نجی WAN پر IPsec: جن SRX پالیسی حدود کی جانچ ضروری ہے

ایک نجی WAN IPsec ٹنل کے بیرونی پیکٹ لے جا سکتا ہے، اس لیے ہم منصب پتوں کا عوامی انٹرنیٹ پتے ہونا ضروری نہیں۔ جو بدلتا ہے وہ ان بیرونی پیکٹوں کا راستہ اور انھیں وصول کرنے والے انٹرفیس پر اجازتیں ہیں۔ SRX پر بیرونی کنٹرول راستہ، ٹنل انٹرفیس بائنڈنگ اور آگے بھیجے گئے ٹریفک کی پالیسی تین الگ اشیاء ہیں۔ باقی دو غلط ہوں تو ایک کی جانچ کرنا ہی ٹنل کے نیچے رہنے کی عام وجہ ہے۔

پہلے بیرونی IKE راستہ درج کریں

پالیسی کو چھونے سے پہلے چار قدریں لکھیں: ہم منصب پتہ، IKE وصول کرنے والا مقامی انٹرفیس، ہم منصب تک پہنچنے والا روٹنگ سیاق و سباق اور وہ راستہ جو اس انٹرفیس کو منتخب کرتا ہے۔ IKE پیکٹ خود SRX کو بھیجے جاتے ہیں، اس لیے انھیں وصول کرنے والے زون میں host-inbound اجازت درکار ہے، آگے بھیجے گئے ٹریفک کی پالیسی نہیں۔ نجی WAN پتہ اس ضرورت کو ختم نہیں کرتا، کیونکہ پیکٹ پھر بھی ڈیوائس پر ختم ہوتا ہے۔

نصب شدہ حالت اس سے جانچیں: show security ike sa اور کنفیگریشن اس سے: show configuration security ike۔ پہلا بتاتا ہے کہ مرحلہ 1 موجود ہے یا نہیں؛ دوسرا بتاتا ہے کہ ڈیوائس کیا کرنے کے بارے میں سوچتی ہے۔

ٹنل انٹرفیس کو درست پالیسی سے بائنڈ کریں

روٹنگ پر مبنی VPN ٹنل انٹرفیس کو VPN شے سے بائنڈ کرتا ہے، اور محفوظ سابقے اسی انٹرفیس میں روٹ ہوتے ہیں۔ درج کریں کہ کون سا انٹرفیس، کون سا راستہ اور کون سی پالیسی متعلقہ زونز کے درمیان ایپلیکیشنز کی اجازت دیتی ہے۔ trust نامی زون پالیسی کنٹینر ہے، اور نام یہ ثابت نہیں کرتا کہ مطلوبہ کنٹرول یا ڈیٹا پیکٹ کی اجازت ہے۔

پرانے خاکے کی بجائے اصل بائنڈنگ پڑھیں: show configuration security ipsec vpn انٹرفیس سے بائنڈ کرنے کی ترتیب کے لیے اور show configuration security policies ٹنل زون کا حوالہ دینے والے قواعد کے لیے۔

اگر محفوظ راستہ کہیں اور اشارہ کرے تو ٹنل اوپر ہو سکتا ہے مگر ٹریفک کبھی اس میں داخل نہیں ہوتا۔ یہ IPsec کے بھیس میں روٹنگ کا مسئلہ ہے۔

ہم منصب راستہ underlay پر رکھیں

بیرونی ہم منصب تک راستہ underlay کے ذریعے حل ہونا چاہیے، نہ کہ اس ٹنل کے ذریعے دہرائی سے جو یہ قائم کرتا ہے۔ اگر ہم منصب راستہ ٹنل انٹرفیس کی طرف اشارہ کرے تو IKE پیکٹ اپنی ہی ٹنل کے پیچھے بھاگتے ہیں اور مرحلہ 1 کبھی مکمل نہیں ہوتا۔ محفوظ ٹریفک کے جوابی راستے کو اپنا درست راستہ اور پالیسی درکار ہے، اور جب ایک سمت کام کرے تو عام طور پر یہی گمشدہ نصف ہوتا ہے۔ ہم منصب پتے کے لیے روٹ جدول کا اندراج پڑھیں اور تصدیق کریں کہ باہر جانے والا انٹرفیس WAN انٹرفیس ہے۔

یہ اس سے جانچیں: show route 198.51.100.10، اصل ہم منصب پتہ رکھ کر، اور تصدیق کریں کہ اگلا ہاپ ٹنل انٹرفیس نہیں ہے۔

کنٹرول اور سروس کو ترتیب سے جانچیں

اوپر کی طرف کام کریں: مرحلہ 1 کی حالت، مرحلہ 2 کی حالت، پھر اصل ایپلیکیشن بہاؤ۔ show security ipsec sa سیکیورٹی ایسوسی ایشنز کی فہرست دیتا ہے، اور show security flow session destination-prefix 10.60.0.0/16 دکھاتا ہے کہ محفوظ نیٹ ورک کے لیے آگے بھیجے گئے سیشن بن رہے ہیں یا نہیں۔

صحت مند کنٹرول تعلق اور فعال ڈیٹا راستہ دو مختلف نتائج ہیں، اور مرحلہ 2 کا پاس ہونا اس بارے میں کچھ نہیں کہتا کہ پالیسی ایپلیکیشن کی اجازت دیتی ہے یا نہیں۔ ایک اجازت شدہ بہاؤ اور ایک جسے پالیسی کو مسترد کرنا چاہیے، دونوں جانچیں تاکہ فرق نظر آئے۔

ہم منصب راستہ، host-inbound اجازت، ٹنل بائنڈنگ، اندرونی راستہ اور ایپلیکیشن پالیسی ایک ساتھ درج کریں۔ یہ پانچ ریکارڈ دکھاتے ہیں کہ آئندہ ناکامی کس پرت کی ہے، پورٹ لیبل پر انحصار کیے بغیر۔