IPsec prek zasebnega WAN: meje pravil SRX, ki jih je treba preveriti

Zasebni WAN lahko prenaša zunanje pakete tunela IPsec, zato naslovom partnerja ni treba biti javni internetni naslovi. Spremeni se pot, po kateri potujejo ti zunanji paketi, in dovoljenja na vmesniku, ki jih sprejema. Na SRX so zunanja krmilna pot, vezava vmesnika tunela in pravilo za posredovani promet tri ločeni objekti. Odpravljanje napake v enem, medtem ko sta druga dva napačna, je običajen razlog, da tunel ostane spodaj.

Najprej zabeležite zunanjo pot IKE

Preden se dotaknete pravila, zapišite štiri vrednosti: naslov partnerja, lokalni vmesnik, ki sprejema IKE, kontekst usmerjanja, ki doseže partnerja, in pot, ki izbere ta vmesnik. Paketi IKE so naslovljeni na sam SRX, zato potrebujejo dovoljenje host-inbound v sprejemnem območju, ne pravila za posredovani promet. Zasebni naslov WAN te zahteve ne odpravi, ker se paket še vedno konča na napravi.

Preverite nameščeno stanje s show security ike sa in konfiguracijo s show configuration security ike. Prva pokaže, ali faza 1 obstaja; druga pokaže, kaj naprava meni, da bi morala početi.

Povežite vmesnik tunela s pravilnim pravilom

VPN, ki temelji na usmerjanju poveže vmesnik tunela z objektom VPN, zaščitene predpone pa se usmerijo v ta vmesnik. Zabeležite, kateri vmesnik, katera pot in katero pravilo dovoljuje aplikacije med ustreznimi območji. Območje z imenom trust je vsebnik pravil in ime ne dokazuje, da so zahtevani krmilni ali podatkovni paketi dovoljeni.

Berite dejanske vezave namesto stare sheme: show configuration security ipsec vpn za nastavitev vezave na vmesnik in show configuration security policies za pravila, ki se sklicujejo na območje tunela.

Če zaščitena pot kaže drugam, je tunel lahko gor, medtem ko promet nikoli ne vstopi vanj. To je problem usmerjanja v kostumu IPsec.

Držite pot do partnerja na underlayu

Pot do zunanjega partnerja se mora razrešiti prek underlaya, ne rekurzivno prek tunela, ki ga vzpostavi. Če pot do partnerja kaže na vmesnik tunela, paketi IKE lovijo svoj lastni tunel in faza 1 se nikoli ne konča. Povratna pot za zaščiten promet potrebuje svojo pravilno pot in pravilo, in to je običajno manjkajoča polovica, ko ena smer deluje. Preberite vnos v tabeli usmerjanja za naslov partnerja in potrdite, da je izhodni vmesnik vmesnik WAN.

Preverite to s show route 198.51.100.10, z vstavljenim resničnim naslovom partnerja, in potrdite, da naslednji skok ni vmesnik tunela.

Preverite krmiljenje in storitev po vrsti

Delajte navzgor: stanje faze 1, stanje faze 2, nato resnični tok aplikacije. show security ipsec sa našteje varnostne asociacije, in show security flow session destination-prefix 10.60.0.0/16 pokaže, ali se za zaščiteno omrežje ustvarjajo posredovane seje.

Zdravo krmilno razmerje in delujoča podatkovna pot sta dva različna rezultata, in uspešna faza 2 ne pove ničesar o tem, ali pravilo dovoljuje aplikacijo. Preizkusite en dovoljen tok in enega, ki bi ga pravilo moralo zavrniti, da bo razlika vidna.

Skupaj zabeležite pot do partnerja, dovoljenje host-inbound, vezavo tunela, notranjo pot in pravilo aplikacije. Teh pet zapisov pokaže, katera plast bo odgovorna za prihodnjo okvaro, ne da bi se zanašali na oznako vrat.