Junos Dual-WAN IPsec VPN: poveži izvorno pot s pravim prehodom

Dve povezavi WAN na lokacijo izgledata kot redundanca, dokler ne poskusite dokazati, kateri par naslovov je določen tok dejansko uporabil. Na SRX en prehod IKE nosi en zunanji vmesnik in en lokalni naslov; seznam oddaljenih kandidatov ne ustvari drugega lokalnega vira. Zato se ta sprehod začne z matriko parov in ne s konfiguracijo, ker Junos brez zadržkov commita zasnovo, ki pokriva le polovico predvidenih kombinacij. Na to sem naletel pri dveh SRX345s: rezervni tunel se je dvignil čisto in je ob vrnitvi vseeno potegnil sejo navzdol.

Pojdite skozi korake po vrsti: naštejte pare, ki jih morate podpreti, zgradite en prehod na lokalni vir, potrdite, katera povezava je prenesla promet, in šele nato odločite, kaj lahko spremeni vsaka vrsta okvare.

Zarisujte pare, preden se dotaknete CLI

Če lahko lokacija A izvira iz A1 ali A2 in lahko lokacija B sprejema na B1 ali B2, imate štiri zunanje pare naslovov. Večina zasnov potrebuje dva od njih stalno, druga dva pa obravnava kot izbirna. Zapišite matriko in označite vsako vrstico, ker vsaka obljubljena vrstica kasneje stane prehod, tunelski vmesnik in odločitev o usmerjanju.

Vsak potrebni par potrebuje tri stvari hkrati: dosegljiv underlay med točno temi naslovi, vzajemno sprejetje identitete partnerja in izvornega naslova na obeh koncih ter zaščiteno povratno pot. Par, ki deluje le v eno smer, še vedno pokaže tunel, okvara pa se pojavi kasneje kot enosmerni promet aplikacije.

En prehod na lokalni vir, ne na oddaljeno lokacijo

Seznam oddaljenih naslovov pripada prehodu, enako pa tudi lokalni vir. referenca prehodov IKE hrani oddaljene naslove, zunanji vmesnik, lokalni naslov in zaznavanje mrtvega partnerja kot ločene nastavitve, in to je bistvo: dva lokalna vira pomenita dva prehoda na dveh enotah st0. Deljenje politike IKE med njima je v redu; obdržati en prehod in upati, da si bo sam izbral drug vir, pa ne.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Nato priklopite tunele in oddaljenemu prefiksu dajte dva next hopa, enega na tunel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Ali lahko en prehod drži dve instrukciji vrste address, je odvisno od izdaje in od tega, kateri proces IKE teče na napravi. Starejši Junos, ki temelji na kmd, sprejema en oddaljeni naslov na prehod; novejše gradnje obvladajo več kandidatov, a dodajo svoje omejitve, grozdi visoke razpoložljivosti pa so pogosto mesto, kjer se ta podpora zoži. Preverite opombe ob izdaji za svojo natančno gradnjo, preden to kopirate s starejšega ohišja.

Potrdite, katera povezava je prenesla paket

Dve SA in dva tunela ne povesta, kateri od njiju je posredoval sejo. Vprašajte napravo neposredno in primerjajte polja s parom, ki ste ga nameravali:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Podroben izpis navaja lokalni in oddaljeni prehod za vsako povezavo, kar je najhitrejši način, da opazite tunel, ki se je dogovoril z virom, ki ga niste pričakovali. Nato opazujte števce paketov na enoto na st0.1 in st0.2, medtem ko pošiljate promet; tunel, ki ne prenaša ničesar, obdrži svoj SA in je v pregledu videti zdrav.

Vsaki vrsti okvare dajte svoj zaznavalnik

Živost partnerja, izguba lokalnega uplinka, umik zaščitene poti in okvara aplikacije so štirje različni dogodki. DPD odgovarja le na prvega, zato ga nastavite z intervalom in pragom, ki ju lahko zagovarjate, namesto da pustite privzeto vrednost in predpostavljate, da pokriva ostalo:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Nadzor tunela, ki preizkuša cilj znotraj oddaljenega podomrežja, pokriva primer, ki ga DPD ne vidi: IKE živi, prehod odgovarja, zaščiteni prefiks pa je vseeno nedosegljiv. Izberite, kateri od obeh naj vleče prednost, ker če se oba sprožita hkrati, nastane vihar sprememb namesto čistega preklopa.

Ne pozabite na drugi konec. Prednostna pot, ki ostane na oddaljeni lokaciji, še vedno kaže v tunel, ki ste ga že zapustili, in noben lokalni časovnik tega ne popravi. Objavite enako logiko prednosti na obeh partnerjih in zabeležite, ali lahko obnovljena povezava promet prevzame samodejno ali jo je treba preklopiti ročno.

Znova naslovite eno povezavo, ne da bi se dotaknili druge

Ko vam ISP dodeli nov blok, spreminjajte eno razmerje naenkrat. Posodobite address ali local-address na obeh partnerjih za ta par, commitajte in počistite le prizadete povezave po indeksu, namesto da počistite vse SA na napravi. Globalno čiščenje odnese tudi zdrav tunel in spremeni servisno okno v izpad.

Shranite en neuspešen tok in podrobnosti njegove seje kot dokaz, preden kar koli počistite, nato pa znova zaženite zgornje kontrole na novem paru naslovov. Obnovitev povezave je odločitev o usmerjanju, zato vrnitev obravnavajte kot samostojen preizkušen korak, namesto da predpostavljate, da se stara prednost vrne sama.

Zaključite spremembo s kratkim kontrolnim seznamom

Zasnova tunela dual-WAN je končana, ko znate poimenovati par za vsako sejo, ne ko sta oba SA dvignjena. Pojdite skozi spodnji seznam na napravi, ki ste jo dejansko spremenili:

• Vsak obljubljen par ima prehod, enoto st0 in vnos poti.
• Vsak tunel je bil viden, kako prenaša pakete, ne le kako drži SA.
• Oba konca se strinjata o zaznavanju in o tem, katera stran obnovi prednost.
• Povratna pot vsakega para je zapisana poleg njegove poti tja.

Če katera vrstica ne uspe, popravite ta par, preden dodate naslednjega; zlaganje dveh napol delujočih tunelov naredi števce nesmiselne in vedenje failoverja nepredvidljivo.