Junos Dual-WAN IPsec VPN: povezivanje izvorne putanje s pravim gatewayem

Dvije WAN veze po lokaciji izgledaju kao redundancija dok ne pokušate dokazati koji je par adresa određeni tok zaista koristio. Na SRX-u jedan IKE gateway nosi jedno vanjsko sučelje i jednu lokalnu adresu; lista udaljenih kandidata ne stvara drugi lokalni izvor. Zato ovaj prolaz počinje matricom parova, a ne konfiguracijom, jer Junos bez oklijevanja commita dizajn koji pokriva samo polovinu predviđenih kombinacija. Na to sam naišao na dva SRX345s: rezervni tunel se čisto podigao i ipak je oborio sesiju pri povratku.

Prođite korake redom: nabrojite parove koje morate podržati, izgradite jedan gateway po lokalnom izvoru, potvrdite koja je asocijacija prenijela promet i tek onda odlučite šta smije promijeniti koja vrsta kvara.

Mapirajte parove prije nego dotaknete CLI

Ako lokacija A može izlaziti iz A1 ili A2, a lokacija B može primati na B1 ili B2, imate četiri vanjska para adresa. Većina dizajna treba dva od njih stalno, a druga dva tretira kao opcionalna. Zapišite matricu i označite svaki red, jer svaki obećani red kasnije stoji gateway, tunelsko sučelje i odluku o rutiranju.

Svaki potrebni par treba tri stvari istovremeno: dostupan underlay između tačno tih adresa, uzajamno prihvatanje identiteta partnera i izvorne adrese na oba kraja te zaštićenu povratnu putanju. Par koji radi samo u jednom smjeru ipak pokaže tunel, a kvar se kasnije pojavi kao jednosmjerni promet aplikacije.

Jedan gateway po lokalnom izvoru, ne po udaljenoj lokaciji

Lista udaljenih adresa pripada gatewayu, kao i lokalni izvor. referenca IKE gatewaya drži udaljene adrese, vanjsko sučelje, lokalnu adresu i otkrivanje mrtvog partnera kao odvojene postavke, i upravo je to poenta: dva lokalna izvora znače dva gatewaya na dvije jedinice st0. Dijeljenje IKE politike između njih je u redu; zadržati jedan gateway i nadati se da će sam odabrati drugi izvor nije.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Zatim priključite tunele i dajte udaljenom prefiksu dva next hopa, po jedan na tunel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Može li jedan gateway držati dvije instrukcije tipa address, zavisi od izdanja i od toga koji proces IKE uređaj izvršava. Stariji Junos zasnovan na kmd prihvata jednu udaljenu adresu po gatewayu; novije gradnje savladaju više kandidata, ali dodaju vlastita ograničenja, a klasteri visoke dostupnosti često su mjesto gdje se ta podrška sužava. Provjerite bilješke o izdanju za svoju tačnu gradnju prije nego to kopirate sa starijeg kućišta.

Potvrdite koja je asocijacija prenijela paket

Dvije SA i dva tunela ne govore koja je od njih proslijedila sesiju. Pitajte uređaj direktno i uporedite polja s parom koji ste namjeravali:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Detaljni ispis navodi lokalni i udaljeni gateway za svaku asocijaciju, što je najbrži način da uočite tunel koji se dogovorio s izvora kojem se niste nadali. Zatim posmatrajte brojače paketa po jedinici na st0.1 i st0.2 dok propuštate promet; tunel koji ništa ne nosi zadržava svoj SA i u pregledu izgleda zdravo.

Dajte svakoj vrsti kvara vlastiti detektor

Živost partnera, gubitak lokalnog uplinka, povlačenje zaštićene rute i kvar aplikacije su četiri različita događaja. DPD odgovara samo na prvi, pa ga postavite s intervalom i pragom koje možete braniti umjesto da ostavite zadanu vrijednost i pretpostavite da pokriva ostalo:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Nadzor tunela koji testira odredište unutar udaljene podmreže pokriva slučaj koji DPD ne vidi: IKE je živ, gateway odgovara, a zaštićeni prefiks je ipak nedostupan. Odaberite koji od dvaju treba vući prednost, jer ako se oba aktiviraju istovremeno nastaje oluja promjena umjesto čistog prebacivanja.

Ne zaboravite drugi kraj. Preferirana ruta koja ostane na udaljenoj lokaciji i dalje pokazuje u tunel koji ste već napustili, i nijedan lokalni timer to ne popravlja. Objavite istu logiku prednosti na oba partnera i zabilježite smije li obnovljena veza automatski preuzeti promet ili se mora prebaciti ručno.

Ponovo adresirajte jednu vezu bez diranja druge

Kad vam ISP dodijeli novi blok, mijenjajte jedan odnos odjednom. Ažurirajte address ili local-address na oba partnera za taj par, napravite commit i očistite samo zahvaćene asocijacije po indeksu umjesto da čistite sve SA na uređaju. Globalno čišćenje odnese i zdravi tunel i pretvori servisni prozor u ispad.

Sačuvajte jedan neuspjeli tok i pojedinosti njegove sesije kao dokaz prije nego što bilo šta počistite, zatim ponovo pokrenite gornje provjere na novom paru adresa. Vraćanje veze je odluka o rutiranju, zato povratak tretirajte kao zaseban isproban korak umjesto da pretpostavljate da se stara prednost vraća sama.

Zatvorite promjenu kratkim popisom provjera

Dizajn dual-WAN tunela je gotov kad možete imenovati par iza svake sesije, a ne kad su oba SA podignuta. Prođite donji popis na uređaju koji ste zaista promijenili:

• Svaki obećani par ima gateway, jedinicu st0 i unos rute.
• Svaki je tunel viđen kako nosi pakete, a ne samo kako drži SA.
• Oba se kraja slažu o otkrivanju i o tome koja strana obnavlja prednost.
• Povratna putanja svakog para zapisana je uz njegovu putanju tamo.

Ako neki red ne uspije, popravite taj par prije nego dodate sljedeći; slaganje dvaju napola funkcionalnih tunela čini brojače besmislenim, a ponašanje failovera nepredvidivim.