Özel bir WAN üzerinden IPsec: kontrol edilmesi gereken SRX ilke sınırları

Özel bir WAN, bir IPsec tünelinin dış paketlerini taşıyabilir, bu nedenle eş adreslerinin genel internet adresleri olması gerekmez. Değişen şey, bu dış paketlerin izlediği yol ve onları alan arayüzdeki izinlerdir. Bir SRX'te dış denetim yolu, tünel arayüzü bağlaması ve iletilen trafik ilkesi üç ayrı nesnedir. Diğer ikisi yanlışken birinde sorun gidermek, tünelin kapalı kalmasının olağan nedenidir.

Önce dış IKE yolunu kaydedin

İlkeye dokunmadan önce dört değer yazın: eş adresi, IKE alan yerel arayüz, eşe ulaşan yönlendirme bağlamı ve o arayüzü seçen rota. IKE paketleri SRX'in kendisine adreslenir, bu nedenle alan bölgede host-inbound iznine ihtiyaç duyarlar, iletilen trafik ilkesine değil. Özel bir WAN adresi bu gereksinimi ortadan kaldırmaz, çünkü paket yine de cihazda sonlanır.

Kurulu durumu şununla kontrol edin: show security ike sa ve yapılandırmayı şununla: show configuration security ike. Birincisi 1. aşamanın olup olmadığını, ikincisi cihazın ne yapması gerektiğini düşündüğünü söyler.

Tünel arayüzünü doğru ilkeye bağlayın

Yönlendirme tabanlı bir VPN bir tünel arayüzünü VPN nesnesine bağlar ve korunan önekler o arayüze yönlendirilir. Hangi arayüzün, hangi rotanın ve hangi ilkenin ilgili bölgeler arasındaki uygulamalara izin verdiğini kaydedin. trust adlı bölge bir ilke kapsayıcısıdır ve ad, gerekli denetim veya veri paketlerinin izinli olduğunu kanıtlamaz.

Eski bir şema yerine gerçek bağlamaları okuyun: show configuration security ipsec vpn arayüze bağlama ayarı için ve show configuration security policies tünel bölgesine başvuran kurallar için.

Korunan rota başka bir yeri gösteriyorsa tünel açık olabilir ama trafik asla içine girmez. Bu, IPsec kılığına girmiş bir yönlendirme sorunudur.

Eş rotasını underlay üzerinde tutun

Dış eşe giden rota underlay üzerinden çözülmelidir, kurduğu tünel üzerinden yinelemeli olarak değil. Eş rotası tünel arayüzünü gösteriyorsa IKE paketleri kendi tünellerinin peşinden gider ve 1. aşama asla tamamlanmaz. Korunan trafiğin yanıt yolu kendi doğru rotasına ve ilkesine ihtiyaç duyar ve bir yön çalıştığında genellikle eksik olan yarı budur. Eş adresi için yönlendirme tablosu girdisini okuyun ve giden arayüzün WAN arayüzü olduğunu doğrulayın.

Şununla kontrol edin: show route 198.51.100.10, gerçek eş adresini koyarak, ve sonraki atlamanın tünel arayüzü olmadığını doğrulayın.

Denetimi ve hizmeti sırayla doğrulayın

Yukarı doğru çalışın: 1. aşama durumu, 2. aşama durumu, ardından gerçek bir uygulama akışı. show security ipsec sa güvenlik ilişkilerini listeler ve show security flow session destination-prefix 10.60.0.0/16 korunan ağ için iletilen oturumların oluşturulup oluşturulmadığını gösterir.

Sağlıklı bir denetim ilişkisi ve çalışan bir veri yolu iki farklı sonuçtur, ve 2. aşamayı geçmek ilkenin uygulamaya izin verip vermediği hakkında hiçbir şey söylemez. İzin verilen bir akışı ve ilkenin reddetmesi gereken bir akışı test edin, böylece fark görünür olsun.

Eş rotasını, host-inbound iznini, tünel bağlamasını, iç rotayı ve uygulama ilkesini birlikte kaydedin. Bu beş kayıt, gelecekteki bir arızanın hangi katmana ait olduğunu port etiketine güvenmeden gösterir.