Junos రెండు-WAN IPsec VPN: మూల మార్గాన్ని సరైన గేట్వేతో సరిపోల్చడం

ప్రతి సైట్లో రెండు WAN లింకులు అనవసర నిల్వలా కనిపిస్తాయి, ఇచ్చిన ఫ్లో నిజంగా ఏ చిరునామా జతను ఉపయోగించిందో నిరూపించే వరకు. SRXలో ఒక IKE గేట్వే ఒక బాహ్య ఇంటర్ఫేస్ మరియు ఒక స్థానిక చిరునామాను మోస్తుంది; దూర అభ్యర్థుల జాబితా రెండవ స్థానిక మూలాన్ని సృష్టించదు. అందుకే ఈ మార్గదర్శిని కాన్ఫిగరేషన్తో కాదు, జతల మ్యాట్రిక్స్తో ప్రారంభమవుతుంది, ఎందుకంటే Junos మీ ఉద్దేశ్యంలో సగం కలయికలను మాత్రమే కవర్ చేసే డిజైన్నూ సులభంగా commit చేస్తుంది. నేను ఇది రెండు SRX345sలో ఎదుర్కొన్నాను: బ్యాకప్ టన్నెల్ శుభ్రంగా పైకి వచ్చింది, తిరిగి రావడంలో అయినా సెషన్ను కిందకు దించింది.

దశలను క్రమంగా పూర్తి చేయండి: మద్దతు ఇవ్వాల్సిన జతలను జాబితా చేయండి, ప్రతి స్థానిక మూలానికి ఒక గేట్వే నిర్మించండి, ఏ అసోసియేషన్ ట్రాఫిక్ మోసిందో నిర్ధారించండి, ఆ తర్వాత మాత్రమే ప్రతి రకమైన వైఫల్యం ఏమి మార్చగలదో నిర్ణయించండి.

CLIని తాకే ముందు జతలను మ్యాప్ చేయండి

సైట్ A, A1 లేదా A2 నుండి మూలం తీసుకోగలిగితే, సైట్ B, B1 లేదా B2పై స్వీకరించగలిగితే, మీకు నాలుగు బాహ్య చిరునామా జతలు ఉన్నాయి. చాలా డిజైన్లకు వాటిలో రెండు నిరంతరం అవసరం, మిగిలిన రెండు ఐచ్ఛికంగా పరిగణిస్తారు. మ్యాట్రిక్స్ రాసి ప్రతి వరుసను గుర్తించండి, ఎందుకంటే మీరు వాగ్దానం చేసే ప్రతి వరుస తర్వాత మీకు ఒక గేట్వే, ఒక టన్నెల్ ఇంటర్ఫేస్ మరియు ఒక రూటింగ్ నిర్ణయం ఖర్చవుతుంది.

ప్రతి అవసరమైన జతకు ఒకేసారి మూడు విషయాలు కావాలి: సరిగ్గా ఆ చిరునామాల మధ్య చేరుకోగల underlay, రెండు చివరల్లో సహచరుడి గుర్తింపు మరియు మూల చిరునామా పరస్పర అంగీకారం, మరియు రక్షిత తిరిగి వచ్చే మార్గం. ఒక దిశలో మాత్రమే పనిచేసే జత అయినా టన్నెల్ చూపిస్తుంది, వైఫల్యం తర్వాత అప్లికేషన్ ఏకదిశ ట్రాఫిక్గా బయటపడుతుంది.

ప్రతి స్థానిక మూలానికి ఒక గేట్వే, దూర సైట్కు కాదు

దూర చిరునామాల జాబితా ఒక గేట్వేకు చెందుతుంది, స్థానిక మూలం కూడా. IKE గేట్వే సూచన దూర చిరునామాలు, బాహ్య ఇంటర్ఫేస్, స్థానిక చిరునామా మరియు మృత సహచరుడి గుర్తింపును వేర్వేరు సెట్టింగ్లుగా ఉంచుతుంది, ముఖ్య విషయం ఇదే: రెండు స్థానిక మూలాలు అంటే రెండు st0 యూనిట్లపై రెండు గేట్వేలు. వాటి మధ్య IKE విధానాన్ని పంచుకోవడం సరే; ఒకే గేట్వే ఉంచుకుని అది తనంతట తానే మరో మూలాన్ని ఎంచుకుంటుందని ఆశించడం సరికాదు.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

తర్వాత టన్నెళ్లను కలిపి దూర ప్రిఫిక్స్కు రెండు next hop ఇవ్వండి, ప్రతి టన్నెల్కు ఒకటి:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

ఒక గేట్వే address రకమైన రెండు సూచనలను ఉంచగలదా అనేది రిలీజ్పై మరియు పరికరం ఏ IKE ప్రక్రియను నడుపుతోందనే దానిపై ఆధారపడి ఉంటుంది. kmd ఆధారిత పాత Junos ఒక గేట్వేకు ఒకే దూర చిరునామాను తీసుకుంటుంది; కొత్త బిల్డ్లు అనేక అభ్యర్థులను నిర్వహిస్తాయి కానీ తమ స్వంత పరిమితులను జోడిస్తాయి, మరియు అధిక లభ్యత క్లస్టర్లు ఈ మద్దతు సన్నగిల్లే సాధారణ ప్రదేశం. పాత చాసిస్ నుండి దీన్ని కాపీ చేసే ముందు మీ ఖచ్చితమైన బిల్డ్ కోసం రిలీజ్ నోట్లు చూడండి.

ఏ అసోసియేషన్ ప్యాకెట్ను మోసిందో నిర్ధారించండి

రెండు SAలు మరియు రెండు టన్నెళ్లు సెషన్ను ఎవరు పంపారో చెప్పవు. పరికరాన్ని నేరుగా అడిగి, మీరు ఉద్దేశించిన జతతో ఫీల్డ్లను పోల్చండి:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

వివరమైన అవుట్పుట్ ప్రతి అసోసియేషన్కు స్థానిక మరియు దూర గేట్వేను తెలియజేస్తుంది, ఇది ఊహించని మూలం నుండి అంగీకరించిన టన్నెల్ను గుర్తించే వేగవంతమైన మార్గం. తర్వాత ట్రాఫిక్ పంపుతున్నప్పుడు st0.1 మరియు st0.2పై ప్రతి యూనిట్ ప్యాకెట్ కౌంటర్లను చూడండి; ఏమీ మోసే టన్నెల్ తన SAను ఉంచుకుంటుంది మరియు సారాంశంలో ఆరోగ్యంగా కనిపిస్తుంది.

ప్రతి వైఫల్యానికి దాని స్వంత డిటెక్టర్ ఇవ్వండి

సహచరుడి సజీవత్వం, స్థానిక అప్లింక్ నష్టం, రక్షిత రూట్ ఉపసంహరణ మరియు అప్లికేషన్ విచ్ఛిన్నం నాలుగు వేర్వేరు సంఘటనలు. DPD మొదటి దానికి మాత్రమే సమాధానమిస్తుంది, కాబట్టి డిఫాల్ట్ను వదిలి మిగతాది కవర్ చేస్తుందని ఊహించడం బదులు మీరు సమర్థించగల విరామం మరియు పరిమితితో కాన్ఫిగర్ చేయండి:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

దూర సబ్నెట్ లోపల గమ్యాన్ని పరీక్షించే టన్నెల్ మానిటరింగ్ DPD చూడలేని స్థితిని కవర్ చేస్తుంది: IKE సజీవంగా ఉంది, గేట్వే సమాధానమిస్తుంది, రక్షిత ప్రిఫిక్స్ అయినా చేరుకోలేనిది. రెండింటిలో ఏది ప్రాధాన్యతను లాగాలో ఎంచుకోండి, ఎందుకంటే రెండూ ఒకేసారి పనిచేస్తే శుభ్రమైన ఫెయిల్ఓవర్ బదులు మార్పుల తుఫాను వస్తుంది.

దూర చివర మర్చిపోవద్దు. దూర సైట్లో ఇన్స్టాల్ అయిన ప్రాధాన్య రూట్ మీరు ఇప్పటికే వదిలిన టన్నెల్ వైపే సూచిస్తూనే ఉంటుంది, ఏ స్థానిక టైమరూ దాన్ని సరిచేయదు. అదే ప్రాధాన్య తర్కాన్ని రెండు సహచరులపై ప్రచురించండి, పునరుద్ధరించిన లింక్ ట్రాఫిక్ను తనంతట తానే తిరిగి తీసుకోగలదా లేదా చేతితో మార్చాలా అని నమోదు చేయండి.

మరొకదాన్ని తాకకుండా ఒక లింక్కు మళ్లీ చిరునామా ఇవ్వండి

ISP మీకు కొత్త బ్లాక్ ఇచ్చినప్పుడు, ఒకసారి ఒక సంబంధాన్ని మాత్రమే మార్చండి. ఆ జత కోసం రెండు సహచరులపై address లేదా local-address నవీకరించి, commit చేయండి, మరియు పరికరంలోని అన్ని SAలను క్లియర్ చేయడం బదులు ప్రభావిత అసోసియేషన్లను మాత్రమే ఇండెక్స్ ద్వారా క్లియర్ చేయండి. సమగ్ర క్లియరింగ్ ఆరోగ్యకరమైన టన్నెల్ను కూడా తీసుకెళ్తుంది మరియు నిర్వహణ విండోను అంతరాయంగా మారుస్తుంది.

ఏదైనా శుభ్రం చేసే ముందు ఒక విఫలమైన ఫ్లో మరియు దాని సెషన్ వివరాలను సాక్ష్యంగా ఉంచి, తర్వాత పై పరీక్షలను కొత్త చిరునామా జతపై మళ్లీ నడపండి. లింక్ పునరుద్ధరణ అనేది రూటింగ్ నిర్ణయం, కాబట్టి పాత ప్రాధాన్యం తనంతట తానే తిరిగి వస్తుందని ఊహించడం బదులు తిరోగమనాన్ని ప్రత్యేక పరీక్షించిన దశగా పరిగణించండి.

మార్పును చిన్న చెక్లిస్ట్తో ముగించండి

రెండు-WAN టన్నెల్ డిజైన్ ప్రతి సెషన్ వెనుక ఉన్న జతను పేర్కొనగలిగినప్పుడు పూర్తవుతుంది, రెండు SAలు పైకి ఉన్నప్పుడు కాదు. కింది జాబితాను మీరు నిజంగా మార్చిన పరికరంలో చూడండి:

• ప్రతి వాగ్దానం చేసిన జతకు ఒక గేట్వే, ఒక st0 యూనిట్ మరియు ఒక రూట్ ఎంట్రీ ఉన్నాయి.
• ప్రతి టన్నెల్ ప్యాకెట్లను మోస్తున్నట్లు చూశాం, SAని మాత్రమే పట్టుకున్నట్లు కాదు.
• రెండు చివరలు గుర్తింపు మరియు ఏ వైపు ప్రాధాన్యాన్ని పునరుద్ధరిస్తుందనే దానిపై ఏకీభవిస్తాయి.
• ప్రతి జత తిరిగి వచ్చే మార్గం దాని వెళ్లే మార్గం పక్కన రాయబడింది.

ఏదైనా వరుస విఫలమైతే, తదుపరిది జోడించే ముందు ఆ జతను సరిచేయండి; రెండు సగం నడిచే టన్నెళ్లను ఒకదానిపై ఒకటి పేర్చడం కౌంటర్లను అర్థరహితంగా మరియు failover ప్రవర్తనను ఊహించలేనిదిగా చేస్తుంది.