தனியார் WAN மீது IPsec: சரிபார்க்க வேண்டிய SRX கொள்கை எல்லைகள்

தனியார் WAN ஒன்று IPsec சுரங்கத்தின் வெளிப்புறப் பாக்கெட்டுகளை எடுத்துச் செல்ல முடியும், எனவே சக முகவரிகள் பொது இணைய முகவரிகளாக இருக்க வேண்டியதில்லை. மாறுவது என்னவென்றால், அந்த வெளிப்புறப் பாக்கெட்டுகள் செல்லும் பாதையும், அவற்றைப் பெறும் இடைமுகத்தின் அனுமதிகளும் ஆகும். SRX ஒன்றில், வெளிப்புறக் கட்டுப்பாட்டுப் பாதை, சுரங்க இடைமுகப் பிணைப்பு மற்றும் அனுப்பப்படும் போக்குவரத்துக் கொள்கை ஆகியவை மூன்று தனித்தனி பொருட்கள். மற்ற இரண்டும் தவறாக இருக்கும்போது ஒன்றை மட்டும் சரிசெய்வதே சுரங்கம் கீழே இருப்பதற்கான வழக்கமான காரணம்.

முதலில் வெளிப்புற IKE பாதையைப் பதிவு செய்யுங்கள்

கொள்கையைத் தொடுவதற்கு முன் நான்கு மதிப்புகளை எழுதுங்கள்: சக முகவரி, IKE பெறும் உள்ளூர் இடைமுகம், சகத்தை அடையும் வழிசெலுத்தல் சூழல் மற்றும் அந்த இடைமுகத்தைத் தேர்ந்தெடுக்கும் பாதை. IKE பாக்கெட்டுகள் SRX-ஐயே நோக்கி அனுப்பப்படுகின்றன, எனவே அவற்றுக்குப் பெறும் மண்டலத்தில் host-inbound அனுமதி தேவை, அனுப்பப்படும் போக்குவரத்துக் கொள்கை அல்ல. தனியார் WAN முகவரி அந்தத் தேவையை நீக்காது, ஏனெனில் பாக்கெட் இன்னும் சாதனத்தில் முடிகிறது.

நிறுவப்பட்ட நிலையை இதன் மூலம் சரிபார்க்கவும்: show security ike sa மற்றும் உள்ளமைவை இதன் மூலம்: show configuration security ike. முதலாவது கட்டம் 1 உள்ளதா என்பதைக் கூறும்; இரண்டாவது சாதனம் என்ன செய்ய வேண்டும் என்று நினைக்கிறது என்பதைக் கூறும்.

சுரங்க இடைமுகத்தைச் சரியான கொள்கையுடன் பிணைக்கவும்

வழிசெலுத்தல் அடிப்படையிலான VPN ஒரு சுரங்க இடைமுகத்தை VPN பொருளுடன் பிணைக்கிறது, பாதுகாக்கப்பட்ட முன்னொட்டுகள் அந்த இடைமுகத்திற்கு வழிசெலுத்தப்படுகின்றன. எந்த இடைமுகம், எந்தப் பாதை மற்றும் எந்தக் கொள்கை தொடர்புடைய மண்டலங்களுக்கிடையேயான பயன்பாடுகளை அனுமதிக்கிறது என்பதைப் பதிவு செய்யுங்கள். trust எனப்படும் மண்டலம் ஒரு கொள்கைக் கொள்கலன், அந்தப் பெயர் தேவையான கட்டுப்பாட்டு அல்லது தரவுப் பாக்கெட்டுகள் அனுமதிக்கப்படுகின்றன என்பதை நிரூபிக்காது.

பழைய வரைபடத்திற்குப் பதிலாக உண்மையான பிணைப்புகளைப் படியுங்கள்: show configuration security ipsec vpn இடைமுகத்துடன் பிணைக்கும் அமைப்பிற்கும் show configuration security policies சுரங்க மண்டலத்தைக் குறிக்கும் விதிகளுக்கும்.

பாதுகாக்கப்பட்ட பாதை வேறு இடத்தைக் காட்டினால், சுரங்கம் மேலே இருக்கலாம் ஆனால் போக்குவரத்து ஒருபோதும் அதில் நுழையாது. இது IPsec உடை அணிந்த வழிசெலுத்தல் சிக்கல்.

சக பாதையை underlay-ல் வைத்திருங்கள்

வெளிப்புற சகத்திற்கான பாதை underlay வழியாகத் தீர்க்கப்பட வேண்டும், அது உருவாக்கும் சுரங்கத்தின் வழியாக மீளுருவாக்கமாக அல்ல. சக பாதை சுரங்க இடைமுகத்தைக் காட்டினால், IKE பாக்கெட்டுகள் தங்கள் சொந்த சுரங்கத்தைத் துரத்துகின்றன, கட்டம் 1 ஒருபோதும் நிறைவடையாது. பாதுகாக்கப்பட்ட போக்குவரத்தின் பதில் பாதைக்கு அதன் சொந்த சரியான பாதையும் கொள்கையும் தேவை, ஒரு திசை செயல்படும்போது பொதுவாக அதுவே காணாமல் போன பாதி. சக முகவரிக்கான வழிசெலுத்தல் அட்டவணைப் பதிவைப் படித்து, வெளிச்செல்லும் இடைமுகம் WAN இடைமுகம் என்பதை உறுதிப்படுத்துங்கள்.

இதன் மூலம் சரிபார்க்கவும்: show route 198.51.100.10, உண்மையான சக முகவரியை இட்டு, அடுத்த தாவல் சுரங்க இடைமுகம் அல்ல என்பதை உறுதிப்படுத்துங்கள்.

கட்டுப்பாட்டையும் சேவையையும் வரிசையாகச் சரிபார்க்கவும்

மேல்நோக்கிச் செயல்படுங்கள்: கட்டம் 1 நிலை, கட்டம் 2 நிலை, பின்னர் உண்மையான பயன்பாட்டு ஓட்டம். show security ipsec sa பாதுகாப்பு இணைப்புகளைப் பட்டியலிடுகிறது, மேலும் show security flow session destination-prefix 10.60.0.0/16 பாதுகாக்கப்பட்ட நெட்வொர்க்கிற்கு அனுப்பப்படும் அமர்வுகள் உருவாக்கப்படுகிறதா என்பதைக் காட்டுகிறது.

ஆரோக்கியமான கட்டுப்பாட்டு உறவும் செயல்படும் தரவுப் பாதையும் இரண்டு வெவ்வேறு முடிவுகள், மேலும் கட்டம் 2 தேர்ச்சி பெறுவது கொள்கை பயன்பாட்டை அனுமதிக்கிறதா என்பதைப் பற்றி எதுவும் கூறாது. அனுமதிக்கப்பட்ட ஒரு ஓட்டத்தையும் கொள்கை நிராகரிக்க வேண்டிய மற்றொன்றையும் சோதிக்கவும், வித்தியாசம் தெரியும்படி.

சக பாதை, host-inbound அனுமதி, சுரங்கப் பிணைப்பு, உள் பாதை மற்றும் பயன்பாட்டுக் கொள்கையை ஒன்றாகப் பதிவு செய்யுங்கள். இந்த ஐந்து பதிவுகள் எதிர்காலத் தோல்வி எந்த அடுக்கைச் சேர்ந்தது என்பதைத் துறைமுக லேபிளை நம்பாமல் காட்டுகின்றன.