Junos Dual-WAN IPsec VPN: priradenie zdrojovej cesty k správnej bráne

Dve WAN linky na lokalitu vyzerajú ako redundancia, kým sa nepokúsite dokázať, ktorú dvojicu adries daný tok skutočne použil. Na SRX nesie jedna IKE brána jedno externé rozhranie a jednu lokálnu adresu; zoznam vzdialených kandidátov nevytvára druhý lokálny zdroj. Preto tento prechod začína maticou dvojíc a nie konfiguráciou, pretože Junos bez okolkov commitne návrh, ktorý pokrýva len polovicu zamýšľaných kombinácií. Narazil som na to na dvoch SRX345s: záložný tunel naskočil čisto a napriek tomu stiahol reláciu pri návrate.

Prejdite kroky poporiadku: vypíšte dvojice, ktoré musíte podporovať, postavte jednu bránu na lokálny zdroj, potvrďte, ktoré priradenie prevádzku prenieslo, a až potom rozhodnite, čo smie každý druh poruchy zmeniť.

Zmapujte dvojice, kým sa dotknete CLI

Ak lokalita A môže vychádzať z A1 alebo A2 a lokalita B môže prijímať na B1 alebo B2, máte štyri vonkajšie dvojice adries. Väčšina návrhov potrebuje dve z nich trvalo a zvyšné dve považuje za voliteľné. Zapíšte maticu a označte každý riadok, pretože každý sľúbený riadok vás neskôr stojí bránu, tunelové rozhranie a rozhodnutie o smerovaní.

Každá požadovaná dvojica potrebuje tri veci súčasne: dosiahnuteľný underlay medzi presne týmito adresami, vzájomné prijatie identity peera a zdrojovej adresy na oboch koncoch a chránenú spätnú cestu. Dvojica, ktorá funguje len jedným smerom, tunel aj tak ukáže a porucha sa prejaví neskôr ako jednosmerná prevádzka aplikácie.

Jedna brána na lokálny zdroj, nie na vzdialenú lokalitu

Zoznam vzdialených adries patrí bráne, a rovnako aj lokálny zdroj. referenčná dokumentácia IKE brán drží vzdialené adresy, externé rozhranie, lokálnu adresu a detekciu mŕtveho peera ako samostatné nastavenia, a o to práve ide: dva lokálne zdroje znamenajú dve brány na dvoch jednotkách st0. Zdieľať medzi nimi politiku IKE je v poriadku; držať jednu bránu a dúfať, že si sama vyberie iný zdroj, už nie.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Potom pripojte tunely a dajte vzdialenému prefixu dva next hop, jeden na tunel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Či jedna brána môže držať dve inštrukcie typu address, závisí od verzie a od toho, ktorý proces IKE zariadenie používa. Starší Junos založený na kmd berie jednu vzdialenú adresu na bránu; novšie buildy zvládajú viac kandidátov, ale pridávajú vlastné obmedzenia, a klastre vysokej dostupnosti sú častým miestom, kde sa táto podpora zužuje. Skontrolujte poznámky k vydaniu pre váš presný build, kým to skopírujete zo staršieho chassis.

Potvrďte, ktoré priradenie paket prenieslo

Dve SA a dva tunely nehovoria, ktoré z nich reláciu odovzdalo. Spýtajte sa zariadenia priamo a porovnajte polia s dvojicou, ktorú ste zamýšľali:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Detailný výstup uvádza lokálnu a vzdialenú bránu pre každé priradenie, čo je najrýchlejší spôsob, ako odhaliť tunel vyjednaný zo zdroja, ktorý ste nečakali. Potom sledujte počítadlá paketov na jednotku na st0.1 a st0.2, kým prepúšťate prevádzku; tunel, ktorý nič nenesie, si drží svoje SA a v prehľade vyzerá zdravo.

Dajte každému druhu poruchy vlastný detektor

Živosť peera, strata lokálneho uplinku, stiahnutie chránenej trasy a zlyhanie aplikácie sú štyri rôzne udalosti. DPD odpovedá len na prvú, takže ho nastavte s intervalom a prahom, ktoré viete obhájiť, namiesto toho, aby ste nechali predvolenú hodnotu a predpokladali, že pokrýva zvyšok:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Monitorovanie tunela, ktoré testuje cieľ vnútri vzdialenej podsiete, pokrýva prípad, ktorý DPD nevidí: IKE žije, brána odpovedá a chránený prefix je napriek tomu nedosiahnuteľný. Vyberte, ktoré z tých dvoch má ťahať preferenciu, pretože keď obe zaberú naraz, vznikne búrka zmien namiesto čistého prepnutia.

Nezabudnite na vzdialený koniec. Preferovaná trasa, ktorá zostane na vzdialenej lokalite, ďalej ukazuje do tunela, ktorý ste už opustili, a žiadny lokálny časovač to nespraví. Publikujte rovnakú logiku preferencie na oboch peerov a poznamenajte, či obnovené spojenie môže prevádzku prevziať automaticky, alebo sa musí prepnúť ručne.

Pre-adresujte jedno spojenie bez toho, aby ste sa dotkli druhého

Keď vám ISP dá nový blok, meňte jednu reláciu po druhej. Aktualizujte address alebo local-address na oboch peerov pre túto dvojicu, commitnite a vymažte len dotknuté priradenia podľa indexu, namiesto mazania všetkých SA na zariadení. Globálne vymazanie vezme aj zdravý tunel a premení servisné okno na výpadok.

Uchovajte jeden neúspešný tok a detail jeho relácie ako dôkaz, kým čokoľvek upraceíte, a potom zopakujte vyššie uvedené kontroly na novej dvojici adries. Obnovenie spojenia je rozhodnutie o smerovaní, takže návrat berte ako samostatný otestovaný krok, namiesto toho, aby ste predpokladali, že stará preferencia sa vráti sama.

Uzavrite zmenu krátkym kontrolným zoznamom

Návrh dual-WAN tunela je hotový, keď viete pomenovať dvojicu za každou reláciou, nie keď sú obe SA hore. Prejdite nižšie uvedený zoznam na zariadení, ktoré ste skutočne zmenili:

• Každá sľúbená dvojica má bránu, jednotku st0 a položku trasy.
• Každý tunel bol videný, ako nesie pakety, nie len ako drží SA.
• Oba konce sa zhodujú na detekcii a na tom, ktorá strana obnovuje preferenciu.
• Spätná cesta každej dvojice je zapísaná vedľa jej cesty tam.

Ak niektorý riadok zlyhá, opravte tú dvojicu, kým pridáte ďalšiu; skladanie dvoch napoly funkčných tunelov robí počítadlá bezvýznamnými a správanie failoveru nepredvídateľným.