Junos ikki WAN IPsec VPN: manba yo'lini to'g'ri shlyuzga moslashtirish

Har bir sayt uchun ikkita WAN liniyasi zaxira kabi ko'rinadi, toki ma'lum bir oqim qaysi manzil juftidan haqiqatan foydalanganini isbotlashga urinmaguningizcha. SRXda bitta IKE shlyuzi bitta tashqi interfeys va bitta mahalliy manzilni olib o'tadi; uzoq nomzodlar ro'yxati ikkinchi mahalliy manba yaratmaydi. Shuning uchun bu qo'llanma konfiguratsiyadan emas, juftliklar matritsasidan boshlanadi, chunki Junos ko'zda tutgan kombinatsiyalaringizning faqat yarmini qamrab olgan loyihani ham bemalol commit qiladi. Men bunga ikkita SRX345s qurilmasida duch keldim: zaxira tunnel toza ko'tarildi va qaytishda sessiyani baribir yiqitdi.

Qadamlarni tartib bilan o'ting: qo'llab-quvvatlashingiz kerak bo'lgan juftliklarni sanab chiqing, har bir mahalliy manba uchun bitta shlyuz quring, trafikni qaysi assotsiatsiya olib o'tganini tasdiqlang va shundan keyingina har bir nosozlik turi nimani o'zgartirishi mumkinligini hal qiling.

CLIga tegishdan oldin juftliklarni xaritalashtiring

A sayti A1 yoki A2dan manba olsa, B sayti esa B1 yoki B2da qabul qilsa, sizda to'rtta tashqi manzil jufti bor. Aksariyat loyihalarga ulardan ikkitasi doimiy kerak, qolgan ikkitasi esa ixtiyoriy hisoblanadi. Matritsani yozing va har bir satrni belgilang, chunki va'da qilgan har bir satringiz keyinchalik sizga bitta shlyuz, bitta tunnel interfeysi va bitta marshrutlash qarori bo'lib qaytadi.

Har bir talab qilinadigan juftlikka bir vaqtda uch narsa kerak: aynan shu manzillar orasida yetib boriladigan underlay, ikkala uchida ham sherikning identifikatsiyasi va manba manzilini o'zaro qabul qilish, hamda himoyalangan qaytish yo'li. Faqat bir yo'nalishda ishlaydigan juftlik baribir tunnel ko'rsatadi va nosozlik keyinchalik ilovaning bir tomonlama trafigi sifatida namoyon bo'ladi.

Uzoq saytga emas, har bir mahalliy manbaga bitta shlyuz

Uzoq manzillar ro'yxati bitta shlyuzga tegishli, mahalliy manba ham shunday. IKE shlyuzlari bo'yicha ma'lumotnoma uzoq manzillarni, tashqi interfeysni, mahalliy manzilni va o'lik sherikni aniqlashni alohida sozlamalar sifatida saqlaydi va asosiy gap ham shunda: ikkita mahalliy manba ikkita st0 birligi ustida ikkita shlyuz demakdir. IKE siyosatini ular orasida bo'lishish mumkin; bitta shlyuzni saqlab, u o'zi boshqa manba tanlaydi deb umid qilish mumkin emas.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

So'ngra tunellarni ulang va uzoq prefiksga ikkita next hop bering, har bir tunnelga bittadan:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Bitta shlyuzning address turidagi ikkita ko'rsatmani saqlay olishi versiyaga va qurilma qaysi IKE jarayonini bajarishiga bog'liq. kmd asosidagi eski Junos har bir shlyuz uchun bitta uzoq manzilni qabul qiladi; yangi buildlar bir nechta nomzodni boshqaradi, lekin o'z cheklovlarini qo'shadi va yuqori mavjudlik klasterlari bu qo'llab-quvvatlash torayadigan odatiy joy. Buni eski shassidan ko'chirishdan oldin aniq buildingiz uchun chiqarilish eslatmalarini tekshiring.

Paketni qaysi assotsiatsiya olib o'tganini tasdiqlang

Ikkita SA va ikkita tunnel sessiyani qaysi biri uzatganini aytmaydi. Qurilmadan to'g'ridan-to'g'ri so'rang va maydonlarni ko'zda tutgan juftlik bilan solishtiring:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Batafsil chiqish har bir assotsiatsiya uchun mahalliy va uzoq shlyuzni ko'rsatadi, bu esa kutilmagan manbadan kelishilgan tunnelni payqashning eng tez yo'li. So'ngra trafik o'tkazayotganda st0.1 va st0.2 bo'yicha birlik hisoblagichlarini kuzatib boring; hech narsa olib o'tmaydigan tunnel o'z SA sini saqlaydi va umumiy ko'rinishda sog'lom ko'rinadi.

Har bir nosozlik turiga o'z detektorini bering

Sherikning tirikligi, mahalliy uplink yo'qolishi, himoyalangan marshrutning qaytarib olinishi va ilovaning ishdan chiqishi to'rt xil hodisadir. DPD faqat birinchisiga javob beradi, shuning uchun standart qiymatni qoldirib, qolganini qamrab oladi deb taxmin qilish o'rniga himoya qila oladigan interval va chegara bilan sozlang:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Uzoq ichki tarmoq ichidagi manzilni tekshiradigan tunnel monitoringi DPD ko'ra olmaydigan holatni qamrab oladi: IKE tirik, shlyuz javob beradi va himoyalangan prefiks baribir yetib bo'lmaydigan. Ikkisidan qaysi biri ustunlikni tortishi kerakligini tanlang, chunki ikkisi bir vaqtda ishga tushsa, toza o'tish o'rniga o'zgarishlar bo'roni yuzaga keladi.

Uzoq uchini unutmang. Uzoq saytda o'rnatilgan qolgan ustuvor marshrut siz allaqachon tashlab ketgan tunnelga ishora qilishda davom etadi va hech qanday mahalliy taymer buni tuzatmaydi. Xuddi shu ustunlik mantig'ini ikkala sherikda ham e'lon qiling va tiklangan liniya trafikni o'zi qaytara oladimi yoki qo'lda almashtirish kerakmi, yozib qo'ying.

Bir liniyani ikkinchisiga tegmasdan qayta manzillashtiring

Provayder sizga yangi blok bersa, har safar bitta aloqani o'zgartiring. Shu juftlik uchun ikkala sherikda address yoki local-address qiymatini yangilang, commit qiling va qurilmadagi barcha SAlarni tozalash o'rniga faqat ta'sirlangan assotsiatsiyalarni indeks bo'yicha tozalang. Global tozalash sog'lom tunnelni ham olib ketadi va texnik xizmat oynasini uzilishga aylantiradi.

Har qanday tozalashdan oldin bitta muvaffaqiyatsiz oqim va uning sessiya tafsilotlarini dalil sifatida saqlang, so'ngra yuqoridagi tekshiruvlarni yangi manzil juftiga qarshi qayta ishga tushiring. Liniyani tiklash marshrutlash qaroridir, shuning uchun qaytishni eski ustunlik o'z-o'zidan qaytadi deb taxmin qilish o'rniga alohida sinovdan o'tgan qadam sifatida ko'ring.

O'zgarishni qisqa tekshiruv ro'yxati bilan yakunlang

Ikki WAN tunnel loyihasi ikkala SA ko'tarilganda emas, har bir sessiya orqasidagi juftlikni ayta olganingizda tayyor bo'ladi. Quyidagi ro'yxatni haqiqatan o'zgartirgan qurilmangizda ko'rib chiqing:

• Har bir va'da qilingan juftlikda shlyuz, st0 birligi va marshrut yozuvi bor.
• Har bir tunnel paketlar olib o'tayotganda ko'rilgan, faqat SA saqlayotganda emas.
• Ikki uch aniqlash va ustunlikni qaysi tomon tiklaydi degan masalada kelishadi.
• Har bir juftlikning qaytish yo'li uning borish yo'li yonida yozilgan.

Agar biror satr to'g'ri kelmasa, keyingisini qo'shishdan oldin o'sha juftlikni tuzating; ikkita yarim ishlaydigan tunnelni ustma-ust qo'yish hisoblagichlarni ma'nosiz, failover xatti-harakatini esa oldindan aytib bo'lmaydigan qiladi.