VPN IPsec hai WAN trên Junos: khớp đường nguồn với đúng cổng

Hai liên kết WAN trên mỗi site trông như dự phòng cho đến khi bạn cố chứng minh cặp địa chỉ nào một luồng cụ thể thực sự đã dùng. Trên SRX, một cổng IKE mang một giao diện ngoài và một địa chỉ cục bộ; danh sách ứng viên từ xa không tạo ra nguồn cục bộ thứ hai. Vì vậy hướng dẫn này bắt đầu bằng ma trận cặp chứ không phải cấu hình, bởi Junos sẵn sàng commit một thiết kế chỉ phủ nửa số tổ hợp bạn dự định. Tôi gặp chuyện này trên hai SRX345s: đường hầm dự phòng lên sạch và vẫn kéo sập phiên khi quay lại.

Đi qua các bước theo thứ tự: liệt kê những cặp phải hỗ trợ, dựng một cổng cho mỗi nguồn cục bộ, xác nhận hiệp hội nào đã mang lưu lượng, và chỉ sau đó quyết định mỗi loại sự cố được phép thay đổi điều gì.

Lập bản đồ các cặp trước khi chạm vào CLI

Nếu site A có thể phát từ A1 hoặc A2 và site B có thể nhận trên B1 hoặc B2, bạn có bốn cặp địa chỉ ngoài. Hầu hết thiết kế cần hai trong số đó liên tục và coi hai cặp còn lại là tùy chọn. Hãy ghi ma trận ra và đánh dấu từng dòng, vì mỗi dòng bạn hứa sẽ tốn một cổng, một giao diện đường hầm và một quyết định định tuyến về sau.

Mỗi cặp cần thiết cần ba thứ cùng lúc: một underlay đến được giữa đúng các địa chỉ đó, sự chấp nhận lẫn nhau về danh tính đối tác và địa chỉ nguồn ở hai đầu, cùng một đường quay về được bảo vệ. Một cặp chỉ chạy một chiều vẫn hiển thị đường hầm, và sự cố lộ ra sau đó dưới dạng lưu lượng ứng dụng một chiều.

Một cổng cho mỗi nguồn cục bộ, không phải cho mỗi site từ xa

Danh sách địa chỉ từ xa thuộc về một cổng, và nguồn cục bộ cũng vậy. tài liệu tham chiếu cổng IKE giữ địa chỉ từ xa, giao diện ngoài, địa chỉ cục bộ và phát hiện đối tác chết như những thiết lập riêng, và đó chính là điểm mấu chốt: hai nguồn cục bộ nghĩa là hai cổng trên hai đơn vị st0. Chia sẻ chính sách IKE giữa chúng thì ổn; giữ một cổng và hy vọng nó tự chọn nguồn khác thì không.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Sau đó gắn các đường hầm và cho tiền tố từ xa hai next hop, mỗi đường hầm một cái:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Việc một cổng có giữ được hai câu lệnh kiểu address hay không phụ thuộc vào bản phát hành và vào tiến trình IKE mà thiết bị chạy. Junos cũ dựa trên kmd chỉ nhận một địa chỉ từ xa cho mỗi cổng; các bản mới xử lý nhiều ứng viên nhưng thêm ràng buộc riêng, và cụm sẵn sàng cao là nơi phổ biến mà hỗ trợ đó bị thu hẹp. Hãy xem ghi chú phát hành cho đúng bản dựng của bạn trước khi sao chép điều này từ một khung máy cũ.

Xác nhận hiệp hội nào đã mang gói tin

Hai SA và hai đường hầm không cho biết cái nào đã chuyển tiếp phiên. Hỏi trực tiếp thiết bị và so các trường với cặp bạn dự định:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Đầu ra chi tiết nêu cổng cục bộ và cổng từ xa cho từng hiệp hội, đây là cách nhanh nhất để phát hiện một đường hầm được thương lượng từ nguồn bạn không ngờ. Sau đó theo dõi bộ đếm gói theo từng đơn vị trên st0.1 và st0.2 trong khi đẩy lưu lượng qua; một đường hầm không mang gì vẫn giữ SA của nó và trông khỏe trong phần tổng hợp.

Cho mỗi loại sự cố một bộ phát hiện riêng

Sự sống của đối tác, mất liên kết lên cục bộ, rút tuyến được bảo vệ và hỏng ứng dụng là bốn sự kiện khác nhau. DPD chỉ trả lời sự kiện đầu tiên, nên hãy cấu hình nó với khoảng và ngưỡng bạn bảo vệ được thay vì để mặc định và cho rằng nó phủ phần còn lại:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Giám sát đường hầm thử một đích bên trong subnet từ xa phủ trường hợp DPD không thấy: IKE còn sống, cổng trả lời, mà tiền tố được bảo vệ vẫn không tới được. Chọn bên nào trong hai bên được kéo ưu tiên, vì nếu cả hai cùng kích hoạt thì sẽ thành bão thay đổi chứ không phải chuyển đổi sạch.

Đừng quên đầu xa. Một tuyến ưu tiên còn cài trên site từ xa vẫn trỏ vào đường hầm bạn đã bỏ, và không bộ đếm thời gian cục bộ nào sửa được điều đó. Công bố cùng logic ưu tiên trên cả hai đầu, và ghi lại liệu liên kết phục hồi có được tự động lấy lại lưu lượng hay phải chuyển bằng tay.

Đánh địa chỉ lại một liên kết mà không chạm vào liên kết kia

Khi nhà cung cấp cấp cho bạn một khối mới, hãy đổi từng quan hệ một. Cập nhật address hoặc local-address trên cả hai đầu cho cặp đó, commit, và chỉ xóa những hiệp hội bị ảnh hưởng theo chỉ số thay vì xóa mọi SA trên thiết bị. Xóa toàn cục kéo theo cả đường hầm khỏe và biến cửa sổ bảo trì thành gián đoạn.

Giữ một luồng thất bại cùng chi tiết phiên của nó làm bằng chứng trước khi dọn dẹp bất cứ thứ gì, rồi chạy lại các kiểm tra ở trên trên cặp địa chỉ mới. Khôi phục một liên kết là quyết định định tuyến, nên hãy coi việc quay lại là một bước đã được kiểm thử riêng thay vì cho rằng ưu tiên cũ tự trở lại.

Khép lại thay đổi bằng một danh sách kiểm tra ngắn

Một thiết kế đường hầm hai WAN hoàn tất khi bạn gọi được tên cặp đứng sau mỗi phiên, không phải khi cả hai SA đã lên. Hãy đi qua danh sách dưới đây trên đúng thiết bị bạn đã sửa:

• Mỗi cặp đã hứa có một cổng, một đơn vị st0 và một mục tuyến.
• Mỗi đường hầm đã được thấy mang gói tin, không chỉ giữ một SA.
• Hai đầu đồng ý về cách phát hiện và về bên nào khôi phục ưu tiên.
• Đường quay về của mỗi cặp được ghi cạnh đường đi của nó.

Nếu một dòng không đạt, sửa cặp đó trước khi thêm cặp tiếp theo; chồng hai đường hầm chạy nửa vời lên nhau khiến các bộ đếm vô nghĩa và hành vi failover không đoán được.