IPsec د خصوصي WAN له لارې: هغه SRX د پالیسۍ حدونه چې باید وڅیړل شي

یو خصوصي WAN کولی شي د IPsec ټنل بیروني پاکټونه وړي، نو د سیالۍ پته باید عامه انټرنیټ پتې نه وي۔ هغه څه چې بدلېږي د دې بیروني پاکټونو لاره او هغه اجازې دي چې د ترلاسه کوونکي انټرفېس پر سر دي۔ په SRX کې د بهر کنټرول لاره، د ټنل انټرفېس تړاو او د لېږل شوي ترافیک پالیسي درې جلا شیان دي۔ د یوې ستونزې حل کول په داسې حال کې چې نور دواړه غلط دي، د ټنل د ښکته پاتې کېدو معمول لامل دی۔

لومړی بهرنی IKE لاره ولیکئ

له پالیسۍ سره د لاس وهلو دمخه څلور ارزښتونه ولیکئ: د سیالۍ پته، هغه محلي انټرفېس چې IKE ترلاسه کوي، هغه روټینګ شرایط چې سیالۍ ته رسېږي او هغه لاره چې هغه انټرفېس غوره کوي۔ IKE پاکټونه پخپله SRX ته استول کېږي، نو دوی ته د ترلاسه کوونکې زون کې host-inbound اجازه غواړي، نه د لېږل شوي ترافیک پالیسي۔ خصوصي WAN پته هغه اړتیا نه لرې کوي، ځکه چې پاکټ لا هم په وسیله کې پای ته رسېږي۔

نصب شوې حالت په دې سره وڅیړئ: show security ike sa او ترتیبات په دې سره: show configuration security ike۔ لومړی وایي چې آیا پړاو 1 شته؛ دویم وایي چې وسیله څه کول غواړي۔

د ټنل انټرفېس سمې پالیسۍ سره وتړئ

د روټینګ پر بنسټ VPN د ټنل انټرفېس له VPN شي سره تړي، او ساتل شوي مخکښې هغه انټرفېس ته روټ کېږي۔ ولیکئ کوم انټرفېس، کومه لاره او کومه پالیسي د اړوندو زونونو ترمنځ غوښتنلیکونو ته اجازه ورکوي۔ trust په نوم زون د پالیسۍ کانټینر دی، او نوم یې نه ثابتوي چې اړین کنټرول یا ډاټا پاکټونه اجازه لري۔

د زاړه ډیاګرام پر ځای ریښتیني تړاوونه ولولئ: show configuration security ipsec vpn د انټرفېس سره د تړلو ترتیب لپاره او show configuration security policies د هغو قواعدو لپاره چې ټنل زون ته اشاره کوي۔

که ساتل شوې لاره بل ځای ته اشاره وکړي، ټنل ممکن پورته وي خو ترافیک هېڅکله ورننوځي۔ دا د IPsec جامو کې د روټینګ ستونزه ده۔

د سیالۍ لاره په underlay کې وساتئ

بهرنۍ سیالۍ ته لاره باید د underlay له لارې حل شي، نه په تکراري ډول د هغه ټنل له لارې چې جوړوي یې۔ که د سیالۍ لاره د ټنل انټرفېس ته اشاره وکړي، IKE پاکټونه خپل ټنل تعقیبوي او پړاو 1 هېڅکله نه بشپړېږي۔ د ساتل شوي ترافیک د ځواب لاره خپله سمه لاره او پالیسي غواړي، او معمولاً هماغه ورکه نیمه ده کله چې یو لوری کار کوي۔ د سیالۍ پتې لپاره د لارو جدول ننوتنه ولولئ او تایید کړئ چې وتونکی انټرفېس WAN انټرفېس دی۔

دا په دې سره وڅیړئ: show route 198.51.100.10، د سیالۍ ریښتینې پته دننه کړئ، او تایید کړئ چې بله ټوپ ټنل انټرفېس نه دی۔

کنټرول او خدمت په ترتیب سره تایید کړئ

پورته کار وکړئ: د پړاو 1 حالت، د پړاو 2 حالت، بیا ریښتینی غوښتنلیک بهیر۔ show security ipsec sa د امنیت ټولنې لیست کوي، او show security flow session destination-prefix 10.60.0.0/16 ښیي چې آیا د ساتل شوي شبکې لپاره لېږل شوې ناستې جوړېږي۔

روغ کنټرول اړیکه او کاري ډاټا لاره دوه جلا پایلې دي، او د پړاو 2 تېرېدل هېڅ نه وایي چې پالیسي غوښتنلیک ته اجازه ورکوي که نه۔ یو اجازه لرونکی بهیر او یو چې پالیسي باید رد کړي، دواړه وازموئ تر څو توپیر ښکاره شي۔

د سیالۍ لاره، host-inbound اجازه، د ټنل تړاو، داخلي لاره او د غوښتنلیک پالیسي یوځای ولیکئ۔ دا پنځه ریکارډونه ښیي چې راتلونکې ناکامي د کوم پرت ده، پر پورټ لیبل تکیه کولو پرته۔