IPsec mbi një WAN privat: kufijtë e politikës SRX për t'u kontrolluar

Një WAN privat mund të mbajë paketat e jashtme të një tuneli IPsec, kështu që adresat e partnerit nuk duhet të jenë adresa publike interneti. Ajo që ndryshon është rruga që ndjekin këto paketa të jashtme dhe lejet në ndërfaqen që i pranon. Në një SRX, rruga e kontrollit të jashtëm, lidhja e ndërfaqes së tunelit dhe politika e trafikut të përcjellë janë tre objekte të veçanta. Diagnostikimi i njërës ndërsa dy të tjerat janë të gabuara është arsyeja e zakonshme që një tunel mbetet poshtë.

Së pari regjistroni rrugën e jashtme IKE

Shkruani katër vlera përpara se të prekni politikën: adresën e partnerit, ndërfaqen lokale që pranon IKE, kontekstin e rrugëzimit që arrin partnerin dhe rrugën që zgjedh atë ndërfaqe. Paketat IKE adresohen vetë SRX-së, kështu që kanë nevojë për leje host-inbound në zonën pritëse, jo për një politikë të trafikut të përcjellë. Një adresë WAN private nuk e heq këtë kërkesë, sepse paketa përsëri përfundon në pajisje.

Kontrolloni gjendjen e instaluar me show security ike sa dhe konfigurimin me show configuration security ike. E para tregon nëse ekziston faza 1; e dyta tregon çfarë mendon pajisja se duhet të bëjë.

Lidhni ndërfaqen e tunelit me politikën e duhur

Një VPN e bazuar në rrugëzim lidh një ndërfaqe tuneli me një objekt VPN, dhe prefikset e mbrojtura drejtohen në atë ndërfaqe. Regjistroni cila ndërfaqe, cila rrugë dhe cila politikë i lejon aplikacionet midis zonave përkatëse. Një zonë e quajtur trust është një enë politikash, dhe emri nuk provon që paketat e nevojshme të kontrollit ose të dhënave janë të lejuara.

Lexoni lidhjet reale në vend të një diagrami të vjetër: show configuration security ipsec vpn për cilësimin e lidhjes me ndërfaqen dhe show configuration security policies për rregullat që i referohen zonës së tunelit.

Nëse rruga e mbrojtur tregon diku tjetër, tuneli mund të jetë lart ndërsa trafiku nuk hyn kurrë në të. Ky është një problem rrugëzimi me kostum IPsec.

Mbajeni rrugën e partnerit në underlay

Rruga drejt partnerit të jashtëm duhet të zgjidhet përmes underlay, jo në mënyrë rekursive përmes tunelit që ai krijon. Nëse rruga e partnerit tregon ndërfaqen e tunelit, paketat IKE ndjekin tunelin e tyre dhe faza 1 nuk përfundon kurrë. Rruga e përgjigjes për trafikun e mbrojtur ka nevojë për rrugën dhe politikën e vet të saktë, dhe zakonisht është gjysma që mungon kur një drejtim funksionon. Lexoni hyrjen e tabelës së rrugëzimit për adresën e partnerit dhe konfirmoni që ndërfaqja dalëse është ndërfaqja WAN.

Kontrollojeni me show route 198.51.100.10, duke zëvendësuar adresën reale të partnerit, dhe konfirmoni që hapi tjetër nuk është një ndërfaqe tuneli.

Verifikoni kontrollin dhe shërbimin sipas radhës

Punoni lart: gjendja e fazës 1, gjendja e fazës 2, pastaj një rrjedhë reale aplikacioni. show security ipsec sa rendit shoqatat e sigurisë, dhe show security flow session destination-prefix 10.60.0.0/16 tregon nëse po krijohen sesione të përcjella për rrjetin e mbrojtur.

Një marrëdhënie e shëndoshë kontrolli dhe një rrugë e funksionueshme e dhënave janë dy rezultate të ndryshme, dhe kalimi i fazës 2 nuk thotë asgjë nëse politika lejon aplikacionin. Provoni një rrjedhë të lejuar dhe një që politika duhet ta refuzojë, që diferenca të jetë e dukshme.

Regjistroni së bashku rrugën e partnerit, lejen host-inbound, lidhjen e tunelit, rrugën e brendshme dhe politikën e aplikacionit. Këto pesë shënime tregojnë cili shtresë do të jetë përgjegjëse për një dështim të ardhshëm pa u mbështetur në një etiketë porti.