਕਟ ਲੈ ਜਾ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਪੀਅਰ ਪਤੇ ਜਨਤਕ ਇੰਟਰਨੈਟ ਪਤੇ ਹੋਣੇ ਜ਼ਰੂਰੀ ਨਹੀਂ। ਜੋ ਬਦਲਦਾ ਹੈ ਉਹ ਇਹਨਾਂ ਬਾਹਰੀ ਪੈਕਟਾਂ ਦਾ ਮਾਰਗ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੇ ਇੰਟਰਫ਼ੇਸ ਉੱਤੇ ਇਜਾਜ਼ਤਾਂ ਹਨ। SRX ਉੱਤੇ ਬਾਹਰੀ ਕੰਟਰੋਲ ਮਾਰਗ, ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਬਾਈਂਡਿੰਗ ਅਤੇ ਅੱਗੇ ਭੇਜੇ ਟ੍ਰੈਫਿਕ ਦੀ ਨੀਤੀ ਤਿੰਨ ਵੱਖਰੀਆਂ ਵਸਤੂਆਂ ਹਨ। ਬਾਕੀ ਦੋ ਗਲਤ ਹੋਣ ਸਮੇਂ ਇੱਕ ਦੀ ਜਾਂਚ ਕਰਨਾ ਹੀ ਟਨਲ ਹੇਠਾਂ ਰਹਿਣ ਦਾ ਆਮ ਕਾਰਨ ਹੈ।

ਪਹਿਲਾਂ ਬਾਹਰੀ IKE ਮਾਰਗ ਦਰਜ ਕਰੋ

ਨੀਤੀ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਚਾਰ ਮੁੱਲ ਲਿਖੋ: ਪੀਅਰ ਪਤਾ, IKE ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲਾ ਸਥਾਨਕ ਇੰਟਰਫ਼ੇਸ, ਪੀਅਰ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲਾ ਰਾਊਟਿੰਗ ਸੰਦਰਭ ਅਤੇ ਉਹ ਇੰਟਰਫ਼ੇਸ ਚੁਣਨ ਵਾਲਾ ਰੂਟ। IKE ਪੈਕਟ SRX ਆਪ ਨੂੰ ਸੰਬੋਧਿਤ ਹੁੰਦੇ ਹਨ, ਇਸ ਲਈ ਉਹਨਾਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੇ ਜ਼ੋਨ ਵਿੱਚ host-inbound ਇਜਾਜ਼ਤ ਚਾਹੀਦੀ ਹੈ, ਅੱਗੇ ਭੇਜੇ ਟ੍ਰੈਫਿਕ ਦੀ ਨੀਤੀ ਨਹੀਂ। ਨਿੱਜੀ WAN ਪਤਾ ਉਹ ਲੋੜ ਨਹੀਂ ਹਟਾਉਂਦਾ, ਕਿਉਂਕਿ ਪੈਕਟ ਅਜੇ ਵੀ ਡਿਵਾਈਸ ਉੱਤੇ ਖ਼ਤਮ ਹੁੰਦਾ ਹੈ।

ਸਥਾਪਿਤ ਸਥਿਤੀ ਇਸ ਨਾਲ ਜਾਂਚੋ: show security ike sa ਅਤੇ ਕਨਫ਼ਿਗਰੇਸ਼ਨ ਇਸ ਨਾਲ: show configuration security ike। ਪਹਿਲਾ ਦੱਸਦਾ ਹੈ ਕਿ ਪੜਾਅ 1 ਮੌਜੂਦ ਹੈ ਜਾਂ ਨਹੀਂ; ਦੂਜਾ ਦੱਸਦਾ ਹੈ ਕਿ ਡਿਵਾਈਸ ਕੀ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਸਮਝਦਾ ਹੈ।

ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਨੂੰ ਸਹੀ ਨੀਤੀ ਨਾਲ ਬਾਈਂਡ ਕਰੋ

ਰਾਊਟਿੰਗ-ਅਧਾਰਿਤ VPN ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਨੂੰ VPN ਵਸਤੂ ਨਾਲ ਬਾਈਂਡ ਕਰਦਾ ਹੈ, ਅਤੇ ਸੁਰੱਖਿਅਤ ਪ੍ਰੀਫ਼ਿਕਸ ਉਸ ਇੰਟਰਫ਼ੇਸ ਵਿੱਚ ਰੂਟ ਹੁੰਦੇ ਹਨ। ਦਰਜ ਕਰੋ ਕਿ ਕਿਹੜਾ ਇੰਟਰਫ਼ੇਸ, ਕਿਹੜਾ ਰੂਟ ਅਤੇ ਕਿਹੜੀ ਨੀਤੀ ਸੰਬੰਧਿਤ ਜ਼ੋਨਾਂ ਵਿਚਕਾਰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ। trust ਨਾਮ ਵਾਲਾ ਜ਼ੋਨ ਨੀਤੀ ਕੰਟੇਨਰ ਹੈ, ਅਤੇ ਨਾਮ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਲੋੜੀਂਦੇ ਕੰਟਰੋਲ ਜਾਂ ਡੇਟਾ ਪੈਕਟ ਦੀ ਇਜਾਜ਼ਤ ਹੈ।

ਪੁਰਾਣੇ ਚਿੱਤਰ ਦੀ ਥਾਂ ਅਸਲ ਬਾਈਂਡਿੰਗ ਪੜ੍ਹੋ: show configuration security ipsec vpn ਇੰਟਰਫ਼ੇਸ ਨਾਲ ਬਾਈਂਡ ਕਰਨ ਦੀ ਸੈਟਿੰਗ ਲਈ ਅਤੇ show configuration security policies ਟਨਲ ਜ਼ੋਨ ਦਾ ਹਵਾਲਾ ਦੇਣ ਵਾਲੇ ਨਿਯਮਾਂ ਲਈ।

ਜੇ ਸੁਰੱਖਿਅਤ ਰੂਟ ਕਿਤੇ ਹੋਰ ਦਰਸਾਉਂਦਾ ਹੈ, ਤਾਂ ਟਨਲ ਉੱਪਰ ਹੋ ਸਕਦਾ ਹੈ ਜਦੋਂ ਕਿ ਟ੍ਰੈਫਿਕ ਕਦੇ ਇਸ ਵਿੱਚ ਨਹੀਂ ਵੜਦਾ। ਇਹ IPsec ਦੇ ਭੇਸ ਵਿੱਚ ਰਾਊਟਿੰਗ ਦੀ ਸਮੱਸਿਆ ਹੈ।

ਪੀਅਰ ਰੂਟ ਨੂੰ underlay ਉੱਤੇ ਰੱਖੋ

ਬਾਹਰੀ ਪੀਅਰ ਤੱਕ ਦਾ ਰੂਟ underlay ਰਾਹੀਂ ਹੱਲ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਉਸ ਟਨਲ ਰਾਹੀਂ ਦੁਹਰਾਉਂਦੇ ਤੌਰ ਉੱਤੇ ਨਹੀਂ ਜੋ ਇਹ ਬਣਾਉਂਦਾ ਹੈ। ਜੇ ਪੀਅਰ ਰੂਟ ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਵੱਲ ਦਰਸਾਉਂਦਾ ਹੈ, ਤਾਂ IKE ਪੈਕਟ ਆਪਣੇ ਹੀ ਟਨਲ ਦਾ ਪਿੱਛਾ ਕਰਦੇ ਹਨ ਅਤੇ ਪੜਾਅ 1 ਕਦੇ ਪੂਰਾ ਨਹੀਂ ਹੁੰਦਾ। ਸੁਰੱਖਿਅਤ ਟ੍ਰੈਫਿਕ ਦੇ ਜਵਾਬ ਮਾਰਗ ਨੂੰ ਆਪਣਾ ਸਹੀ ਰੂਟ ਅਤੇ ਨੀਤੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਇੱਕ ਦਿਸ਼ਾ ਕੰਮ ਕਰਦਿਆਂ ਆਮ ਤੌਰ ਉੱਤੇ ਉਹੀ ਗੁੰਮ ਅੱਧਾ ਹੁੰਦਾ ਹੈ। ਪੀਅਰ ਪਤੇ ਲਈ ਰੂਟ ਟੇਬਲ ਐਂਟਰੀ ਪੜ੍ਹੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਆਉਟਗੋਇੰਗ ਇੰਟਰਫ਼ੇਸ WAN ਇੰਟਰਫ਼ੇਸ ਹੈ।

ਇਸ ਨਾਲ ਜਾਂਚੋ: show route 198.51.100.10, ਅਸਲ ਪੀਅਰ ਪਤਾ ਪਾ ਕੇ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਅਗਲਾ ਹੌਪ ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਨਹੀਂ।

ਕੰਟਰੋਲ ਅਤੇ ਸੇਵਾ ਕ੍ਰਮ ਵਿੱਚ ਤਸਦੀਕ ਕਰੋ

ਉੱਪਰ ਵੱਲ ਕੰਮ ਕਰੋ: ਪੜਾਅ 1 ਦੀ ਸਥਿਤੀ, ਪੜਾਅ 2 ਦੀ ਸਥਿਤੀ, ਫਿਰ ਅਸਲ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰਵਾਹ। show security ipsec sa ਸੁਰੱਖਿਆ ਐਸੋਸੀਏਸ਼ਨਾਂ ਦੀ ਸੂਚੀ ਦਿੰਦਾ ਹੈ, ਅਤੇ show security flow session destination-prefix 10.60.0.0/16 ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਸੁਰੱਖਿਅਤ ਨੈੱਟਵਰਕ ਲਈ ਅੱਗੇ ਭੇਜੇ ਸੈਸ਼ਨ ਬਣ ਰਹੇ ਹਨ ਜਾਂ ਨਹੀਂ।

ਸਿਹਤਮੰਦ ਕੰਟਰੋਲ ਸੰਬੰਧ ਅਤੇ ਕੰਮ ਕਰਦਾ ਡੇਟਾ ਮਾਰਗ ਦੋ ਵੱਖਰੇ ਨਤੀਜੇ ਹਨ, ਅਤੇ ਪੜਾਅ 2 ਪਾਸ ਹੋਣਾ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ ਕਿ ਨੀਤੀ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ ਜਾਂ ਨਹੀਂ। ਇੱਕ ਇਜਾਜ਼ਤ ਵਾਲਾ ਪ੍ਰਵਾਹ ਅਤੇ ਇੱਕ ਜਿਸ ਨੂੰ ਨੀਤੀ ਨੇ ਰੱਦ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ, ਦੋਵੇਂ ਜਾਂਚੋ ਤਾਂ ਜੋ ਫ਼ਰਕ ਦਿਸੇ।

ਪੀਅਰ ਰੂਟ, host-inbound ਇਜਾਜ਼ਤ, ਟਨਲ ਬਾਈਂਡਿੰਗ, ਅੰਦਰੂਨੀ ਰੂਟ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਨੀਤੀ ਇਕੱਠੇ ਦਰਜ ਕਰੋ। ਇਹ ਪੰਜ ਰਿਕਾਰਡ ਦਿਖਾਉਂਦੇ ਹਨ ਕਿ ਭਵਿੱਖ ਦੀ ਅਸਫਲਤਾ ਕਿਸ ਪਰਤ ਦੀ ਹੈ, ਪੋਰਟ ਲੇਬਲ ਉੱਤੇ ਨਿਰਭਰ ਕੀਤੇ ਬਿਨਾਂ।