IPsec sa ibabaw ng pribadong WAN: mga hangganan ng patakaran sa SRX na dapat suriin

Maaaring magdala ang pribadong WAN ng mga panlabas na packet ng isang tunnel ng IPsec, kaya hindi kailangang pampublikong address ng internet ang mga address ng peer. Ang nagbabago ay ang daanang tinatahak ng mga panlabas na packet na iyon at ang mga pahintulot sa interface na tumatanggap sa kanila. Sa isang SRX, ang panlabas na daanan ng kontrol, ang pagkakabit ng interface ng tunnel at ang patakaran para sa ipinapasang trapiko ay tatlong magkakahiwalay na bagay. Ang pag-aayos ng isa habang mali ang dalawa ay ang karaniwang dahilan kung bakit nananatiling down ang isang tunnel.

Itala muna ang panlabas na daanan ng IKE

Isulat ang apat na halaga bago hawakan ang patakaran: ang address ng peer, ang lokal na interface na tumatanggap ng IKE, ang konteksto ng routing na nakakaabot sa peer at ang rutang pumipili sa interface na iyon. Ang mga packet ng IKE ay nakadirekta sa SRX mismo, kaya kailangan nila ng pahintulot na host-inbound sa zone na tumatanggap, hindi patakaran para sa ipinapasang trapiko. Hindi inaalis ng pribadong address ng WAN ang pangangailangang iyon, dahil nagtatapos pa rin ang packet sa device.

Suriin ang naka-install na estado gamit ang show security ike sa at ang configuration gamit ang show configuration security ike. Sinasabi ng una kung may phase 1; sinasabi ng pangalawa kung ano ang iniisip ng device na dapat nitong gawin.

Ikabit ang interface ng tunnel sa tamang patakaran

Isang VPN na nakabatay sa routing ang nagkakabit ng interface ng tunnel sa isang bagay na VPN, at ang mga protektadong prefix ay niruruta papasok sa interface na iyon. Itala kung aling interface, aling ruta at aling patakaran ang nagpapahintulot sa mga application sa pagitan ng mga kaugnay na zone. Ang zone na tinatawag na trust ay isang lalagyan ng patakaran, at hindi pinapatunayan ng pangalan na pinapayagan ang mga kinakailangang packet ng kontrol o data.

Basahin ang totoong pagkakabit sa halip na lumang diagram: show configuration security ipsec vpn para sa setting na pagkakabit sa interface at show configuration security policies para sa mga tuntuning tumutukoy sa zone ng tunnel.

Kung ang protektadong ruta ay tumuturo sa ibang lugar, maaaring up ang tunnel habang hindi kailanman pumapasok dito ang trapiko. Ito ay problema sa routing na nakasuot ng IPsec.

Panatilihin ang ruta ng peer sa underlay

Ang ruta papunta sa panlabas na peer ay dapat malutas sa pamamagitan ng underlay, hindi paulit-ulit sa pamamagitan ng tunnel na itinatayo nito. Kung ang ruta ng peer ay tumuturo sa interface ng tunnel, hinahabol ng mga packet ng IKE ang sarili nilang tunnel at hindi kailanman natatapos ang phase 1. Ang daanan ng tugon para sa protektadong trapiko ay nangangailangan ng sarili nitong tamang ruta at patakaran, at karaniwang iyon ang nawawalang kalahati kapag gumagana ang isang direksyon. Basahin ang entry sa talahanayan ng ruta para sa address ng peer at kumpirmahin na ang palabas na interface ay ang interface ng WAN.

Suriin ito gamit ang show route 198.51.100.10, na pinapalitan ang totoong address ng peer, at kumpirmahin na ang susunod na hop ay hindi interface ng tunnel.

Beripikahin ang kontrol at serbisyo sa pagkakasunod-sunod

Magtrabaho pataas: estado ng phase 1, estado ng phase 2, pagkatapos ay isang totoong daloy ng application. show security ipsec sa naglilista ng mga asosasyon ng seguridad, at show security flow session destination-prefix 10.60.0.0/16 nagpapakita kung may ginagawang ipinapasang session para sa protektadong network.

Ang malusog na ugnayan ng kontrol at gumaganang daanan ng data ay dalawang magkaibang resulta, at ang pagpasa sa phase 2 ay walang sinasabi tungkol sa kung pinapayagan ng patakaran ang application. Subukan ang isang pinapayagang daloy at isa na dapat tanggihan ng patakaran, upang makita ang pagkakaiba.

Itala nang sama-sama ang ruta ng peer, ang pahintulot na host-inbound, ang pagkakabit ng tunnel, ang panloob na ruta at ang patakaran ng application. Ipinapakita ng limang rekord na ito kung aling layer ang may-ari ng susunod na pagkasira nang hindi umaasa sa label ng port.