IPsec trên WAN riêng: ranh giới chính sách SRX cần kiểm tra

Một WAN riêng có thể mang các gói bên ngoài của tunnel IPsec, nên địa chỉ peer không nhất thiết phải là địa chỉ internet công cộng. Điều thay đổi là đường đi của các gói bên ngoài đó và quyền trên giao diện nhận chúng. Trên SRX, đường điều khiển bên ngoài, liên kết giao diện tunnel và chính sách lưu lượng được chuyển tiếp là ba đối tượng riêng biệt. Khắc phục sự cố ở một cái trong khi hai cái còn lại sai là nguyên nhân thường gặp khiến tunnel nằm im.

Trước hết ghi lại đường IKE bên ngoài

Ghi bốn giá trị trước khi chạm vào chính sách: địa chỉ peer, giao diện cục bộ nhận IKE, ngữ cảnh định tuyến đến được peer và tuyến chọn giao diện đó. Các gói IKE được gửi đến chính SRX, nên chúng cần quyền host-inbound trong vùng nhận, không phải chính sách lưu lượng chuyển tiếp. Địa chỉ WAN riêng không loại bỏ yêu cầu đó, vì gói vẫn kết thúc trên thiết bị.

Kiểm tra trạng thái đã cài bằng show security ike sa và cấu hình bằng show configuration security ike. Cái thứ nhất cho biết pha 1 có tồn tại hay không; cái thứ hai cho biết thiết bị nghĩ mình nên làm gì.

Liên kết giao diện tunnel với chính sách đúng

Một VPN dựa trên định tuyến liên kết giao diện tunnel với một đối tượng VPN, và các tiền tố được bảo vệ được định tuyến vào giao diện đó. Ghi lại giao diện nào, tuyến nào và chính sách nào cho phép các ứng dụng giữa các vùng liên quan. Vùng tên trust là một vật chứa chính sách, và cái tên không chứng minh rằng các gói điều khiển hoặc dữ liệu cần thiết được phép.

Đọc các liên kết thực tế thay vì sơ đồ cũ: show configuration security ipsec vpn cho thiết lập liên kết với giao diện và show configuration security policies cho các quy tắc tham chiếu vùng tunnel.

Nếu tuyến được bảo vệ trỏ đến nơi khác, tunnel có thể ở trạng thái lên trong khi lưu lượng không bao giờ đi vào. Đây là vấn đề định tuyến khoác áo IPsec.

Giữ tuyến peer trên underlay

Tuyến đến peer bên ngoài phải được giải qua underlay, không phải đệ quy qua tunnel mà nó thiết lập. Nếu tuyến peer trỏ đến giao diện tunnel, các gói IKE đuổi theo tunnel của chính chúng và pha 1 không bao giờ hoàn tất. Đường trả về cho lưu lượng được bảo vệ cần tuyến và chính sách đúng của riêng nó, và đó thường là nửa còn thiếu khi một hướng hoạt động. Đọc mục bảng định tuyến cho địa chỉ peer và xác nhận giao diện đi ra là giao diện WAN.

Kiểm tra bằng show route 198.51.100.10, thay địa chỉ peer thật vào, và xác nhận bước nhảy tiếp theo không phải giao diện tunnel.

Xác minh điều khiển và dịch vụ theo thứ tự

Làm từ dưới lên: trạng thái pha 1, trạng thái pha 2, sau đó là một luồng ứng dụng thực. show security ipsec sa liệt kê các liên kết bảo mật, và show security flow session destination-prefix 10.60.0.0/16 cho biết các phiên được chuyển tiếp có đang được tạo cho mạng được bảo vệ hay không.

Một quan hệ điều khiển khỏe mạnh và một đường dữ liệu hoạt động là hai kết quả khác nhau, và việc qua pha 2 không nói gì về việc chính sách có cho phép ứng dụng hay không. Hãy thử một luồng được phép và một luồng mà chính sách phải từ chối, để thấy rõ khác biệt.

Ghi cùng nhau tuyến peer, quyền host-inbound, liên kết tunnel, tuyến bên trong và chính sách ứng dụng. Năm bản ghi đó cho thấy tầng nào sẽ chịu trách nhiệm cho sự cố sau này mà không dựa vào nhãn cổng.