VPN IPsec Dual-WAN sa Junos: itugma ang landas ng pinagmulan sa tamang gateway

Dalawang WAN link sa bawat site ay mukhang redundancy hanggang subukan mong patunayan kung aling pares ng address ang aktuwal na ginamit ng isang partikular na daloy. Sa isang SRX, isang IKE gateway ang nagdadala ng isang panlabas na interface at isang lokal na address; ang listahan ng malalayong kandidato ay hindi gumagawa ng pangalawang lokal na pinagmulan. Kaya nagsisimula ang gabay na ito sa matrix ng mga pares at hindi sa configuration, dahil kusang nag-commit ang Junos ng disenyong sumasaklaw lamang sa kalahati ng mga kombinasyong nilayon mo. Naranasan ko ito sa dalawang SRX345s: maayos na umangat ang backup tunnel at pinabagsak pa rin ang session sa pagbabalik.

Sundin ang mga hakbang sa pagkakasunod-sunod: ilista ang mga pares na kailangang suportahan, bumuo ng isang gateway bawat lokal na pinagmulan, kumpirmahin kung aling asosasyon ang nagdala ng trapiko, at saka lamang magpasiya kung ano ang maaaring baguhin ng bawat uri ng pagkasira.

Imapa ang mga pares bago hawakan ang CLI

Kung ang site A ay maaaring kumuha ng pinagmulan mula sa A1 o A2 at ang site B ay maaaring tumanggap sa B1 o B2, mayroon kang apat na pares ng panlabas na address. Karamihan ng disenyo ay nangangailangan ng dalawa sa kanila nang tuluy-tuloy at itinuturing ang dalawa pa na opsyonal. Isulat ang matrix at markahan ang bawat hilera, dahil ang bawat hilerang ipinangako mo ay magkakahalaga sa iyo ng gateway, tunnel interface at desisyon sa routing sa hinaharap.

Ang bawat kinakailangang pares ay nangangailangan ng tatlong bagay nang sabay: isang maabot na underlay sa pagitan ng mismong mga address na iyon, sabayang pagtanggap sa pagkakakilanlan ng kapareha at address ng pinagmulan sa dalawang dulo, at protektadong ruta ng pagbabalik. Ang pares na gumagana lamang sa isang direksyon ay magpapakita pa rin ng tunnel, at ang pagkasira ay lalabas mamaya bilang trapiko ng aplikasyon na one-way.

Isang gateway bawat lokal na pinagmulan, hindi bawat malayong site

Ang listahan ng malalayong address ay pag-aari ng isang gateway, gayundin ang lokal na pinagmulan. sanggunian ng mga IKE gateway ay nagtatabi ng malalayong address, panlabas na interface, lokal na address at pag-detect ng patay na kapareha bilang magkakahiwalay na setting, at iyon mismo ang punto: dalawang lokal na pinagmulan ay nangangahulugang dalawang gateway sa dalawang st0 unit. Ang pagbabahagi ng IKE policy sa pagitan nila ay ayos lang; ang pagpapanatili ng isang gateway at pag-asa na siya mismo ang pipili ng ibang pinagmulan ay hindi.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Pagkatapos ikonekta ang mga tunnel at bigyan ang malayong prefix ng dalawang next hop, isa bawat tunnel:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Kung ang isang gateway ay makapagpapanatili ng dalawang pahayag na uri address ay nakadepende sa release at sa kung aling IKE process ang pinapatakbo ng device. Ang lumang Junos na nakabatay sa kmd ay tumatanggap ng isang malayong address bawat gateway; ang mga bagong build ay humahawak ng maraming kandidato ngunit nagdaragdag ng sariling limitasyon, at ang high-availability cluster ay karaniwang lugar kung saan lumiliit ang suportang iyon. Tingnan ang release notes para sa iyong eksaktong build bago kopyahin ito mula sa lumang chassis.

Kumpirmahin kung aling asosasyon ang nagdala ng pakete

Dalawang SA at dalawang tunnel ay hindi nagsasabi kung alin ang nagpasa ng session. Tanungin nang diretso ang device at ihambing ang mga field sa pares na nilayon mo:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Ang detalyadong output ay nagsasaad ng lokal at malayong gateway para sa bawat asosasyon, na siyang pinakamabilis na paraan upang mapansin ang tunnel na naayos mula sa pinagmulang hindi mo inaasahan. Pagkatapos ay panoorin ang mga packet counter bawat unit sa st0.1 at st0.2 habang nagpapadala ng trapiko; ang tunnel na walang dinadala ay nagpapanatili ng SA nito at mukhang malusog sa buod.

Bigyan ang bawat uri ng pagkasira ng sariling detector

Ang sigla ng kapareha, pagkawala ng lokal na uplink, pagbawi ng protektadong ruta at pagkasira ng aplikasyon ay apat na magkakaibang pangyayari. Ang DPD ay sumasagot lamang sa una, kaya i-configure ito nang may interval at threshold na kayang ipagtanggol sa halip na iwanan ang default at ipalagay na sinasaklaw nito ang iba:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Ang pagsubaybay sa tunnel na sumusubok ng destinasyon sa loob ng malayong subnet ay sumasaklaw sa kaso na hindi nakikita ng DPD: buhay ang IKE, sumasagot ang gateway, at hindi pa rin maabot ang protektadong prefix. Piliin kung alin sa dalawa ang dapat humatak ng preference, dahil kung sabay silang mag-trigger ay nagiging bagyo ng pagbabago kaysa malinis na failover.

Huwag kalimutan ang malayong dulo. Ang ginustong ruta na nananatiling naka-install sa malayong site ay patuloy na nakaturo sa tunnel na iniwan mo na, at walang lokal na timer ang makakapag-ayos niyon. Ilathala ang parehong lohika ng preference sa dalawang kapareha, at itala kung ang naibalik na link ay maaaring kumuha ng trapiko nang kusa o kailangang ilipat sa kamay.

Bigyan ng bagong address ang isang link nang hindi hinahawakan ang isa

Kapag binigyan ka ng ISP ng bagong block, baguhin ang isang relasyon sa bawat pagkakataon. I-update ang address o local-address sa dalawang kapareha para sa pares na iyon, mag-commit, at burahin lamang ang mga apektadong asosasyon ayon sa index sa halip na burahin ang lahat ng SA sa device. Ang pandaigdigang pagbura ay tumatangay din ng malusog na tunnel at ginagawang pagkawala ng serbisyo ang maintenance window.

Panatilihin ang isang nabigong daloy at ang detalye ng session nito bilang ebidensya bago maglinis ng anuman, pagkatapos ay muling patakbuhin ang mga pagsusuri sa itaas sa bagong pares ng address. Ang pagpapanumbalik ng link ay desisyon sa routing, kaya ituring ang pagbabalik bilang hiwalay na nasubok na hakbang sa halip na ipalagay na babalik mag-isa ang dating preference.

Isara ang pagbabago gamit ang maikling checklist

Ang disenyo ng dual-WAN tunnel ay tapos kapag kayang pangalanan ang pares sa likod ng bawat session, hindi kapag nakataas ang dalawang SA. Daanan ang listahan sa ibaba sa device na aktuwal mong binago:

• Ang bawat ipinangakong pares ay may gateway, st0 unit at entry ng ruta.
• Ang bawat tunnel ay nakitaan ng pagdadala ng pakete, hindi lamang paghawak ng SA.
• Nagkakasundo ang dalawang dulo sa pag-detect at sa kung aling panig ang nagpapanumbalik ng preference.
• Ang ruta ng pagbabalik ng bawat pares ay nakasulat sa tabi ng rutang pasulong nito.

Kung may hilerang nabigo, ayusin ang pares na iyon bago magdagdag ng susunod; ang pagsasalansan ng dalawang tunnel na kalahating gumagana ay ginagawang walang kabuluhan ang mga counter at hindi mahulaan ang failover.