Xususiy WAN orqali IPsec: tekshirilishi kerak bo‘lgan SRX siyosat chegaralari

Xususiy WAN IPsec tunnelining tashqi paketlarini tashishi mumkin, shuning uchun hamkor manzillari ommaviy internet manzillari bo‘lishi shart emas. O‘zgaradigan narsa — bu tashqi paketlar bosib o‘tadigan yo‘l va ularni qabul qiluvchi interfeysdagi ruxsatlar. SRX da tashqi boshqaruv yo‘li, tunnel interfeysining bog‘lanishi va uzatiladigan trafik siyosati uchta alohida obyekt. Qolgan ikkitasi noto‘g‘ri bo‘lganda bittasini tuzatish tunnel pastda qolishining odatiy sababidir.

Avval tashqi IKE yo‘lini yozib oling

Siyosatga tegishdan oldin to‘rtta qiymatni yozing: hamkor manzili, IKE qabul qiluvchi lokal interfeys, hamkorga yetib boradigan marshrutlash konteksti va o‘sha interfeysni tanlaydigan marshrut. IKE paketlari SRX ning o‘ziga manzillanadi, shuning uchun ular qabul qiluvchi zonada host-inbound ruxsatiga muhtoj, uzatiladigan trafik siyosatiga emas. Xususiy WAN manzili bu talabni bekor qilmaydi, chunki paket baribir qurilmada tugaydi.

O‘rnatilgan holatni bu bilan tekshiring: show security ike sa va konfiguratsiyani bu bilan: show configuration security ike. Birinchisi 1-faza bor-yo‘qligini, ikkinchisi qurilma nima qilish kerak deb o‘ylashini aytadi.

Tunnel interfeysini to‘g‘ri siyosatga bog‘lang

Marshrutlashga asoslangan VPN tunnel interfeysini VPN obyektiga bog‘laydi va himoyalangan prefikslar shu interfeysga marshrutlanadi. Qaysi interfeys, qaysi marshrut va qaysi siyosat tegishli zonalar orasidagi ilovalarga ruxsat berishini yozing. trust nomli zona siyosat konteyneri bo‘lib, nom zarur boshqaruv yoki ma’lumot paketlariga ruxsat berilganini isbotlamaydi.

Eski sxema o‘rniga haqiqiy bog‘lanishlarni o‘qing: show configuration security ipsec vpn interfeysga bog‘lash sozlamasi uchun va show configuration security policies tunnel zonasiga havola qiladigan qoidalar uchun.

Agar himoyalangan marshrut boshqa joyga ishora qilsa, tunnel yuqorida bo‘lishi mumkin, lekin trafik hech qachon unga kirmaydi. Bu IPsec libosidagi marshrutlash muammosi.

Hamkor marshrutini underlay da saqlang

Tashqi hamkorga marshrut underlay orqali hal qilinishi kerak, u o‘zi yaratgan tunnel orqali rekursiv emas. Agar hamkor marshruti tunnel interfeysiga ishora qilsa, IKE paketlari o‘z tunnelini quvib, 1-faza hech qachon tugamaydi. Himoyalangan trafikning javob yo‘li o‘zining to‘g‘ri marshruti va siyosatiga muhtoj va bir yo‘nalish ishlaganda odatda yetishmayotgan yarmi shu bo‘ladi. Hamkor manzili uchun marshrutlar jadvali yozuvini o‘qing va chiquvchi interfeys WAN interfeysi ekanini tasdiqlang.

Buni bu bilan tekshiring: show route 198.51.100.10, haqiqiy hamkor manzilini qo‘yib, va keyingi sakrash tunnel interfeysi emasligini tasdiqlang.

Boshqaruv va xizmatni tartib bilan tekshiring

Yuqoriga qarab ishlang: 1-faza holati, 2-faza holati, so‘ng haqiqiy ilova oqimi. show security ipsec sa xavfsizlik assotsiatsiyalarini sanaydi va show security flow session destination-prefix 10.60.0.0/16 himoyalangan tarmoq uchun uzatiladigan sessiyalar yaratilayotganini ko‘rsatadi.

Sog‘lom boshqaruv aloqasi va ishlaydigan ma’lumot yo‘li ikki xil natijadir, va 2-fazadan o‘tish siyosat ilovaga ruxsat beradimi-yo‘qmi degani haqida hech narsa demaydi. Ruxsat berilgan bitta oqimni va siyosat rad etishi kerak bo‘lgan bittasini sinab ko‘ring, farq ko‘rinadigan bo‘lsin.

Hamkor marshrutini, host-inbound ruxsatini, tunnel bog‘lanishini, ichki marshrutni va ilova siyosatini birga yozing. Bu besh yozuv kelajakdagi nosozlik qaysi qatlamga tegishli ekanini port yorlig‘iga tayanmasdan ko‘rsatadi.