Junos ද්වි-WAN IPsec VPN: මූලාශ්‍ර මාර්ගය නිවැරදි ගේට්වේ සමඟ ගැළපීම
ද්වි-WAN IPsec සඳහා Junos SRX මාර්ගෝපදේශය: සෑම දේශීය මූලාශ්‍රයක්ම එහි අපේක්ෂක ගේට්වේ සමඟ ගළපන්න, පසුව ඇත්තෙන්ම තාප්පය රැගෙන ගියේ කුමන සම්බන්ධයදැයි ඔප්පු කරන්න.
එක් අඩවියකට WAN සබැඳි දෙකක් අතිරික්ත ලෙස පෙනේ, දී ඇති ප්‍රවාහයක් ඇත්තෙන්ම භාවිත කළ ලිපින යුගලය කුමක්දැයි ඔප්පු කිරීමට උත්සාහ කරන තෙක්. SRX එකක IKE ගේට්වේ එකක් බාහිර අතුරුමුහුණතක් සහ දේශීය ලිපිනයක් රැගෙන යයි; දුරස්ථ අපේක්ෂක ලැයිස්තුවක් දෙවන දේශීය මූලාශ්‍රයක් නිර්මාණය නොකරයි. එබැවින් මෙම මාර්ගෝපදේශය වින්‍යාසයෙන් නොව යුගල මැට්‍රික්සයෙන් ආරම්භ වේ, මන්ද Junos ඔබ අදහස් කළ සංයෝජනවලින් අඩක් පමණක් ආවරණය කරන නිර්මාණයක් පවා පහසුවෙන් commit කරයි. මට මෙය SRX345s දෙකක දකින්න ලැබුණි: උපස්ථ උමග පිරිසිදුව ඉහළ ආවත් ආපසු හැරවීමේදී සැසිය පහත හෙළන ලදි.
පියවර අනුපිළිවෙලින් අවසන් කරන්න: ආධාර කළ යුතු යුගල ලැයිස්තුගත කරන්න, එක් එක් දේශීය මූලාශ්‍රය සඳහා එක් ගේට්වේයක් තනන්න, තාප්පය කුමන සම්බන්ධයක් රැගෙන ගියේදැයි තහවුරු කරන්න, ඉන් පසුව පමණක් එක් එක් අසාර්ථකත්ව වර්ගයට වෙනස් කළ හැක්කේ කුමක්දැයි තීරණය කරන්න.
CLI ස්පර්ශ කිරීමට පෙර යුගල සිතියම්ගත කරන්න
අඩවිය A, A1 හෝ A2 වෙතින් මූලාශ්‍ර විය හැකි නම් සහ අඩවිය B, B1 හෝ B2 මත ලබා ගත හැකි නම්, ඔබට බාහිර ලිපින යුගල හතරක් ඇත. බොහෝ නිර්මාණවලට ඒවායින් දෙකක් නිරන්තරයෙන් අවශ්‍ය වන අතර අනෙක් දෙක විකල්ප ලෙස සලකයි. මැට්‍රික්සය ලියා සෑම පේළියක්ම සලකුණු කරන්න, මන්ද ඔබ පොරොන්දු වන සෑම පේළියක්ම පසුව ගේට්වේයක්, උමග අතුරුමුහුණතක් සහ මාර්ගගත කිරීමේ තීරණයක් ලෙස ඔබට වැය වේ.
| Local source | Remote candidate | Required? |
|---|---|---|
| A1, ISP1 address | B1 | steady state |
| A1, ISP1 address | B2 | decide explicitly |
| A2, ISP2 address | B1 | decide explicitly |
| A2, ISP2 address | B2 | backup path |
එක් එක් අවශ්‍ය යුගලයට එකවර කරුණු තුනක් අවශ්‍ය වේ: එම ලිපින අතරම ළඟා විය හැකි underlay එකක්, දෙකෙළවරේම සහකරුගේ අනන්‍යතාවය සහ මූලාශ්‍ර ලිපිනය අන්‍යෝන්‍යව පිළිගැනීම, සහ ආරක්ෂිත ආපසු මාර්ගයක්. එක් දිශාවකට පමණක් ක්‍රියා කරන යුගලයක් තවමත් උමගක් පෙන්වයි, සහ අසාර්ථකත්වය පසුව යෙදුමේ ඒකදිශා තාප්පය ලෙස මතු වේ.
එක් එක් දේශීය මූලාශ්‍රය සඳහා එක් ගේට්වේයක්, දුරස්ථ අඩවියකට නොවේ
දුරස්ථ ලිපින ලැයිස්තුව ගේට්වේයකට අයත් වේ, දේශීය මූලාශ්‍රයද එසේමය. IKE ගේට්වේ යොමුව දුරස්ථ ලිපින, බාහිර අතුරුමුහුණත, දේශීය ලිපිනය සහ මළ සහකරු හඳුනාගැනීම වෙන වෙනම සැකසුම් ලෙස තබා ගනී, එයම තමයි කාරණය: දේශීය මූලාශ්‍ර දෙකක් යනු st0 ඒකක දෙකක් මත ගේට්වේ දෙකක් යන්නයි. ඒවා අතර IKE ප්‍රතිපත්තිය බෙදාගැනීම වරදක් නොවේ; එක් ගේට්වේයක් රඳවාගෙන එයම වෙනත් මූලාශ්‍රයක් තෝරාගනු ඇතැයි බලාපොරොත්තු වීම වරදකි.
set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-onlyපසුව උමං සම්බන්ධ කර දුරස්ථ පූර්වාංගයට next hop දෙකක් දෙන්න, එක් උමගකට එකක්:
set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20එක් ගේට්වේයකට address වර්ගයේ උපදෙස් දෙකක් තබා ගත හැකිද යන්න රිලීසය සහ උපාංගය ධාවනය කරන IKE ක්‍රියාවලිය මත රඳා පවතී. kmd මත පදනම් වූ පැරණි Junos එක් ගේට්වේයකට එක් දුරස්ථ ලිපිනයක් පමණක් ගනී; නව builds අපේක්ෂකයන් කිහිප දෙනෙකු හසුරුවයි නමුත් තමන්ගේම සීමා එකතු කරයි, ඉහළ ප්‍රවේශ්‍යතා පොකුරු යනු මෙම ආධාරය පටු වන පොදු ස්ථානයකි. පැරණි චැසියකින් මෙය පිටපත් කිරීමට පෙර ඔබේ නිශ්චිත build සඳහා නිකුතු සටහන් බලන්න.
පැකට්ටුව රැගෙන ගියේ කුමන සම්බන්ධයදැයි තහවුරු කරන්න
SA දෙකක් සහ උමං දෙකක් සැසිය ඉදිරියට ගෙන ගියේ කුමක්දැයි නොකියයි. උපාංගයෙන් කෙලින්ම අසා ඔබ අදහස් කළ යුගලය සමඟ ක්ෂේත්‍ර සසඳන්න:
show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packetsවිස්තරාත්මක ප්‍රතිදානය එක් එක් සම්බන්ධය සඳහා දේශීය සහ දුරස්ථ ගේට්වේ නම් කරයි, එය ඔබ බලාපොරොත්තු නොවූ මූලාශ්‍රයකින් සාකච්ඡා කළ උමගක් හඳුනාගැනීමට වේගවත්ම ක්‍රමයයි. පසුව තාප්පය යවන අතරතුර st0.1 සහ st0.2 මත ඒකකයකට පැකට් ගණන් කිරීම් බලන්න; කිසිවක් නොගෙන යන උමගක් තම SA රඳවාගෙන සාරාංශයක සුවපත් ලෙස පෙනේ.
එක් එක් අසාර්ථකත්ව වර්ගයට තමන්ගේම අනාවරකයක් දෙන්න
සහකරුගේ ජීවය, දේශීය උඩු සබැඳිය අහිමි වීම, ආරක්ෂිත මාර්ගය ඉවත් කිරීම සහ යෙදුම කැඩීම යනු වෙනස් සිදුවීම් හතරකි. DPD පිළිතුරු දෙන්නේ පළමු එකට පමණි, එබැවින් පෙරනිමි අගය තබා ඉතිරිය ආවරණය කරන බව උපකල්පනය කරනවාට වඩා ඔබ තර්ක කළ හැකි පරතරයක් හා සීමාවක් සමඟ වින්‍යාස කරන්න:
set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1දුරස්ථ උපජාලය තුළ ගමනාන්තයක් පරීක්ෂා කරන උමග අධීක්ෂණය DPD ට නොපෙනෙන අවස්ථාව ආවරණය කරයි: IKE සජීවීය, ගේට්වේ පිළිතුරු දෙයි, ආරක්ෂිත පූර්වාංගය තවමත් ළඟා විය නොහැකි ය. දෙකෙන් කුමක් ප්‍රමුඛතාවය ඇදගත යුතුදැයි තෝරන්න, මන්ද දෙකම එකවර ක්‍රියාත්මක වුවහොත් පිරිසිදු failover වෙනුවට වෙනස්කම් භයානක ලෙස ගලා එයි.
දුරස්ථ කෙළවර අමතක නොකරන්න. දුරස්ථ අඩවියේ ස්ථාපිතව රැඳී ඇති මනාප මාර්ගයක් ඔබ දැනටමත් අත්හැරිය උමගක් වෙතම යොමු වේ, කිසිදු දේශීය කාලකයක් එය නිවැරදි නොකරයි. එම මනාප තර්කයම සහකරුවන් දෙදෙනා මත ප්‍රකාශයට පත් කරන්න, ප්‍රකෘතිමත් වූ සබැඳිය තාප්පය ස්වයංක්‍රීයව ආපසු ගනීද නැතහොත් අතින් මාරු කළ යුතුද යන්න සටහන් කරන්න.
අනෙක ස්පර්ශ නොකර එක් සබැඳියකට නැවත ලිපිනය දෙන්න
ISP ඔබට නව බ්ලොක් එකක් දෙන විට එකවර එක් සම්බන්ධතාවයක් වෙනස් කරන්න. එම යුගලය සඳහා සහකරුවන් දෙදෙනා මත address හෝ local-address යාවත්කාලීන කර, commit කර, උපාංගයේ සියලුම SA මකනවාට වඩා බලපෑමට ලක් වූ සම්බන්ධයන් පමණක් දර්ශකයෙන් මකන්න. සමස්ත මකාදැමීමක් නිරෝගී උමගද රැගෙන යන අතර නඩත්තු කවුළුවක් බාධාවක් බවට පත් කරයි.
යමක් පිරිසිදු කිරීමට පෙර එක් අසාර්ථක ප්‍රවාහයක් සහ එහි සැසි විස්තර සාක්ෂියක් ලෙස තබා, පසුව ඉහත පරීක්ෂණ නව ලිපින යුගලය මත නැවත ධාවනය කරන්න. සබැඳියක් ප්‍රකෘතිමත් කිරීම මාර්ගගත කිරීමේ තීරණයකි, එබැවින් පැරණි මනාපය තමන්ම ආපසු එයි යැයි උපකල්පනය කරනවාට වඩා ආපසු ඒම වෙන වෙනම පරීක්ෂා කළ පියවරක් ලෙස සලකන්න.
වෙනස කෙටි පිරික්සුම් ලැයිස්තුවකින් වසන්න
ද්වි-WAN උමං නිර්මාණය සම්පූර්ණ වන්නේ එක් එක් සැසිය පිටුපස ඇති යුගලය නම් කළ හැකි විටය, SA දෙකම ඉහළ ඇති විට නොවේ. පහත ලැයිස්තුව ඔබ ඇත්තෙන්ම වෙනස් කළ උපාංගය මත බලන්න:
- සෑම පොරොන්දු වූ යුගලයකටම ගේට්වේයක්, st0 ඒකකයක් සහ මාර්ග සටහනක් ඇත.
- සෑම උමගක්ම පැකට් රැගෙන යන ආකාරය දැක ඇත, SA රඳවා ගන්නා ආකාරය පමණක් නොවේ.
- දෙකෙළවරම හඳුනාගැනීම සහ ප්‍රමුඛතාවය නැවත පිහිටුවන පැත්ත කුමක්ද යන්න පිළිබඳව එකඟ වේ.
- එක් එක් යුගලයේ ආපසු මාර්ගය එහි යන මාර්ගය අසල ලියා ඇත.
යම් පේළියක් අසාර්ථක වුවහොත්, ඊළඟ එක එකතු කිරීමට පෙර එම යුගලය නිවැරදි කරන්න; අඩක් ක්‍රියා කරන උමං දෙකක් එකිනෙක මත තැබීම ගණන් කිරීම් අර්ථ විරහිත කර failover හැසිරීම අනාවැකි කළ නොහැකි කරයි.