Junos Dual-WAN IPsec VPN: повезивање изворне путање са правим гејтвејем

Преглед SRX у Junos-у за dual-WAN IPsec: повежите сваки локални извор са његовим кандидатним гејтвејовима, а затим докажите која је асоцијација заиста пренела саобраћај.

Две WAN везе по локацији изгледају као редунданција док не покушате да докажете који је пар адреса одређени ток заиста користио. На SRX-у један IKE гејтвеј носи једно спољашње сучеље и једну локалну адресу; листа удаљених кандидата не ствара други локални извор. Зато овај преглед почиње матрицом парова, а не конфигурацијом, јер Junos без оклевања комитује дизајн који покрива само половину предвиђених комбинација. На то сам наишао на два SRX345s: резервни тунел се чисто подигао и ипак је оборио сесију при повратку.

Прођите кроз кораке редом: набројте парове које морате да подржите, изградите један гејтвеј по локалном извору, потврдите која је асоцијација пренела саобраћај и тек онда одлучите шта сме да промени која врста квара.

Мапирајте парове пре него што додирнете CLI

Ако локација A може да излази из A1 или A2, а локација B може да прима на B1 или B2, имате четири спољашња пара адреса. Већина дизајна треба два од њих стално, а друга два третира као опциона. Запишите матрицу и означите сваки ред, јер сваки обећани ред касније кошта гејтвеј, тунелско сучеље и одлуку о рутирању.

Local sourceRemote candidateRequired?
A1, ISP1 addressB1steady state
A1, ISP1 addressB2decide explicitly
A2, ISP2 addressB1decide explicitly
A2, ISP2 addressB2backup path

Сваки потребни пар треба три ствари истовремено: доступан underlay између тачно тих адреса, узајамно прихватање идентитета партнера и изворне адресе на оба краја, и заштићену повратну путању. Пар који ради само у једном смеру ипак покаже тунел, а квар се касније појави као једносмерни саобраћај апликације.

Један гејтвеј по локалном извору, не по удаљеној локацији

Листа удаљених адреса припада гејтвеју, као и локални извор. референца IKE гејтвејова држи удаљене адресе, спољашње сучеље, локалну адресу и откривање мртвог партнера као одвојене поставке, и управо је то поента: два локална извора значе два гејтвеја на две јединице st0. Дељење IKE политике између њих је у реду; задржати један гејтвеј и надати се да ће сам изабрати други извор није.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Затим прикључите тунеле и дајте удаљеном префиксу два next hop-а, по један на тунел:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Да ли један гејтвеј може да држи две инструкције типа address зависи од издања и од тога који процес IKE уређај извршава. Старији Junos заснован на kmd прихвата једну удаљену адресу по гејтвеју; новије градње савладавају више кандидата, али додају сопствена ограничења, а кластери високе доступности су често место где се та подршка сужава. Проверите белешке о издању за своју тачну градњу пре него што то копирате са старијег кућишта.

Потврдите која је асоцијација пренела пакет

Два SA и два тунела не говоре која је од њих проследила сесију. Питајте уређај директно и упоредите поља са паром који сте намеравали:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Детаљни испис наводи локални и удаљени гејтвеј за сваку асоцијацију, што је најбржи начин да уочите тунел који се договорио са извора којем се нисте надали. Затим посматрајте бројаче пакета по јединици на st0.1 и st0.2 док пропуштате саобраћај; тунел који ништа не носи задржава свој SA и у прегледу изгледа здраво.

Дајте свакој врсти квара сопствени детектор

Живост партнера, губитак локалног uplink-а, повлачење заштићене руте и квар апликације су четири различита догађаја. DPD одговара само на први, па га поставите са интервалом и прагом које можете да браните уместо да оставите подразумевану вредност и претпоставите да покрива остало:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Надгледање тунела које тестира одредиште унутар удаљене подмреже покрива случај који DPD не види: IKE је жив, гејтвеј одговара, а заштићени префикс је ипак недоступан. Изаберите који од двају треба да вуче предност, јер ако се оба активирају истовремено настаје олуја промена уместо чистог пребацивања.

Не заборавите други крај. Преферирана рута која остане на удаљеној локацији и даље показује у тунел који сте већ напустили, и ниједан локални тајмер то не поправља. Објавите исту логику предности на оба партнера и забележите сме ли обновљена веза аутоматски да преузме саобраћај или мора ручно да се пребаци.

Поново адресирајте једну везу без дирања друге

Кад вам ISP додели нови блок, мењајте један однос одједном. Ажурирајте address или local-address на оба партнера за тај пар, направите commit и очистите само захваћене асоцијације по индексу уместо да чистите све SA на уређају. Глобално чишћење односи и здрави тунел и претвара сервисни прозор у испад.

Сачувајте један неуспели ток и појединости његове сесије као доказ пре него што било шта почистите, затим поново покрените горње провере на новом пару адреса. Враћање везе је одлука о рутирању, зато повратак третирајте као засебан испробан корак уместо да претпостављате да се стара предност враћа сама.

Затворите промену кратким списком провера

Дизајн dual-WAN тунела је готов кад можете да именујете пар иза сваке сесије, а не кад су оба SA подигнута. Прођите доњи списак на уређају који сте заиста променили:

  • Сваки обећани пар има гејтвеј, јединицу st0 и унос руте.
  • Сваки је тунел виђен како носи пакете, а не само како држи SA.
  • Оба се краја слажу о откривању и о томе која страна обнавља предност.
  • Повратна путања сваког пара записана је уз његову путању тамо.

Ако неки ред не успе, поправите тај пар пре него што додате следећи; слагање двају напола функционалних тунела чини бројаче бесмисленим, а понашање failover-а непредвидивим.

Повезани чланци