IPsec บน WAN ส่วนตัว: ขอบเขตของนโยบาย SRX ที่ต้องตรวจสอบ

WAN ส่วนตัวสามารถขนส่งแพ็กเก็ตภายนอกของทันเนล IPsec ได้ ดังนั้นที่อยู่เพียร์ไม่จำเป็นต้องเป็นที่อยู่สาธารณะบนอินเทอร์เน็ต สิ่งที่เปลี่ยนไปคือเส้นทางที่แพ็กเก็ตภายนอกเหล่านั้นใช้และสิทธิ์บนอินเทอร์เฟซที่รับแพ็กเก็ตเหล่านั้น บน SRX เส้นทางควบคุมภายนอก การผูกอินเทอร์เฟซทันเนล และนโยบายของทราฟฟิกที่ส่งต่อเป็นวัตถุสามอย่างแยกกัน การแก้ปัญหาเพียงอย่างเดียวขณะที่อีกสองอย่างผิดคือสาเหตุปกติที่ทันเนลยังคงล่ม

บันทึกเส้นทาง IKE ภายนอกก่อน

เขียนค่าสี่ค่าก่อนแตะนโยบาย: ที่อยู่เพียร์ อินเทอร์เฟซภายในที่รับ IKE บริบทการกำหนดเส้นทางที่ไปถึงเพียร์ และเส้นทางที่เลือกอินเทอร์เฟซนั้น แพ็กเก็ต IKE ถูกส่งถึง SRX เอง จึงต้องมีสิทธิ์ host-inbound ในโซนที่รับ ไม่ใช่นโยบายของทราฟฟิกที่ส่งต่อ ที่อยู่ WAN ส่วนตัวไม่ได้ลบข้อกำหนดนั้น เพราะแพ็กเก็ตยังคงสิ้นสุดที่อุปกรณ์

ตรวจสอบสถานะที่ติดตั้งด้วย show security ike sa และการกำหนดค่าด้วย show configuration security ike คำสั่งแรกบอกว่ามีเฟส 1 หรือไม่ คำสั่งที่สองบอกว่าอุปกรณ์คิดว่าควรทำอะไร

ผูกอินเทอร์เฟซทันเนลกับนโยบายที่ถูกต้อง

VPN แบบอิงเส้นทาง ผูกอินเทอร์เฟซทันเนลกับออบเจกต์ VPN และคำนำหน้าที่ได้รับการป้องกันจะถูกกำหนดเส้นทางเข้าอินเทอร์เฟซนั้น บันทึกว่าอินเทอร์เฟซใด เส้นทางใด และนโยบายใดอนุญาตแอปพลิเคชันระหว่างโซนที่เกี่ยวข้อง โซนชื่อ trust เป็นที่เก็บนโยบาย และชื่อไม่ได้พิสูจน์ว่าแพ็กเก็ตควบคุมหรือข้อมูลที่จำเป็นได้รับอนุญาต

อ่านการผูกจริงแทนแผนภาพเก่าดังนี้: show configuration security ipsec vpn สำหรับการตั้งค่าผูกกับอินเทอร์เฟซ และ show configuration security policies สำหรับกฎที่อ้างถึงโซนทันเนล

หากเส้นทางที่ได้รับการป้องกันชี้ไปที่อื่น ทันเนลอาจขึ้นอยู่แต่ทราฟฟิกไม่เคยเข้าไป นี่คือปัญหาเส้นทางที่สวมชุด IPsec

เก็บเส้นทางเพียร์ไว้บน underlay

เส้นทางไปยังเพียร์ภายนอกต้องแก้ไขผ่าน underlay ไม่ใช่ผ่านทันเนลที่มันสร้างขึ้นแบบเวียนซ้ำ หากเส้นทางเพียร์ชี้ไปที่อินเทอร์เฟซทันเนล แพ็กเก็ต IKE จะไล่ตามทันเนลของตัวเองและเฟส 1 จะไม่มีวันเสร็จสิ้น เส้นทางตอบกลับสำหรับทราฟฟิกที่ได้รับการป้องกันต้องมีเส้นทางและนโยบายที่ถูกต้องของตัวเอง และมักเป็นครึ่งที่หายไปเมื่อทิศทางเดียวทำงาน อ่านรายการตารางเส้นทางสำหรับที่อยู่เพียร์และยืนยันว่าอินเทอร์เฟซขาออกคืออินเทอร์เฟซ WAN

ตรวจสอบด้วย show route 198.51.100.10 โดยแทนที่อยู่เพียร์จริง และยืนยันว่าฮอปถัดไปไม่ใช่อินเทอร์เฟซทันเนล

ตรวจสอบการควบคุมและบริการตามลำดับ

ทำงานจากล่างขึ้นบน: สถานะเฟส 1 สถานะเฟส 2 แล้วจึงเป็นโฟลว์แอปพลิเคชันจริง show security ipsec sa แสดงรายการความสัมพันธ์ด้านความปลอดภัย และ show security flow session destination-prefix 10.60.0.0/16 แสดงว่ามีการสร้างเซสชันที่ส่งต่อสำหรับเครือข่ายที่ได้รับการป้องกันหรือไม่

ความสัมพันธ์การควบคุมที่ดีและเส้นทางข้อมูลที่ทำงานได้เป็นผลลัพธ์ที่แตกต่างกันสองอย่าง และการผ่านเฟส 2 ไม่ได้บอกอะไรเลยว่านโยบายอนุญาตแอปพลิเคชันหรือไม่ ทดสอบโฟลว์ที่อนุญาตหนึ่งรายการและอีกรายการที่นโยบายควรปฏิเสธ เพื่อให้เห็นความแตกต่าง

บันทึกเส้นทางเพียร์ สิทธิ์ host-inbound การผูกทันเนล เส้นทางภายใน และนโยบายแอปพลิเคชันไว้ด้วยกัน บันทึกทั้งห้ารายการนี้แสดงว่าชั้นใดจะเป็นเจ้าของความล้มเหลวในอนาคตโดยไม่ต้องพึ่งป้ายพอร์ต