Junos دوه WAN IPsec VPN: د سرچینې لاره سم ګیټوې سره نښلول

سایټ ته دوه WAN لینکونه د زیاتوالي په څېر ښکاري، تر دې چې وغواړئ ثابته کړئ یو ځانګړی بهیر کومه د پتې جوړه واقعاً کارولې ده۔ په SRX کې یو IKE ګیټوې یوه بهرنۍ انټرفیس او یوه سیمه ییزه پته اخلي؛ د لیرې نوماندانو لیست دویمه سیمه ییزه سرچینه نه جوړوي۔ نو ځکه دا لارښود د تنظیم نه نه، بلکې د جوړو له میټریکس څخه پیلېږي، ځکه Junos په اسانه هغه ډیزاین commit کوي چې یوازې نیمې پلان شوې ترکیبونه پټوي۔ ما دا په دوه SRX345s کې تجربه کړه: بیک اپ ټنل پاک پورته شو او بیا هم د بیرته راګرځېدو پر مهال سیشن وغورځاوه۔

ګامونه په ترتیب واخله: هغه جوړې ولیکئ چې باید ملاتړ یې وکړئ، هرې سیمه ییزې سرچینې لپاره یوه ګیټوې جوړه کړئ، تصدیق کړئ کومه اړیکه ټرافیک وړی، او یوازې له هغې وروسته پرېکړه وکړئ چې هر ډول نیمګړتیا څه بدلولی شي۔

د CLI له لمس کولو دمخه جوړې نقشه کړئ

که سایټ A له A1 یا A2 څخه سرچینه واخلي او سایټ B پر B1 یا B2 ترلاسه کړي، تاسو څلور بهرنۍ پتې جوړې لرئ۔ ډېری ډیزاینونه له هغو دوه ته په دوامداره توګه اړ دي او نور دوه اختیاري ګڼي۔ میټریکس ولیکئ او هر قطار په نښه کړئ، ځکه هر هغه قطار چې ژمنه یې کوئ وروسته به تاسو ته یوه ګیټوې، یوه ټنلی انټرفیس او د لارې پرېکړه لګښت شي۔

هرې اړینې جوړې په یو وخت درې شیان ته اړتیا ده: د هماغو پتو ترمنځ د لاسرسي وړ underlay، په دواړو سرونو کې د ملګري هویت او د سرچینې پتې متقابل منل، او ساتل شوې بیرته راستنېدونکې لاره۔ هغه جوړه چې یوازې یو لوري ته کار کوي بیا هم ټنل ښیي، او نیمګړتیا به وروسته د اپلیکیشن یو لوري ټرافیک په توګه راښکاره شي۔

هرې سیمه ییزې سرچینې لپاره یوه ګیټوې، نه هر لیرې سایټ لپاره

د لیرو پتو لیست یوې ګیټوې ته اړه لري، سیمه ییزه سرچینه هم همداسې۔ د IKE ګیټوې مرجع لیرې پتې، بهرنۍ انټرفیس، سیمه ییزه پته او د مړ ملګري کشف د جلا تنظیماتو په توګه ساتي، او اصلي خبره همدا ده: دوه سیمه ییزې سرچینې مانا دا چې په دوه st0 واحدونو دوه ګیټوې۔ د IKE پالیسي شریکول سم دي؛ یوه ګیټوې ساتل او هیله کول چې پخپله بله سرچینه وټاکي سم نه دي۔

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

بیا ټنلونه ونښلوئ او لیرې مخکښې ته دوه next hop ورکړئ، یو د هر ټنل لپاره:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

چې یوه ګیټوې د address ډول دوه لارښوونې ساتلی شي که نه، د خپرېدو او د دې پورې اړه لري چې وسیله کوم IKE بهیر چلوي۔ زوړ kmd-بنسټ Junos په هر ګیټوې یوه لیره پته مني؛ نوي جوړښتونه څو نوماندان اداره کوي خو خپل محدودیتونه ورزیاتوي، او لوړې لاسرسي کلسټرونه هغه عام ځای دی چیرې چې دا ملاتړ تنګېږي۔ د خپل دقیق جوړښت د خپرېدو یادښتونه وګورئ مخکې له دې چې دا له زوړ چاسیس څخه کاپي کړئ۔

تصدیق کړئ کومې اړیکې پاکټ وړی

دوه SA او دوه ټنلونه نه وایي چې سیشن کوم یو لیږدولی۔ وسیله مستقیمه پوښتنه کړئ او ساحې له هغې جوړې سره پرتله کړئ چې موخه یې وه:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

تفصیلي پایله د هرې اړیکې لپاره سیمه ییزه او لیرې ګیټوې نوموي، چې د ناڅاپي سرچینې څخه د جوړ شوي ټنل د موندلو ترټولو چټکه لاره ده۔ بیا د ټرافیک تېرولو پر مهال پر st0.1 او st0.2 د هر واحد پاکټ شمېرونکي وګورئ؛ هغه ټنل چې څه نه وړي خپل SA ساتي او په لنډیز کې روغ ښکاري۔

هر ډول نیمګړتیا ته خپل کشف کوونکی ورکړئ

د ملګري ژوند، د سیمه ییز پورتنۍ اړیکې له لاسه ورکول، د ساتل شوې لارې ایستل او د اپلیکیشن ماتیوالی څلور جلا پېښې دي۔ DPD یوازې لومړنۍ ته ځواب وایي، نو هغه دې داسې وقفې او حد سره تنظیم کړئ چې توجیه یې کولی شئ، نه دا چې اصلي ارزښت پرېږدئ او فکر وکړئ چې نور هم پټوي:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

هغه ټنل څارنه چې د لیرې فرعي شبکې دننه هدف ازمويي هغه حالت پټوي چې DPD نه ویني: IKE ژوندی دی، ګیټوې ځواب وایي، او ساتل شوې مخکښه بیا هم نه رسېدونکې ده۔ وټاکئ چې د دواړو کوم یو باید لومړیتوب راکښي، ځکه که دواړه یو ځای فعال شي نو د پاکې بدلون پر ځای د بدلونونو توپان پېښېږي۔

لیرې سر مه هېروئ۔ هغه غوره لاره چې په لیرې سایټ کې نصب پاتې کېږي هغه ټنل ته اشاره کوي چې تاسو مخکې پرېښی دی، او هیڅ سیمه ییز وخت نیوونکی یې نه سموني۔ ورته لومړیتوب منطق په دواړو ملګرو خپور کړئ او ولیکئ چې بیا رغول شوی لینک ټرافیک پخپله بیرته اخیستلی شي که په لاس بدلېدل غواړي۔

یوه اړیکه بیا پته کړئ پرته له دې چې بلې ته لاس ووهئ

کله چې ISP نوی بلاک درکوي، هر ځل یوازې یوه اړیکه بدله کړئ۔ د هماغې جوړې لپاره په دواړو ملګرو address یا local-address تازه کړئ، commit وکړئ، او یوازې اغېزمنې اړیکې د شاخص له مخې پاکې کړئ، نه دا چې پر وسیله ټول SA پاک کړئ۔ ټولیز پاکول روغ ټنل هم وړي او د ساتنې کړکۍ په موده کې بدلوي۔

د هر څه پاکولو دمخه یو ناکام بهیر او د هغه د سیشن تفصیل د شاهد په توګه وساتئ، بیا دې پورتني ازموینې د نوي پتې جوړې پر وړاندې بیا وچلوئ۔ د اړیکې بیا رغول د لارې پرېکړه ده، نو بیرته راستنېدل د خپلواکې ازمویل شوې ګام په توګه ونیسئ، نه دا چې فکر وکړئ زوړ لومړیتوب پخپله راستنېږي۔

بدلون په لنډ چک لیسټ سره وتړئ

د دوه WAN ټنل ډیزاین هغه وخت بشپړېږي چې د هر سیشن شاته جوړه ونومولی شئ، نه هغه وخت چې دواړه SA پورته وي۔ لاندې لیست پر هغه وسیله وګورئ چې واقعاً مو بدلې کړې:

• هره ژمنه شوې جوړه یوه ګیټوې، یو st0 واحد او یو د لارې ننوتنه لري۔
• هر ټنل لیدل شوی چې پاکټونه وړي، نه یوازې SA ساتي۔
• دواړه سرونه پر کشف او پر دې سره یو دي چې کوم لوری لومړیتوب بیرته راولي۔
• د هرې جوړې د بیرته راستنېدو لاره د هغې د تلو لارې ترڅنګ لیکل شوې ده۔

که کوم قطار ونه منل شي، هغه جوړه سمه کړئ مخکې له دې چې بل یې ورزیات کړئ؛ دوه نیمګړي کار کوونکي ټنلونه یو د بل پر سر کېښودل شمېرونکي بې مانا او د failover چلند بې اټکل کوي۔