Junos இரட்டை-WAN IPsec VPN: மூலப் பாதையை சரியான நுழைவாயிலுடன் இணைத்தல்

ஒவ்வொரு தளத்திலும் இரண்டு WAN இணைப்புகள் தேவையற்ற காப்பு போலத் தோன்றும், ஒரு குறிப்பிட்ட ஓட்டம் உண்மையில் எந்த முகவரி இணையைப் பயன்படுத்தியது என்பதை நிரூபிக்க முயலும் வரை. SRX-இல் ஒரு IKE நுழைவாயில் ஒரு வெளிப்புற இடைமுகத்தையும் ஒரு உள்ளூர் முகவரியையும் எடுத்துச் செல்கிறது; தொலை வேட்பாளர்களின் பட்டியல் இரண்டாவது உள்ளூர் மூலத்தை உருவாக்காது. அதனால்தான் இந்த வழிகாட்டி கட்டமைப்பிலிருந்து அல்ல, இணைகளின் அணிவரிசையிலிருந்து தொடங்குகிறது, ஏனெனில் Junos உங்கள் எண்ணத்தின் பாதி சேர்க்கைகளை மட்டுமே உள்ளடக்கிய வடிவமைப்பையும் எளிதாக commit செய்கிறது. இரண்டு SRX345s-இல் இதைச் சந்தித்தேன்: காப்பு சுரங்கம் தூய்மையாக மேலெழுந்தது, திரும்பும் போது இருந்தபோதிலும் அமர்வைக் கீழே இழுத்தது.

படிகளை வரிசையாக முடிக்கவும்: ஆதரிக்க வேண்டிய இணைகளைப் பட்டியலிடுங்கள், ஒவ்வொரு உள்ளூர் மூலத்திற்கும் ஒரு நுழைவாயிலை உருவாக்குங்கள், எந்த இணைப்பு போக்குவரத்தை எடுத்துச் சென்றது என்பதை உறுதிசெய்யுங்கள், அதன் பிறகே ஒவ்வொரு வகை தோல்வியும் எதை மாற்றலாம் என்பதை முடிவு செய்யுங்கள்.

CLI-ஐத் தொடுவதற்கு முன் இணைகளை வரைபடமாக்குங்கள்

தளம் A, A1 அல்லது A2-இலிருந்து மூலத்தை எடுக்க முடிந்தால், தளம் B, B1 அல்லது B2-இல் பெற முடிந்தால், உங்களுக்கு நான்கு வெளிப்புற முகவரி இணைகள் உள்ளன. பெரும்பாலான வடிவமைப்புகளுக்கு அவற்றில் இரண்டு தொடர்ந்து தேவை, மீதமுள்ள இரண்டு விருப்பத்தேர்வாகக் கருதப்படுகின்றன. அணிவரிசையை எழுதி ஒவ்வொரு வரியையும் குறியிடுங்கள், ஏனெனில் நீங்கள் வாக்களிக்கும் ஒவ்வொரு வரியும் பின்னர் ஒரு நுழைவாயில், ஒரு சுரங்க இடைமுகம் மற்றும் ஒரு வழித்தட முடிவாக உங்களுக்கு செலவாகும்.

ஒவ்வொரு தேவையான இணைக்கும் ஒரே நேரத்தில் மூன்று விஷயங்கள் தேவை: சரியாக அந்த முகவரிகளுக்கு இடையே அணுகக்கூடிய underlay, இரு முனைகளிலும் துணையின் அடையாளம் மற்றும் மூல முகவரியின் பரஸ்பர ஏற்பு, மற்றும் பாதுகாக்கப்பட்ட திரும்பும் பாதை. ஒரு திசையில் மட்டும் வேலை செய்யும் இணை இருந்தபோதிலும் சுரங்கத்தைக் காட்டும், தோல்வி பின்னர் பயன்பாட்டின் ஒரு திசைப் போக்குவரத்தாக வெளிப்படும்.

ஒவ்வொரு உள்ளூர் மூலத்திற்கும் ஒரு நுழைவாயில், தொலை தளத்திற்கு அல்ல

தொலை முகவரிகளின் பட்டியல் ஒரு நுழைவாயிலுக்கு உரியது, உள்ளூர் மூலமும் அப்படியே. IKE நுழைவாயில் குறிப்பு தொலை முகவரிகள், வெளிப்புற இடைமுகம், உள்ளூர் முகவரி மற்றும் இறந்த துணை கண்டறிதலை தனித்தனி அமைப்புகளாக வைத்திருக்கிறது, முக்கிய விஷயம் இதுதான்: இரண்டு உள்ளூர் மூலங்கள் என்பது இரண்டு st0 அலகுகளில் இரண்டு நுழைவாயில்கள். அவற்றுக்கிடையே IKE கொள்கையைப் பகிர்வது சரி; ஒரு நுழைவாயிலையே வைத்துக்கொண்டு அது தானாகவே வேறு மூலத்தைத் தேர்ந்தெடுக்கும் என்று நம்புவது சரியல்ல.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

பின்னர் சுரங்கங்களை இணைத்து தொலை முன்னொட்டுக்கு இரண்டு next hop கொடுங்கள், ஒவ்வொரு சுரங்கத்திற்கும் ஒன்று:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

ஒரு நுழைவாயில் address வகை இரண்டு அறிவுறுத்தல்களை வைத்திருக்க முடியுமா என்பது வெளியீட்டையும், சாதனம் எந்த IKE செயல்முறையை இயக்குகிறது என்பதையும் பொறுத்தது. kmd அடிப்படையிலான பழைய Junos ஒரு நுழைவாயிலுக்கு ஒரே தொலை முகவரியை எடுக்கிறது; புதிய பில்ட்கள் பல வேட்பாளர்களைக் கையாள்கின்றன ஆனால் தங்கள் சொந்த கட்டுப்பாடுகளைச் சேர்க்கின்றன, உயர் கிடைக்கும் தன்மை கிளஸ்டர்கள் இந்த ஆதரவு குறுகும் பொதுவான இடம். பழைய சேசியிலிருந்து இதை நகலெடுப்பதற்கு முன் உங்கள் சரியான பில்டுக்கான வெளியீட்டுக் குறிப்புகளைப் பாருங்கள்.

எந்த இணைப்பு பாக்கெட்டை எடுத்துச் சென்றது என்பதை உறுதிசெய்யுங்கள்

இரண்டு SA-களும் இரண்டு சுரங்கங்களும் அமர்வை யார் அனுப்பினர் என்று சொல்லாது. சாதனத்திடம் நேரடியாகக் கேட்டு, புலங்களை நீங்கள் எண்ணிய இணையுடன் ஒப்பிடுங்கள்:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

விரிவான வெளியீடு ஒவ்வொரு இணைப்பிற்கும் உள்ளூர் மற்றும் தொலை நுழைவாயிலைக் குறிப்பிடுகிறது, எதிர்பாராத மூலத்திலிருந்து பேச்சுவார்த்தை செய்யப்பட்ட சுரங்கத்தைக் கண்டறிய இது வேகமான வழி. பின்னர் போக்குவரத்தை அனுப்பும்போது st0.1 மற்றும் st0.2-இல் ஒரு அலகுக்கான பாக்கெட் கவுண்டர்களைப் பாருங்கள்; எதையும் எடுத்துச் செல்லாத சுரங்கம் அதன் SA-ஐ வைத்துக்கொண்டு சுருக்கத்தில் ஆரோக்கியமாகத் தெரியும்.

ஒவ்வொரு தோல்விக்கும் அதன் சொந்த கண்டறிவானைக் கொடுங்கள்

துணையின் உயிர்ப்பு, உள்ளூர் அப்லிங்க் இழப்பு, பாதுகாக்கப்பட்ட வழித்தடத்தின் திரும்பப் பெறுதல் மற்றும் பயன்பாட்டின் முறிவு ஆகியவை நான்கு வேறுபட்ட நிகழ்வுகள். DPD முதல் ஒன்றுக்கு மட்டுமே பதிலளிக்கிறது, எனவே இயல்புநிலையை விட்டுவிட்டு மீதியை அது ஈடுசெய்யும் என்று கருதுவதற்குப் பதிலாக நீங்கள் நியாயப்படுத்தக்கூடிய இடைவெளியுடனும் வரம்புடனும் அமைக்கவும்:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

தொலை சப்நெட்டுக்குள் ஒரு இலக்கைச் சோதிக்கும் சுரங்க கண்காணிப்பு DPD பார்க்க முடியாத நிலையை ஈடுசெய்கிறது: IKE உயிருடன் உள்ளது, நுழைவாயில் பதிலளிக்கிறது, பாதுகாக்கப்பட்ட முன்னொட்டு இருந்தபோதிலும் அணுக முடியாதது. இரண்டில் எது முன்னுரிமையை இழுக்க வேண்டும் என்பதைத் தேர்ந்தெடுங்கள், ஏனெனில் இரண்டும் ஒரே நேரத்தில் செயல்பட்டால் தூய்மையான failover-க்குப் பதிலாக மாற்றங்களின் புயல் ஏற்படும்.

தொலை முனையை மறக்காதீர்கள். தொலை தளத்தில் நிறுவப்பட்ட முன்னுரிமை வழித்தடம் நீங்கள் ஏற்கனவே கைவிட்ட சுரங்கத்தை நோக்கியே சுட்டிக்காட்டிக்கொண்டிருக்கும், எந்த உள்ளூர் டைமரும் அதைச் சரிசெய்யாது. அதே முன்னுரிமை தர்க்கத்தை இரு துணைகளிலும் வெளியிடுங்கள், மீட்கப்பட்ட இணைப்பு போக்குவரத்தைத் தானாகவே திரும்பப் பெறலாமா அல்லது கைமுறையாக மாற்ற வேண்டுமா என்பதைப் பதிவு செய்யுங்கள்.

மற்றொன்றைத் தொடாமல் ஒரு இணைப்பை மீண்டும் முகவரியிடுங்கள்

ISP உங்களுக்கு புதிய தொகுதியைக் கொடுக்கும்போது, ஒரு நேரத்தில் ஒரு உறவை மட்டும் மாற்றுங்கள். அந்த இணைக்கு இரு துணைகளிலும் address அல்லது local-address-ஐப் புதுப்பித்து, commit செய்து, சாதனத்தில் உள்ள அனைத்து SA-களையும் அழிப்பதற்குப் பதிலாக பாதிக்கப்பட்ட இணைப்புகளை மட்டும் குறியீட்டால் அழிக்கவும். முழுமையான அழிப்பு ஆரோக்கியமான சுரங்கத்தையும் எடுத்துச் சென்று பராமரிப்பு சாளரத்தை முடக்கமாக மாற்றும்.

எதையும் சுத்தம் செய்வதற்கு முன் ஒரு தோல்வியடைந்த ஓட்டத்தையும் அதன் அமர்வு விவரங்களையும் சான்றாக வைத்துக்கொண்டு, பின்னர் மேலே உள்ள சோதனைகளை புதிய முகவரி இணையில் மீண்டும் இயக்கவும். இணைப்பை மீட்டெடுப்பது ஒரு வழித்தட முடிவு, எனவே பழைய முன்னுரிமை தானாகவே திரும்பும் என்று கருதுவதற்குப் பதிலாக திரும்புதலை தனி சோதிக்கப்பட்ட படியாகக் கருதுங்கள்.

மாற்றத்தை சிறிய சரிபார்ப்புப் பட்டியலுடன் மூடுங்கள்

இரட்டை-WAN சுரங்க வடிவமைப்பு ஒவ்வொரு அமர்வின் பின்னால் உள்ள இணையைப் பெயரிட முடிந்தால் முடிந்தது, இரு SA-களும் மேலே இருக்கும்போது அல்ல. கீழே உள்ள பட்டியலை நீங்கள் உண்மையில் மாற்றிய சாதனத்தில் பாருங்கள்:

• ஒவ்வொரு வாக்களிக்கப்பட்ட இணைக்கும் ஒரு நுழைவாயில், ஒரு st0 அலகு மற்றும் ஒரு வழித்தடப் பதிவு உள்ளது.
• ஒவ்வொரு சுரங்கமும் பாக்கெட்டுகளை எடுத்துச் செல்வதைப் பார்த்திருக்கிறோம், SA-ஐ மட்டும் வைத்திருப்பதை அல்ல.
• இரு முனைகளும் கண்டறிதல் மற்றும் எந்தப் பக்கம் முன்னுரிமையை மீட்டெடுக்கிறது என்பதில் உடன்படுகின்றன.
• ஒவ்வொரு இணையின் திரும்பும் பாதையும் அதன் செல்லும் பாதையின் அருகில் எழுதப்பட்டுள்ளது.

ஏதேனும் வரி தோல்வியடைந்தால், அடுத்ததைச் சேர்ப்பதற்கு முன் அந்த இணையைச் சரிசெய்யுங்கள்; இரண்டு பாதி இயங்கும் சுரங்கங்களை ஒன்றின் மேல் ஒன்றாக வைப்பது கவுண்டர்களை அர்த்தமற்றதாகவும் failover நடத்தையை கணிக்க முடியாததாகவும் ஆக்குகிறது.