IPsec juu ya WAN ya kibinafsi: mipaka ya sera za SRX za kukaguliwa

WAN ya kibinafsi inaweza kubeba pakiti za nje za handaki la IPsec, kwa hivyo anwani za mwenza hazihitaji kuwa anwani za umma za intaneti. Kinachobadilika ni njia ambayo pakiti hizo za nje hupita na ruhusa kwenye kiolesura kinachozipokea. Kwenye SRX, njia ya udhibiti ya nje, uunganishaji wa kiolesura cha handaki na sera ya trafiki inayopelekwa ni vitu vitatu tofauti. Kutatua tatizo moja wakati vingine viwili si sahihi ndiyo sababu ya kawaida handaki kubaki chini.

Kwanza andika njia ya nje ya IKE

Andika thamani nne kabla ya kugusa sera: anwani ya mwenza, kiolesura cha ndani kinachopokea IKE, muktadha wa uelekezaji unaofikia mwenza na njia inayochagua kiolesura hicho. Pakiti za IKE zinaelekezwa kwa SRX yenyewe, kwa hivyo zinahitaji ruhusa ya host-inbound katika eneo la upokeaji, si sera ya trafiki inayopelekwa. Anwani ya WAN ya kibinafsi haiondoi hitaji hilo, kwa sababu pakiti bado inaishia kwenye kifaa.

Kagua hali iliyosakinishwa kwa show security ike sa na usanidi kwa show configuration security ike. Ya kwanza inasema kama awamu 1 ipo; ya pili inasema kifaa kinachofikiri kinapaswa kufanya.

Unganisha kiolesura cha handaki na sera sahihi

VPN inayotegemea uelekezaji inaunganisha kiolesura cha handaki na kitu cha VPN, na viambishi vilivyolindwa huelekezwa kwenye kiolesura hicho. Andika ni kiolesura gani, njia ipi na sera ipi inaruhusu programu kati ya maeneo husika. Eneo linaloitwa trust ni chombo cha sera, na jina hakithibitishi kwamba pakiti za udhibiti au data zinazohitajika zimeruhusiwa.

Soma uunganishaji halisi badala ya mchoro wa zamani: show configuration security ipsec vpn kwa mpangilio wa kuunganisha na kiolesura na show configuration security policies kwa sheria zinazorejelea eneo la handaki.

Ikiwa njia iliyolindwa inaelekeza mahali pengine, handaki linaweza kuwa juu wakati trafiki haingii kamwe. Hii ni tatizo la uelekezaji lililovaa mavazi ya IPsec.

Weka njia ya mwenza kwenye underlay

Njia ya kufikia mwenza wa nje lazima itatuliwe kupitia underlay, si kwa kurudia kupitia handaki inalounda. Ikiwa njia ya mwenza inaelekeza kwenye kiolesura cha handaki, pakiti za IKE zinafukuza handaki yao wenyewe na awamu 1 haikamiliki kamwe. Njia ya jibu ya trafiki iliyolindwa inahitaji njia na sera zake sahihi, na kwa kawaida hiyo ndiyo nusu inayokosekana wakati mwelekeo mmoja unafanya kazi. Soma ingizo la jedwali la njia kwa anwani ya mwenza na uthibitishe kwamba kiolesura cha kutoka ni kiolesura cha WAN.

Kagua kwa show route 198.51.100.10, ukiweka anwani halisi ya mwenza, na uthibitishe kwamba hop inayofuata si kiolesura cha handaki.

Thibitisha udhibiti na huduma kwa mpangilio

Fanya kazi juu: hali ya awamu 1, hali ya awamu 2, kisha mtiririko halisi wa programu. show security ipsec sa inaorodhesha vyama vya usalama, na show security flow session destination-prefix 10.60.0.0/16 inaonyesha kama vipindi vinavyopelekwa vinaundwa kwa ajili ya mtandao uliolindwa.

Uhusiano mzuri wa udhibiti na njia ya data inayofanya kazi ni matokeo mawili tofauti, na kupita awamu 2 hakuambii chochote kuhusu kama sera inaruhusu programu. Jaribu mtiririko mmoja ulioruhusiwa na mmoja ambao sera inapaswa kuukataa, ili tofauti ionekane.

Andika pamoja njia ya mwenza, ruhusa ya host-inbound, uunganishaji wa handaki, njia ya ndani na sera ya programu. Rekodi hizi tano zinaonyesha tabaka lipi linalomiliki hitilafu ya baadaye bila kutegemea lebo ya bandari.