IPsec преко приватног WAN-а: границе SRX политика које треба проверити

Приватни WAN може преносити спољашње пакете IPsec тунела, па адресе партнера не морају бити јавне интернет адресе. Мења се пут који ти спољашњи пакети прелазе и дозволе на интерфејсу који их прима. На SRX-у су спољашњи контролни пут, повезивање интерфејса тунела и политика прослеђеног саобраћаја три одвојена објекта. Отклањање квара на једном док су друга два погрешна уобичајен је разлог зашто тунел остаје доле.

Прво забележите спољашњи IKE пут

Запишите четири вредности пре него што дирнете политику: адресу партнера, локални интерфејс који прима IKE, контекст усмеравања који стиже до партнера и руту која бира тај интерфејс. IKE пакети су адресирани на сам SRX, па им треба host-inbound дозвола на зони пријема, а не политика прослеђеног саобраћаја. Приватна WAN адреса не уклања тај захтев, јер пакет и даље завршава на уређају.

Проверите инсталирано стање са show security ike sa и конфигурацију са show configuration security ike. Прва показује постоји ли фаза 1; друга показује шта уређај мисли да би требало да ради.

Повежите интерфејс тунела са исправном политиком

VPN заснован на усмеравању повезује интерфејс тунела са VPN објектом, а заштићени префикси се усмеравају у тај интерфејс. Забележите који интерфејс, која рута и која политика дозвољава апликације између релевантних зона. Зона названа trust је контејнер политика, а име не доказује да су потребни контролни или податковни пакети дозвољени.

Читајте стварне везе, а не стари дијаграм: show configuration security ipsec vpn за поставку повезивања са интерфејсом и show configuration security policies за правила која упућују на зону тунела.

Ако заштићена рута показује негде другде, тунел може бити горе док саобраћај никада не улази у њега. То је проблем усмеравања у IPsec костиму.

Држите руту до партнера на underlay-у

Рута до спољашњег партнера мора се решити кроз underlay, а не рекурзивно кроз тунел који успоставља. Ако рута до партнера показује на интерфејс тунела, IKE пакети јуре сопствени тунел и фаза 1 се никада не завршава. Повратни пут за заштићени саобраћај треба сопствену исправну руту и политику, и то је обично половина која недостаје када један смер ради. Прочитајте унос у табели рутирања за адресу партнера и потврдите да је излазни интерфејс WAN интерфејс.

Проверите то са show route 198.51.100.10, уз стварну адресу партнера, и потврдите да следећи хоп није интерфејс тунела.

Проверите контролу и услугу по реду

Радите према горе: стање фазе 1, стање фазе 2, затим стварни ток апликације. show security ipsec sa наводи безбедносне асоцијације, а show security flow session destination-prefix 10.60.0.0/16 показује да ли се стварају прослеђене сесије за заштићену мрежу.

Здрав контролни однос и исправан пут података два су различита резултата, а пролазак фазе 2 ништа не говори о томе да ли политика дозвољава апликацију. Тестирајте један дозвољени ток и један који политика треба да одбије, да разлика буде видљива.

Забележите заједно руту до партнера, host-inbound дозволу, повезивање тунела, унутрашњу руту и политику апликације. Тих пет записа показује који слој поседује будући квар без ослањања на ознаку порта.