IPsec lori WAN aladani: awọn opin eto SRX ti o yẹ ki a yẹwo

WAN aladani le gbe awọn pakẹti ita ti tunnel IPsec, nitorina awọn adirẹsi ẹlẹgbẹ ko nilo lati jẹ adirẹsi intanẹẹti gbangba. Ohun ti n yipada ni ọna ti awọn pakẹti ita wọnyẹn n gba ati awọn igbanilaaye lori interface ti n gba wọn. Lori SRX, ọna iṣakoso ita, isopọ interface tunnel ati eto traffic ti a gbe lọ jẹ awọn ohun mẹta ọtọọtọ. Wiwa iṣoro ninu ọkan nigba ti awọn meji miiran jẹ aṣiṣe ni idi ti o wọpọ ti tunnel fi n wa ni isalẹ.

Kọkọ ṣe akọsilẹ ọna IKE ita

Kọ awọn iye mẹrin ṣaaju ki o to fi ọwọ kan eto: adirẹsi ẹlẹgbẹ, interface agbegbe ti n gba IKE, ipo ipa ọna ti o de ẹlẹgbẹ ati ipa ọna ti n yan interface yẹn. Awọn pakẹti IKE ni a fi ranṣẹ si SRX funrararẹ, nitorina wọn nilo igbanilaaye host-inbound ni agbegbe gbigba, kii ṣe eto traffic ti a gbe lọ. Adirẹsi WAN aladani ko yọ ibeere yẹn kuro, nitori pakẹti naa tun pari lori ẹrọ naa.

Yẹwo ipo ti a fi sori ẹrọ pẹlu show security ike sa ati iṣeto pẹlu show configuration security ike. Ẹkọkọ sọ boya ipele 1 wa; ẹkeji sọ ohun ti ẹrọ naa ro pe o yẹ ki o ṣe.

So interface tunnel pọ mọ eto to tọ

VPN ti o da lori ipa ọna so interface tunnel pọ mọ ohun VPN, ati pe awọn prefiksi ti a daabobo ni a tọ ipa ọna sinu interface yẹn. Ṣe akọsilẹ interface wo, ipa ọna wo ati eto wo ni o gba awọn ohun elo laaye laarin awọn agbegbe ti o kan. Agbegbe ti a n pe ni trust jẹ apoti eto, ati orukọ naa ko fi idi rẹ mulẹ pe awọn pakẹti iṣakoso tabi data ti o nilo ni a gba laaye.

Ka awọn isopọ gidi dipo aworan atijọ: show configuration security ipsec vpn fun eto isopọ mọ interface ati show configuration security policies fun awọn ofin ti o tọka si agbegbe tunnel.

Ti ipa ọna ti a daabobo ba tọka si ibomiiran, tunnel le wa ni oke nigba ti traffic ko tii wọ inu rẹ rara. Eyi jẹ iṣoro ipa ọna ti o wọ aṣọ IPsec.

Pa ipa ọna ẹlẹgbẹ mọ lori underlay

Ipa ọna si ẹlẹgbẹ ita gbọdọ yanjẹ nipasẹ underlay, kii ṣe ni atunwi nipasẹ tunnel ti o ṣẹda. Ti ipa ọna ẹlẹgbẹ ba tọka si interface tunnel, awọn pakẹti IKE n lepa tunnel tiwọn ati pe ipele 1 ko pari rara. Ọna idahun fun traffic ti a daabobo nilo ipa ọna ati eto tirẹ to tọ, ati pe nigbagbogbo iyẹn ni idaji ti o nsọnu nigba ti itọsọna kan n ṣiṣẹ. Ka akọsilẹ tabili ipa ọna fun adirẹsi ẹlẹgbẹ ki o si jẹrisi pe interface ti n jade ni interface WAN.

Yẹwo rẹ pẹlu show route 198.51.100.10, fi adirẹsi ẹlẹgbẹ gidi sii, ki o si jẹrisi pe ipa ti o tẹle kii ṣe interface tunnel.

Jẹrisi iṣakoso ati iṣẹ ni ilana

Ṣiṣẹ lọ si oke: ipo ipele 1, ipo ipele 2, lẹhinna ṣiṣan ohun elo gidi. show security ipsec sa ṣe atokọ awọn ẹgbẹ aabo, ati show security flow session destination-prefix 10.60.0.0/16 fihan boya awọn akoko ti a gbe lọ n ṣẹda fun nẹtiwọọki ti a daabobo.

Ibatan iṣakoso ti o ni ilera ati ọna data ti n ṣiṣẹ jẹ awọn abajade meji ọtọọtọ, ati pe ipele 2 ti o kọja ko sọ nkankan nipa boya eto naa gba ohun elo laaye. Dan ṣiṣan kan ti a gba laaye ati ọkan ti eto yẹ ki o kọ, ki iyatọ naa han.

Kọ ipa ọna ẹlẹgbẹ, igbanilaaye host-inbound, isopọ tunnel, ipa ọna inu ati eto ohun elo papọ. Awọn akọsilẹ marun wọnyi fihan ipele ti yoo ni idaamu ọjọ iwaju laisi gbigbẹ lori aami ibudo.