ప్రైవేట్ WAN పై IPsec: తనిఖీ చేయవలసిన SRX విధాన సరిహద్దులు

ప్రైవేట్ WAN IPsec టన్నెల్ యొక్క బాహ్య ప్యాకెట్లను తీసుకువెళ్లగలదు, కాబట్టి పీర్ చిరునామాలు పబ్లిక్ ఇంటర్నెట్ చిరునామాలు కావాల్సిన అవసరం లేదు. మారేది ఆ బాహ్య ప్యాకెట్లు వెళ్లే మార్గం మరియు వాటిని స్వీకరించే ఇంటర్ఫేస్పై ఉన్న అనుమతులు. SRXలో బాహ్య నియంత్రణ మార్గం, టన్నెల్ ఇంటర్ఫేస్ బైండింగ్ మరియు ఫార్వార్డ్ చేసిన ట్రాఫిక్ విధానం మూడు వేర్వేరు వస్తువులు. మిగిలిన రెండు తప్పుగా ఉన్నప్పుడు ఒకదాన్ని పరిష్కరించడమే టన్నెల్ కింద ఉండిపోవడానికి సాధారణ కారణం.

మొదట బాహ్య IKE మార్గాన్ని నమోదు చేయండి

విధానాన్ని తాకే ముందు నాలుగు విలువలను రాయండి: పీర్ చిరునామా, IKE స్వీకరించే స్థానిక ఇంటర్ఫేస్, పీర్ను చేరే రూటింగ్ సందర్భం మరియు ఆ ఇంటర్ఫేస్ను ఎంచుకునే మార్గం. IKE ప్యాకెట్లు SRXకే చిరునామా చేయబడతాయి, కాబట్టి అవి స్వీకరించే జోన్లో host-inbound అనుమతి కావాలి, ఫార్వార్డ్ చేసిన ట్రాఫిక్ విధానం కాదు. ప్రైవేట్ WAN చిరునామా ఆ అవసరాన్ని తీసివేయదు, ఎందుకంటే ప్యాకెట్ ఇప్పటికీ పరికరంలో ముగుస్తుంది.

ఇన్స్టాల్ చేసిన స్థితిని దీనితో తనిఖీ చేయండి: show security ike sa మరియు కాన్ఫిగరేషన్ను దీనితో: show configuration security ike. మొదటిది దశ 1 ఉందా అని చెబుతుంది; రెండవది పరికరం ఏమి చేయాలని భావిస్తుందో చెబుతుంది.

టన్నెల్ ఇంటర్ఫేస్ను సరైన విధానానికి బైండ్ చేయండి

రూటింగ్ ఆధారిత VPN టన్నెల్ ఇంటర్ఫేస్ను VPN వస్తువుకు బైండ్ చేస్తుంది, రక్షిత ప్రిఫిక్స్లు ఆ ఇంటర్ఫేస్కు రూట్ చేయబడతాయి. ఏ ఇంటర్ఫేస్, ఏ మార్గం మరియు ఏ విధానం సంబంధిత జోన్ల మధ్య అప్లికేషన్లను అనుమతిస్తుందో నమోదు చేయండి. trust అనే జోన్ విధాన కంటైనర్, ఆ పేరు అవసరమైన నియంత్రణ లేదా డేటా ప్యాకెట్లకు అనుమతి ఉందని నిరూపించదు.

పాత రేఖాచిత్రానికి బదులు వాస్తవ బైండింగ్లను చదవండి: show configuration security ipsec vpn ఇంటర్ఫేస్కు బైండ్ చేసే సెట్టింగ్ కోసం మరియు show configuration security policies టన్నెల్ జోన్ను సూచించే నియమాల కోసం.

రక్షిత మార్గం వేరే చోటుకు చూపితే, టన్నెల్ పైన ఉండవచ్చు కానీ ట్రాఫిక్ ఎప్పటికీ దానిలోకి వెళ్లదు. ఇది IPsec వేషంలో ఉన్న రూటింగ్ సమస్య.

పీర్ మార్గాన్ని underlayలో ఉంచండి

బాహ్య పీర్కు మార్గం underlay ద్వారా పరిష్కరించబడాలి, అది సృష్టించే టన్నెల్ ద్వారా పునరావృతంగా కాదు. పీర్ మార్గం టన్నెల్ ఇంటర్ఫేస్కు చూపితే, IKE ప్యాకెట్లు తమ సొంత టన్నెల్ను వెంబడిస్తాయి మరియు దశ 1 ఎప్పటికీ పూర్తికాదు. రక్షిత ట్రాఫిక్ యొక్క ప్రతిస్పందన మార్గానికి దాని సొంత సరైన మార్గం మరియు విధానం కావాలి, ఒక దిశ పనిచేసినప్పుడు సాధారణంగా అదే తప్పిపోయిన సగం. పీర్ చిరునామా కోసం రూట్ పట్టిక నమోదును చదివి, బయలుదేరే ఇంటర్ఫేస్ WAN ఇంటర్ఫేస్ అని నిర్ధారించండి.

దీనితో తనిఖీ చేయండి: show route 198.51.100.10, నిజమైన పీర్ చిరునామాన్ని పెట్టి, తదుపరి హాప్ టన్నెల్ ఇంటర్ఫేస్ కాదని నిర్ధారించండి.

నియంత్రణ మరియు సేవను క్రమంగా ధృవీకరించండి

పైకి పని చేయండి: దశ 1 స్థితి, దశ 2 స్థితి, తర్వాత నిజమైన అప్లికేషన్ ప్రవాహం. show security ipsec sa భద్రతా సంఘాలను జాబితా చేస్తుంది, మరియు show security flow session destination-prefix 10.60.0.0/16 రక్షిత నెట్వర్క్ కోసం ఫార్వార్డ్ సెషన్లు సృష్టించబడుతున్నాయా అని చూపిస్తుంది.

ఆరోగ్యకరమైన నియంత్రణ సంబంధం మరియు పనిచేసే డేటా మార్గం రెండు వేర్వేరు ఫలితాలు, మరియు దశ 2 ఉత్తీర్ణత విధానం అప్లికేషన్ను అనుమతిస్తుందా అనే దాని గురించి ఏమీ చెప్పదు. అనుమతించబడిన ఒక ప్రవాహాన్ని మరియు విధానం తిరస్కరించవలసిన మరొకదాన్ని పరీక్షించండి, తేడా కనిపించేలా.

పీర్ మార్గం, host-inbound అనుమతి, టన్నెల్ బైండింగ్, అంతర్గత మార్గం మరియు అప్లికేషన్ విధానాన్ని కలిసి నమోదు చేయండి. ఈ ఐదు రికార్డులు భవిష్యత్తు వైఫల్యం ఏ పొరది అని పోర్ట్ లేబుల్పై ఆధారపడకుండా చూపిస్తాయి.