VPN IPsec WAN Meji lori Junos: bá ọ̀nà orísun mu pẹ̀lú ẹnubodè tó tọ́

Ọ̀nà WAN méjì fún ibi kọ̀ọ̀kan dà bí àfikún títí tí o fi gbìyànjú láti fi ẹ̀rí hàn pé orísìí àdírẹ́sì wo ni ṣísan kan lò gan-an. Lori SRX, ẹnubodè IKE kan ń gbé interface ita kan àti àdírẹ́sì àdúgbò kan; àkójọ àwọn olùdíje jíjìnnà kò dá orísun àdúgbò kejì. Ìdí nìyẹn tí ìtọ́sọ́nà yìí fi bẹ̀rẹ̀ pẹ̀lú matrix àwọn orísìí, kì í ṣe pẹ̀lú ìṣètò, nítorí Junos máa ń commit ètò tí ó bo ìdajì àwọn àpapọ̀ tí o ní lọ́kàn lọ́nà rírọrùn. Mo pàdé èyí lori SRX345s méjì: ọ̀nà àbò náà gòkè jáde lọ́nà mímọ́, ó sì ṣì fa ìpàdé náà kalẹ̀ nígbà ìpadàbọ̀.

Tẹ̀lé àwọn ìgbésẹ̀ lẹ́sẹẹsẹ: ṣe àkójọ àwọn orísìí tí o gbọ́dọ̀ ṣe àtìlẹ́yìn fún, kọ́ ẹnubodè kan fún orísun àdúgbò kọ̀ọ̀kan, jẹ́rìí àjọṣepọ̀ tí ó gbé ìrìnàjò náà, kí o sì pinnu lẹ́yìn náà kini irú àìṣeéṣe kọ̀ọ̀kan lè yí padà.

Ṣe àwòrán àwọn orísìí kí o tó fi ọwọ́ kan CLI

Bí ibi A bá lè gbé orísun jáde láti A1 tàbí A2, tí ibi B sì lè gbà á lórí B1 tàbí B2, o ni orísìí àdírẹ́sì ita mẹ́rin. Ọ̀pọ̀ ètò nílò méjì nínú wọn nígbà gbogbo, wọ́n sì ka àwọn méjì yòókù sí àṣàyàn. Kọ matrix náà sílẹ̀ kí o sì samì ìlà kọ̀ọ̀kan, nítorí ìlà kọ̀ọ̀kan tí o bá ṣèlérí yóò ná ẹnubodè kan, interface ọ̀nà kan àti ìpinnu ìtọ́sọ́nà ní ọjọ́ iwájú.

Orísìí kọ̀ọ̀kan tí ó pọndandan nílò ohun mẹ́ta lẹ́sẹẹsẹ: underlay tí a lè dé àárín àwọn àdírẹ́sì yẹn gan-an, gbígba ẹnìkejì nínú ìdánimọ̀ ẹlẹgbẹ́ àti àdírẹ́sì orísun ní ẹ̀gbẹ́ méjèèjì, àti ọ̀nà ìpadà tí a dáàbò bò. Orísìí tí ó ń ṣiṣẹ́ ní ẹ̀gbẹ́ kan ṣoṣo yóò ṣì fi ọ̀nà hàn, àìṣeéṣe náà yóò sì farahàn lẹ́yìn náà gẹ́gẹ́ bí ìrìnàjò ohun èlò ní ẹ̀gbẹ́ kan.

Ẹnubodè kan fún orísun àdúgbò kọ̀ọ̀kan, kì í ṣe fún ibi jíjìnnà kọ̀ọ̀kan

Àkójọ àwọn àdírẹ́sì jíjìnnà jẹ́ ti ẹnubodè kan, orísun àdúgbò náà sì bẹ́ẹ̀. ìwé ìtọ́kasí ẹnubodè IKE ń tọ́jú àwọn àdírẹ́sì jíjìnnà, interface ita, àdírẹ́sì àdúgbò àti ìwádìí ẹlẹgbẹ́ tí ó kú gẹ́gẹ́ bí àwọn ètò ọ̀tọ̀ọ̀tọ̀, ìyẹn sì ni kókó náà: orísun àdúgbò méjì túmọ̀ sí ẹnubodè méjì lórí àwọn ẹ̀yà st0 méjì. Pínpín ìlànà IKE láàrin wọn dára; fífi ẹnubodè kan sílẹ̀ kí o sì retí pé òun fúnra rẹ̀ yóò yan orísun mìíràn kò dára.

set security ike policy IKE-P1 mode main
set security ike gateway GW-A1 ike-policy IKE-P1
set security ike gateway GW-A1 address 198.51.100.20
set security ike gateway GW-A1 address 198.51.100.21
set security ike gateway GW-A1 external-interface ge-0/0/0
set security ike gateway GW-A1 local-address 203.0.113.10
set security ike gateway GW-A1 version v2-only
set security ike gateway GW-A2 ike-policy IKE-P1
set security ike gateway GW-A2 address 198.51.100.20
set security ike gateway GW-A2 external-interface ge-0/0/3
set security ike gateway GW-A2 local-address 192.0.2.10
set security ike gateway GW-A2 version v2-only

Lẹ́yìn náà so àwọn ọ̀nà pọ̀, kí o sì fún prefix jíjìnnà ní next hop méjì, ọ̀kan fún ọ̀nà kọ̀ọ̀kan:

set interfaces st0 unit 1 family inet
set interfaces st0 unit 2 family inet
set security ipsec policy IPSEC-P1 perfect-forward-secrecy keys group14
set security ipsec vpn VPN-A1 bind-interface st0.1
set security ipsec vpn VPN-A1 ike gateway GW-A1 ipsec-policy IPSEC-P1
set security ipsec vpn VPN-A2 bind-interface st0.2
set security ipsec vpn VPN-A2 ike gateway GW-A2 ipsec-policy IPSEC-P1
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.1 preference 10
set routing-options static route 10.20.0.0/16 qualified-next-hop st0.2 preference 20

Bóyá ẹnubodè kan lè gbé ìtọ́ni méjì irú address dá lórí ìtúsílẹ̀ àti lórí ilana IKE tí ẹ̀rọ náà ń ṣiṣẹ́. Junos àtijọ́ tí ó dá lórí kmd ń gba àdírẹ́sì jíjìnnà kan fún ẹnubodè kọ̀ọ̀kan; àwọn build tuntun ń bójú àwọn olùdíje púpọ̀ ṣùgbọ́n wọ́n ń fi àwọn ìdíwọ́ tiwọn kún, àwọn ẹgbẹ́ ìwàlẹ̀ gíga sì jẹ́ ibi tí ó wọ́pọ̀ tí àtìlẹ́yìn yẹn ti ń dín kù. Wo àwọn àkọsílẹ̀ ìtúsílẹ̀ fún build rẹ gan-an kí o tó dà á láti chassis àtijọ́.

Jẹ́rìí àjọṣepọ̀ tí ó gbé pákìtì náà

SA méjì àti ọ̀nà méjì kò sọ èyí tí ó gbé ìpàdé náà jáde. Béèrè lọ́wọ́ ẹ̀rọ náà tààrà kí o sì fi àwọn pápá wé orísìí tí o ní lọ́kàn:

show security ike sa detail
show security ipsec sa detail
show security flow session destination-prefix 10.20.1.0/24
show interfaces st0.1 | match packets

Àbájáde kíkún ń dárúkọ ẹnubodè àdúgbò àti ti jíjìnnà fún àjọṣepọ̀ kọ̀ọ̀kan, èyí tí ó jẹ́ ọ̀nà tí ó yára jù láti kíyè sí ọ̀nà tí a dúnnáàdé láti orísun tí o kò retí. Lẹ́yìn náà wo àwọn òǹkà pákìtì fún ẹ̀yà kọ̀ọ̀kan lórí st0.1 àti st0.2 nígbà tí o ń gbé ìrìnàjò jáde; ọ̀nà tí kò gbé nkankan yóò tọ́jú SA rẹ̀, yóò sì dàbí aláìlera nínú àkópọ̀.

Fún irú àìṣeéṣe kọ̀ọ̀kan ní aṣàwárí tirẹ̀

Ìwàláàyè ẹlẹgbẹ́, pàdánù ọ̀nà òkè àdúgbò, yíyọ ọ̀nà tí a dáàbò bò àti bíbu ohun èlò jẹ́ ìṣẹ̀lẹ̀ mẹ́rin ọ̀tọ̀ọ̀tọ̀. DPD ń dáhùn ìkọ́kọ́ nìkan, nítorí náà ṣètò rẹ̀ pẹ̀lú àkókò àti ààlà tí o lè gbèjà, dípò fífi àìpé sílẹ̀ kí o sì rò pé ó bo ìyókù:

set security ike gateway GW-A1 dead-peer-detection interval 10
set security ike gateway GW-A1 dead-peer-detection threshold 3
set security ipsec vpn VPN-A1 vpn-monitor source-interface st0.1
set security ipsec vpn VPN-A1 vpn-monitor destination-ip 10.20.0.1

Ìṣọ́jú ọ̀nà tí ó ń dán ibi àfojúsùn wò nínú subnet jíjìnnà ń bo ipò tí DPD kò lè rí: IKE wà láàyè, ẹnubodè ń dáhùn, prefix tí a dáàbò bò kò sì dé bẹ́ẹ̀. Yan èyí tí ó yẹ kí ó fa ipò àkọ́kọ́, nítorí bí àwọn méjèèjì bá ṣiṣẹ́ lẹ́ẹ̀kan náà ìjì ìyípadà yóò wá dípò ìyípadà mímọ́.

Má gbàgbé ẹ̀gbẹ́ jíjìnnà. Ọ̀nà tí a fẹ́ tí ó wà níbi jíjìnnà yóò máa tọ́ka sí ọ̀nà tí o ti kọ̀ sílẹ̀, kò sì sí aago àdúgbò tí yóò tún un ṣe. Ṣe ìkéde ìmọ̀ràn ipò àkọ́kọ́ kan náà lórí ẹlẹgbẹ́ méjèèjì, kí o sì kọ sílẹ̀ bóyá ọ̀nà tí a mú padà lè gba ìrìnàjò padà fúnra rẹ̀ tàbí a gbọ́dọ̀ yí i padà pẹ̀lú ọwọ́.

Tún àdírẹ́sì ṣe fún ọ̀nà kan láìfi ọwọ́ kan èkejì

Nígbà tí ISP bá fún ọ ní blọ́ọ̀kù tuntun, yí ìbáṣepọ̀ kan padà lẹ́ẹ̀kan. Ṣe àtúnṣe address tàbí local-address lórí ẹlẹgbẹ́ méjèèjì fún orísìí yẹn, ṣe commit, kí o sì pa àwọn àjọṣepọ̀ tí ó kan mọ́ nìkan nípasẹ̀ atọ́ka dípò pipa gbogbo SA lórí ẹ̀rọ náà. Pípa gbogbo rẹ̀ yóò gbé ọ̀nà aláìlera pẹ̀lú, yóò sì sọ fèrèsé ìtọ́jú di ìdádúró.

Tọ́jú ṣísan kan tí ó kùnà pẹ̀lú àlàyé ìpàdé rẹ̀ gẹ́gẹ́ bí ẹ̀rí kí o tó pa ohunkóhun mọ́, lẹ́yìn náà tún àwọn àyẹ̀wò tí ó wà lókè ṣe lórí orísìí àdírẹ́sì tuntun. Mímú ọ̀nà padà jẹ́ ìpinnu ìtọ́sọ́nà, nítorí náà ka ìpadàbọ̀ sí ìgbésẹ̀ tí a ti dán wò lọ́nà tiwọn dípò ríronú pé ipò àkọ́kọ́ àtijọ́ yóò padà fúnra rẹ̀.

Pa ìyípadà náà dé pẹ̀lú àkójọ àyẹ̀wò kúkúrú

Ètò ọ̀nà WAN méjì ti parí nígbà tí o lè dárúkọ orísìí tí ó wà lẹ́yìn ìpàdé kọ̀ọ̀kan, kì í ṣe nígbà tí SA méjèèjì ti gòkè. Rin àkójọ tí ó wà nísàlẹ̀ lórí ẹ̀rọ tí o yí padà gan-an:

• Orísìí kọ̀ọ̀kan tí a ṣèlérí ní ẹnubodè kan, ẹ̀yà st0 kan àti àkọsílẹ̀ ọ̀nà kan.
• A ti rí ọ̀nà kọ̀ọ̀kan tí ó ń gbé pákìtì, kì í ṣe mímú SA nìkan.
• Ẹ̀gbẹ́ méjèèjì gbà lórí ìwádìí àti lórí ẹ̀gbẹ́ tí ó ń mú ipò àkọ́kọ́ padà.
• Ọ̀nà ìpadà fún orísìí kọ̀ọ̀kan wà ní ìwé lẹ́gbẹ̀ẹ́ ọ̀nà ìlọ rẹ̀.

Bí ìlà kan bá kùnà, tún orísìí yẹn ṣe kí o tó fi èyí tí ó tẹ̀le kún; gbígbé ọ̀nà méjì tí ń ṣiṣẹ́ ìdajì lórí ara wọn ń sọ àwọn òǹkà di aláìní ìtumọ̀, yóò sì sọ ìwà failover di aláìlè sọ tẹ́lẹ̀.