VPN IPsec me dy WAN në Junos: përputhja e rrugës burimore me portalin e duhur

Dy lidhje WAN për vendndodhje duken si tepricë derisa të përpiqeni të provoni se cili palë adresash përdori vërtet një rrjedhë e caktuar. Në një SRX, një portë IKE mban një ndërfaqe të jashtme dhe një adresë lokale; lista e kandidatëve të largët nuk krijon një burim të dytë lokal. Prandaj ky udhëzues fillon me matricën e palëve dhe jo me konfigurimin, sepse Junos commit-on pa hezitim një projekt që mbulon vetëm gjysmën e kombinimeve që kishit parasysh. Këtë e hasa në dy SRX345s: tuneli rezervë u ngrit pastër dhe gjithsesi e rrëzoi sesionin kur u kthye.

Ndiqui hapat me radhë: renditni palët që duhet të mbështeteni, ndërtoni një portë për çdo burim lokal, konfirmoni cila shoqatë e mbajti trafikun dhe vetëm pastaj vendosni çfarë mund të ndryshojë çdo lloj defekti.

Hartoni palët para se të prekni CLI-n

Nëse vendi A mund të buronte nga A1 ose A2 dhe vendi B mund të pranonte në B1 ose B2, keni katër palë adresash të jashtme. Shumica e projekteve kanë nevojë për dy prej tyre vazhdimisht dhe i trajtojnë dy të tjerat si opsionale. Shkruani matricën dhe shënoni çdo rresht, sepse çdo rresht i premtuar ju kushton më vonë një portë, një ndërfaqe tuneli dhe një vendim rrugëtimi.

Çdo palë e nevojshme kërkon tre gjëra njëkohësisht: një underlay të arritshëm midis pikërisht atyre adresave, pranim të ndërsjellë të identitetit të partnerit dhe adresës burimore në të dy skajet, dhe një rrugë kthimi të mbrojtur. Një palë që funksionon vetëm në një drejtim gjithsesi tregon një tunel, dhe defekti shfaqet më vonë si trafik aplikacioni njëdrejtimësh.

Një portë për çdo burim lokal, jo për çdo vend të largët

Lista e adresave të largëta i përket një porte, dhe po ashtu burimi lokal. referenca e portave IKE mban adresat e largëta, ndërfaqen e jashtme, adresën lokale dhe zbulimin e partnerit të vdekur si cilësime të veçanta, dhe pikërisht ky është qëllimi: dy burime lokale do të thotë dy porta mbi dy njësi st0. Ndarja e politikës IKE midis tyre është në rregull; mbajtja e një porte të vetme dhe shpresa se do të zgjedhë vetë një burim tjetër nuk është.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Pastaj lidhni tunelat dhe jepini prefiksit të largët dy next hop, një për çdo tunel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Nëse një portë e vetme mund të mbajë dy udhëzime të tipit address varet nga versioni dhe nga procesi IKE që ekzekuton pajisja. Junos i vjetër i bazuar në kmd pranon një adresë të vetme të largët për portë; ndërtimet e reja trajtojnë disa kandidatë por shtojnë kufizimet e tyre, dhe grupimet e disponueshmërisë së lartë janë një vend i zakonshëm ku ai mbështetje ngushtohet. Kontrolloni shënimet e versionit për ndërtimin tuaj të saktë përpara se ta kopjoni këtë nga një shasi më e vjetër.

Konfirmoni cila shoqatë e mbajti paketën

Dy SA dhe dy tunele nuk tregojnë se cili prej tyre e përcolli sesionin. Pyetni pajisjen drejtpërdrejt dhe krahasoni fushat me palën që kishit parasysh:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Dalja e detajuar përmend portën lokale dhe të largët për çdo shoqatë, që është mënyra më e shpejtë për të vënë re një tunel të negocuar nga një burim që nuk e prisnit. Pastaj vëzhgoni numëruesit e paketave për njësi në st0.1 dhe st0.2 ndërsa kaloni trafik; një tunel që nuk mbart asgjë e mban SA-në e tij dhe duket i shëndetshëm në një përmbledhje.

Jepini çdo lloj defekti detektorin e vet

Gjallëria e partnerit, humbja e lidhjes së sipërme lokale, tërheqja e rrugës së mbrojtur dhe prishja e aplikacionit janë katër ngjarje të ndryshme. DPD përgjigjet vetëm për të parën, ndaj konfiguroni atë me interval dhe prag që mund t'i mbrojë, në vend që të lini vlerën e parazgjedhur dhe të supozoni se mbulon pjesën tjetër:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Monitorimi i tunelit që teston një destinacion brenda nënrrjetit të largët mbulon rastin që DPD nuk e sheh: IKE është gjallë, porta përgjigjet dhe prefiksi i mbrojtur gjithsesi është i paarritshëm. Zgjidhni cili prej të dyve duhet të tërheqë përparësinë, sepse nëse të dy aktivizohen njëkohësisht krijohet një stuhi ndryshimesh në vend të një kalimi të pastër.

Mos harroni skajin e largët. Një rrugë e preferuar që mbetet e instaluar në vendin e largët vazhdon të tregojë drejt një tuneli që e keni braktisur, dhe asnjë kohëmatës lokal nuk e rregullon këtë. Publikoni të njëjtën logjikë përparësie në të dy partnerët dhe shënoni nëse një lidhje e rikuperuar mund ta marrë trafikun automatikisht ose duhet ndërruar me dorë.

Riadresoni një lidhje pa prekur tjetrën

Kur ofruesi ju jep një bllok të ri, ndryshoni një marrëdhënie në një herë. Përditësoni address ose local-address në të dy partnerët për atë palë, bëni commit dhe fshini vetëm shoqatat e prekura sipas indeksit në vend që të fshini të gjitha SA-të në pajisje. Fshirja globale merr edhe tunelin e shëndetshëm dhe e kthen një dritare mirëmbajtjeje në ndërprerje.

Ruani një rrjedhë të dështuar dhe detajet e sesionit të saj si provë përpara se të pastroni çdo gjë, pastaj rikandoni kontrollet më sipër në palën e re të adresave. Rikthimi i një lidhjeje është vendim rrugëtimi, prandaj trajtojeni kthimin si një hap të testuar më vete në vend që të supozoni se përparësia e vjetër kthehet vetvetiu.

Mbylleni ndryshimin me një listë kontrolli të shkurtër

Një projekt tuneli me dy WAN përfundon kur mund të emërtoni palën pas çdo sesioni, jo kur të dy SA-të janë lart. Kaloni listën më poshtë në pajisjen që keni ndryshuar vërtet:

• Çdo palë e premtuar ka një portë, një njësi st0 dhe një zë rruge.
• Çdo tunel është parë duke mbartur paketa, jo vetëm duke mbajtur një SA.
• Të dy skajet bien dakord për zbulimin dhe për atë se cila anë riktheon përparësinë.
• Rruga e kthimit e çdo pale është shkruar pranë rrugës së saj të shkuarjes.

Nëse një rresht nuk qëndron, rregulloni atë palë përpara se të shtoni tjetrën; grumbullimi i dy tuneleve gjysmëfunksionalë i bën numëruesit të pakuptimtë dhe sjelljen e failover-it të paparashikueshme.