Junos Çift WAN IPsec VPN: kaynak yolunu doğru ağ geçidine eşleme

Site başına iki WAN bağlantısı, belirli bir akışın hangi adres çiftini gerçekten kullandığını kanıtlamaya çalışana kadar yedeklilik gibi görünür. Bir SRX'te tek bir IKE ağ geçidi tek bir dış arayüz ve tek bir yerel adres taşır; uzak aday listesi ikinci bir yerel kaynak yaratmaz. Bu yüzden bu anlatım yapılandırmayla değil çift matrisiyle başlar, çünkü Junos amaçladığınız kombinasyonların yalnızca yarısını kapsayan bir tasarımı rahatça commit eder. Bunu iki SRX345s üzerinde yaşadım: yedek tünel temiz şekilde açıldı ve geri dönüşte oturumu yine de düşürdü.

Adımları sırayla izleyin: desteklemeniz gereken çiftleri listeleyin, her yerel kaynak için bir ağ geçidi kurun, trafiği hangi ilişkinin taşıdığını doğrulayın ve ancak ondan sonra her arıza türünün neyi değiştirebileceğine karar verin.

CLI'ye dokunmadan önce çiftleri haritalayın

A sitesi A1 veya A2'den kaynaklanabiliyor ve B sitesi B1 veya B2 üzerinde alabiliyorsa dört dış adres çiftiniz var. Çoğu tasarım bunlardan ikisine sürekli ihtiyaç duyar, diğer ikisini ise isteğe bağlı sayar. Matrisi yazın ve her satırı işaretleyin, çünkü vaat ettiğiniz her satır size sonradan bir ağ geçidi, bir tünel arayüzü ve bir yönlendirme kararı olarak döner.

Her gerekli çift aynı anda üç şeye ihtiyaç duyar: tam bu adresler arasında erişilebilir bir underlay, her iki uçta eş kimliğinin ve kaynak adresin karşılıklı kabulü ve korumalı bir dönüş yolu. Yalnızca tek yönde çalışan bir çift yine de tünel gösterir ve arıza sonradan tek yönlü uygulama trafiği olarak ortaya çıkar.

Uzak site başına değil, yerel kaynak başına bir ağ geçidi

Uzak adres listesi bir ağ geçidine aittir, yerel kaynak da öyle. IKE ağ geçidi başvurusu uzak adresleri, dış arayüzü, yerel adresi ve ölü eş algılamayı ayrı ayarlar olarak tutar ve asıl mesele tam budur: iki yerel kaynak, iki st0 birimi üzerinde iki ağ geçidi demektir. IKE ilkesini aralarında paylaşmak sorun değil; tek ağ geçidi tutup kendi kendine başka kaynak seçmesini ummak sorundur.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Ardından tünelleri bağlayın ve uzak öneke iki next hop verin, her tünel için bir tane:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Tek bir ağ geçidinin address türünde iki ifade tutup tutamaması sürüme ve kutunun hangi IKE sürecini çalıştırdığına bağlıdır. kmd tabanlı eski Junos sürümleri ağ geçidi başına tek uzak adres alır; yeni derlemeler birden çok adayı işler ama kendi kısıtlarını ekler ve yüksek erişilebilirlik kümeleri bu desteğin daraldığı yaygın bir yerdir. Bu yapılandırmayı eski bir kasadan kopyalamadan önce tam derlemeniz için sürüm notlarını kontrol edin.

Paketi hangi ilişkinin taşıdığını doğrulayın

İki SA ve iki tünel, oturumu hangisinin ilettiğini söylemez. Kutuyu doğrudan sorgulayın ve alanları amaçladığınız çiftle karşılaştırın:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Ayrıntılı çıktı her ilişki için yerel ve uzak ağ geçidini bildirir; beklenmedik bir kaynaktan anlaşılan tüneli fark etmenin en hızlı yolu budur. Ardından trafik geçirirken st0.1 ve st0.2 üzerindeki birim başına paket sayaçlarını izleyin; hiçbir şey taşımayan bir tünel SA'sını korur ve özet görünümde sağlıklı görünür.

Her arıza türüne kendi dedektörünü verin

Eş canlılığı, yerel uplink kaybı, korumalı rotanın geri çekilmesi ve uygulama kesintisi dört farklı olaydır. DPD yalnızca birincisini yanıtlar, bu yüzden varsayılanı bırakıp geri kalanı kapsadığını varsaymak yerine savunabileceğiniz bir aralık ve eşikle yapılandırın:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Uzak alt ağın içindeki bir hedefi yoklayan tünel izleme, DPD'nin göremediği durumu kapsar: IKE canlıdır, ağ geçidi yanıt verir ve korumalı önek yine de ulaşılamazdır. İkisinden hangisinin önceliği çekeceğini seçin, çünkü ikisi aynı anda tetiklenirse temiz bir devir yerine bir değişiklik fırtınası doğar.

Uzak ucu unutmayın. Uzak sitede yüklü kalan tercih edilen bir rota, çoktan terk ettiğiniz bir tünele işaret etmeye devam eder ve hiçbir yerel zamanlayıcı bunu düzeltmez. Aynı öncelik mantığını her iki eşte de yayınlayın ve geri gelen bir bağlantının trafiği otomatik alıp alamayacağını yoksa elle mi geçirileceğini kaydedin.

Diğerine dokunmadan bir bağlantıyı yeniden adresleyin

Bir ISS size yeni bir blok verdiğinde her seferinde tek ilişkiyi değiştirin. O çift için her iki eşte address veya local-address değerini güncelleyin, commit edin ve kutudaki tüm SA'ları temizlemek yerine yalnızca etkilenen ilişkileri indekse göre temizleyin. Genel bir temizleme sağlıklı tüneli de götürür ve bakım penceresini kesintiye çevirir.

Herhangi bir temizlik yapmadan önce başarısız bir akışı ve oturum ayrıntısını kanıt olarak saklayın, ardından yukarıdaki kontrolleri yeni adres çiftine karşı yeniden çalıştırın. Bir bağlantıyı geri yüklemek bir yönlendirme kararıdır, bu yüzden dönüşü eski önceliğin kendiliğinden geri geleceğini varsaymak yerine ayrı test edilmiş bir adım olarak ele alın.

Değişikliği kısa bir kontrol listesiyle kapatın

Çift WAN tünel tasarımı, iki SA da ayakta olduğunda değil, her oturumun arkasındaki çifti adlandırabildiğinizde biter. Aşağıdaki listeyi gerçekten değiştirdiğiniz kutuda gözden geçirin:

• Vaat edilen her çiftin bir ağ geçidi, bir st0 birimi ve bir rota girdisi vardır.
• Her tünel paket taşırken görüldü, yalnızca SA tutarken değil.
• İki uç, algılama ve önceliği hangi tarafın geri yükleyeceği konusunda anlaşır.
• Her çiftin dönüş yolu, gidiş yolunun yanına yazılmıştır.

Bir satır tutmuyorsa, sonrakini eklemeden önce o çifti düzeltin; iki yarım çalışan tüneli üst üste koymak sayaçları anlamsız, devir davranışını da öngörülemez yapar.