VPN ya IPsec ya WAN Mbili kwenye Junos: kuoanisha njia ya chanzo na lango sahihi

Viungo viwili vya WAN kwa kila tovuti vinaonekana kama akiba hadi ujaribu kuthibitisha jozi gani la anwani fluji fulani ilitumia kweli. Kwenye SRX, lango moja la IKE hubeba kiolesura kimoja cha nje na anwani moja ya ndani; orodha ya wagombea wa mbali haitengenezi chanzo cha pili cha ndani. Ndiyo sababu mwongozo huu unaanza na matriki ya jozi na si na usanidi, kwa sababu Junos hucommit kwa urahisi muundo unaofunika nusu ya michanganyiko uliyokusudia. Nilikutana na hili kwenye SRX345s mbili: handaki la akiba liliinuka safi na bado likaangusha kipindi wakati wa kurudi.

Pitia hatua kwa mpangilio: orodhesha jozi unazopaswa kuzisaidia, jenga lango moja kwa kila chanzo cha ndani, thibitisha muungano upi ulibeba trafiki, na baada ya hapo tu amua kila aina ya hitilafu inaweza kubadilisha nini.

Panga ramani ya jozi kabla ya kugusa CLI

Ikiwa tovuti A inaweza kutoa chanzo kutoka A1 au A2 na tovuti B inaweza kupokea kwenye B1 au B2, una jozi nne za anwani za nje. Miundo mingi inahitaji mbili kati yao daima na kuchukua nyingine mbili kama za hiari. Andika matriki na uweke alama kwenye kila mstari, kwa sababu kila mstari unaoahidi utakugharimu lango, kiolesura cha handaki na uamuzi wa uelekezaji baadaye.

Kila jozi inayohitajika inahitaji vitu vitatu kwa wakati mmoja: underlay inayofikika kati ya anwani hizo, kukubaliana kwa pande zote kuhusu utambulisho wa mwenzake na anwani ya chanzo kwenye ncha zote mbili, na njia ya kurudi iliyolindwa. Jozi inayofanya kazi upande mmoja tu bado itaonyesha handaki, na hitilafu itaonekana baadaye kama trafiki ya programu ya upande mmoja.

Lango moja kwa kila chanzo cha ndani, si kwa kila tovuti ya mbali

Orodha ya anwani za mbali ni mali ya lango, na chanzo cha ndani pia. marejeo ya malango ya IKE huweka anwani za mbali, kiolesura cha nje, anwani ya ndani na utambuzi wa mwenzake aliyekufa kama mipangilio tofauti, na hiyo ndiyo hoja: vyanzo viwili vya ndani vinamaanisha malango mawili kwenye vitengo viwili vya st0. Kushiriki sera ya IKE kati yao ni sawa; kubakiza lango moja na kutumaini litachagua chanzo kingine lenyewe si sawa.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Kisha unganisha handaki na upe kiambishi cha mbali next hop mbili, moja kwa kila handaki:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Ikiwa lango moja linaweza kubeba maagizo mawili ya aina ya address inategemea toleo na mchakato wa IKE unaoendeshwa na kifaa. Junos ya zamani yenye msingi wa kmd inapokea anwani moja ya mbali kwa kila lango; builds mpya hushughulikia wagombea kadhaa lakini huongeza vikwazo vyake, na makundi ya upatikanaji wa juu ni mahali pa kawaida ambapo usaidizi huo hupungua. Angalia madokezo ya toleo kwa build yako kamili kabla ya kunakili hili kutoka chasi ya zamani.

Thibitisha muungano upi ulibeba pakiti

SA mbili na handaki mbili hazisemi lipi lilisambaza kipindi. Uliza kifaa moja kwa moja na ulinganishe sehemu na jozi uliyokusudia:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Matokeo ya kina hutaja lango la ndani na la mbali kwa kila muungano, ambayo ni njia ya haraka zaidi ya kuona handaki lililojadiliwa kutoka chanzo usichokitarajia. Kisha angalia vihesabu vya pakiti kwa kila kitengo kwenye st0.1 na st0.2 unapopitisha trafiki; handaki lisilobeba chochote hubakiza SA yake na huonekana mzima katika muhtasari.

Ipe kila aina ya hitilafu kigunduzi chake

Uhai wa mwenzake, upotevu wa kiungo cha juu cha ndani, kuondolewa kwa njia iliyolindwa na kuharibika kwa programu ni matukio manne tofauti. DPD hujibu la kwanza tu, kwa hivyo isanidi kwa muda na kizingiti unachoweza kukitetea badala ya kuacha chaguo-msingi na kudhani linafunika mengine:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Ufuatiliaji wa handaki unaojaribu lengo ndani ya subnet ya mbali hufunika hali ambayo DPD haiioni: IKE iko hai, lango linajibu, na kiambishi kilicholindwa bado hakifikiki. Chagua lipi kati ya mawili linapaswa kuvuta kipaumbele, kwa sababu ikiwa yote yatawashwa kwa wakati mmoja unapata dhoruba ya mabadiliko badala ya ubadilishaji safi.

Usisahau ncha ya mbali. Njia inayopendelewa inayobaki imewekwa kwenye tovuti ya mbali inaendelea kuelekeza kwenye handaki uliloliacha, na hakuna kipima muda cha ndani kinachorekebisha hilo. Tangaza mantiki hiyo hiyo ya kipaumbele kwa wenzako wote wawili, na uandike kama kiungo kilichorejeshwa kinaweza kuchukua trafiki yenyewe au lazima kibadilishwe kwa mkono.

Badilisha anwani ya kiungo kimoja bila kugusa kingine

Mtoa huduma anapokupa bloku mpya, badilisha uhusiano mmoja kwa wakati. Sasisha address au local-address kwa wenzako wote wawili kwa jozi hilo, fanya commit, na ufute tu muungano ulioathirika kwa fahirisi badala ya kufuta SA zote kwenye kifaa. Kufuta kote huchukua pia handaki lililo mzima na kubadilisha dirisha la matengenezo kuwa kukatika.

Hifadhi fluji moja iliyoshindwa na maelezo ya kipindi chake kama ushahidi kabla ya kusafisha chochote, kisha endesha tena ukaguzi ulio juu kwenye jozi jipya la anwani. Kurejesha kiungo ni uamuzi wa uelekezaji, kwa hivyo chukulia kurudi kama hatua iliyojaribiwa yenyewe badala ya kudhani kipaumbele cha zamani kinarudi chenyewe.

Funga mabadiliko kwa orodha fupi ya ukaguzi

Muundo wa handaki la WAN mbili umekamilika unapoweza kutaja jozi lililo nyuma ya kila kipindi, si wakati SA zote mbili zimeinuka. Pitia orodha iliyo chini kwenye kifaa ulichokibadilisha kweli:

• Kila jozi lililoahidiwa lina lango, kitengo cha st0 na ingizo la njia.
• Kila handaki limeonekana likibeba pakiti, si kushika SA tu.
• Ncha zote mbili zinakubaliana kuhusu utambuzi na upande upi unarejesha kipaumbele.
• Njia ya kurudi ya kila jozi imeandikwa kando ya njia yake ya kwenda.

Ikiwa mstari wowote unashindwa, rekebisha jozi hilo kabla ya kuongeza linalofuata; kurundika handaki mbili zinazofanya kazi nusu hufanya vihesabu visiwe na maana na tabia ya failover isitabirike.