VPNs IPsec baseadas em políticas
Uma VPN baseada em política é uma configuração na qual um túnel vpn IPsec criado entre dois pontos final é especificado na própria política com uma ação política para o tráfego de trânsito que atende aos critérios de combinação da política.
Entender VPNs IPsec baseadas em políticas
Para VPNs IPsec baseadas em políticas, uma política de segurança especifica como sua ação o túnel VPN a ser usado para tráfego de trânsito que atende aos critérios de combinação da política. Uma VPN está configurada independentemente de uma declaração de política. A instrução de política refere-se ao nome da VPN para especificar o tráfego que pode ter acesso ao túnel. Para VPNs baseadas em política, cada política cria uma associação de segurança IPsec (SA) individual com o peer remoto, cada uma das quais conta como um túnel de VPN individual. Por exemplo, se uma política contiver um endereço de origem de grupo e um endereço de destino de grupo, sempre que um dos usuários do conjunto de endereços tenta se comunicar com qualquer um dos hosts especificados como o endereço de destino, um novo túnel é negociado e estabelecido. Como cada túnel requer seu próprio processo de negociação e um par separado de SAs, o uso de VPNs IPsec baseadas em políticas pode ser mais intensiva em recursos do que VPNs baseadas em roteamento.
Exemplos de onde VPNs baseadas em políticas podem ser usadas:
Você está implementando uma VPN dial-up.
VPNs baseadas em políticas permitem que você direcionar o tráfego com base em políticas de firewall.
Recomendamos que você use VPN baseada em roteamento quando quiser configurar uma VPN entre vários locais remotos. AS VPNs baseadas em rota podem fornecer os mesmos recursos das VPNs baseadas em políticas.
Consulte também
Exemplo: Configuração de uma VPN baseada em políticas
Este exemplo mostra como configurar uma VPN IPsec baseada em políticas para permitir que os dados sejam transferidos com segurança entre dois sites.
Requisitos
Este exemplo usa o seguinte hardware:
-
Qualquer dispositivo da Série SRX
- Atualizado e revalidado usando vSRX no Junos OS Release 20.4R1.
Você está interessado em ter uma experiência prática com os tópicos e as operações abordados neste guia? Visite a demonstração baseada em políticas do IPsec nos Juniper Networks Virtual Labs e reserve sua sandbox gratuita hoje mesmo! Você encontra a sandbox baseada em políticas de VPN IPsec na categoria Segurança.
Antes de começar, leia Visão geral do IPsec .
Visão geral
Neste exemplo, você configura uma VPN baseada em políticas no SRX1 e no SRX2. Host1 e Host2 usam a VPN para enviar tráfego com segurança pela Internet entre ambos os hosts.
Figura 1 mostra um exemplo de topologia de VPN baseada em políticas.
IKE de túnel IPsec ocorre em duas fases. Na Fase 1, os participantes estabelecem um canal seguro no qual negociarão a associação de segurança IPsec (SA). Na Fase 2, os participantes negociam a IPsec SA para autenticar o tráfego que passará pelo túnel. Assim como existem duas fases para a negociação do túnel, existem duas fases para a configuração do túnel.
Neste exemplo, você configura interfaces, uma rota padrão IPv4 e zonas de segurança. Depois, você configura IKE Fase 1, IPsec Fase 2, política de segurança e parâmetros TCP-MSS. Veja Tabela 1Tabela 5 através .
|
Recursos |
Nome |
Parâmetros de configuração |
|---|---|---|
|
Interfaces |
ge-0/0/0.0 |
10.100.11.1/24 |
|
ge-0/0/1.0 |
172.16.13.1/24 |
|
|
Zonas de segurança |
Confiar |
|
|
inverdade |
|
|
|
Rotas estáticas |
0.0.0.0/0 |
|
|
Recursos |
Nome |
Parâmetros de configuração |
|---|---|---|
|
Proposta |
Padrão |
|
|
Política |
IKE-POL |
|
|
Gateway |
IKE-GW |
|
|
Recursos |
Nome |
Parâmetros de configuração |
|---|---|---|
|
Proposta |
Padrão |
|
|
Política |
IPSEC-POL |
|
|
VPN |
VPN-to-Host2 |
|
|
Propósito |
Nome |
Parâmetros de configuração |
|---|---|---|
|
Essa política de segurança permite o tráfego da zona de confiança até a zona não confiável. |
VPN-OUT |
|
|
Essa política de segurança permite o tráfego da zona não confiável até a zona de confiança. |
VPN-IN |
|
|
Essa política de segurança permite que todo o tráfego da zona de confiança seja para a zona mais confiável. Você deve colocar a política de VPN-OUT antes da política de segurança de licença padrão. O Junos OS realiza uma olhada na política de segurança começando no topo da lista. Caso a política de permissão padrão venha antes da política de VPN-OUT, todo o tráfego da zona de confiança corresponde à política de permissão padrão e é permitido. Assim, nenhum tráfego será igual à política de VPN-OUT. |
licença padrão |
|
|
Propósito |
Parâmetros de configuração |
|---|---|
|
O TCP-MSS é negociado como parte do aperto de mão de três vias TCP e limita o tamanho máximo de um segmento TCP para se ajustar melhor aos limites de unidade de transmissão máxima (MTU) em uma rede. Isso é especialmente importante para o tráfego de VPN, pois a sobrecarga de encapsulamento IPsec, juntamente com a sobrecarga de IP e do quadro, pode fazer com que o pacote de Payload de segurança (ESP) do encapsulamento resultante exceda a MTU da interface física, causando fragmentação. A fragmentação resulta no uso ampliado da largura de banda e dos recursos do dispositivo. Recomendamos um valor de 1350 como ponto de partida para a maioria das redes baseadas em Ethernet com uma MTU de 1.500 ou mais. Você pode precisar experimentar com diferentes valores de TCP-MSS para obter o desempenho ideal. Por exemplo, você pode precisar alterar o valor se algum dispositivo no caminho tiver uma MTU inferior ou se houver sobrecarga adicional, como o PPP ou o Frame Relay. |
Valor do MSS: 1350 |
Configuração
- Configurando informações básicas de rede e zona de segurança
- Configuração de IKE
- Configuração do IPsec
- Configuração de políticas de segurança
- Configuração do TCP-MSS
- Configuração do SRX2
Configurando informações básicas de rede e zona de segurança
Configuração rápida CLI
Para configurar rapidamente este exemplo para SRX1, copie os comandos a seguir, confie-os em um arquivo de texto, remova quaisquer quebras de linha, altere quaisquer detalhes necessários para combinar com a configuração da sua rede, copie e colar os comandos na CLI no nível da hierarquia e, em seguida, entre no modo de [edit]commit configuração.
set interfaces ge-0/0/0 unit 0 family inet address 10.100.11.1/24 set interfaces ge-0/0/1 unit 0 family inet address 172.16.13.1/24 set interfaces lo0 unit 0 family inet address 10.100.100.1/32 set routing-options static route 0.0.0.0/0 next-hop 172.16.13.2 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust interfaces ge-0/0/0.0 set security zones security-zone untrust host-inbound-traffic system-services ike set security zones security-zone untrust host-inbound-traffic system-services ping set security zones security-zone untrust interfaces ge-0/0/1.0
Procedimento passo a passo
O exemplo a seguir requer que você navegar por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, consulte o Guia do Usuário da CLI.
Para configurar informações de interface, rota estática e zona de segurança:
-
Configure as interfaces.
[edit] user@SRX1# set interfaces ge-0/0/0 unit 0 family inet address 10.100.11.1/24 user@SRX1# set interfaces ge-0/0/1 unit 0 family inet address 172.16.13.1/24 user@SRX1# set interfaces lo0 unit 0 family inet address 10.100.100.1/32
-
Configure as rotas estáticas.
[edit] user@SRX1# set routing-options static route 0.0.0.0/0 next-hop 172.16.13.2
-
Atribua a interface voltada para a Internet à zona de segurança não segura.
[edit security zones security-zone untrust] user@SRX1# set interfaces ge-0/0/1.0
-
Especifique os serviços de sistema permitidos para a zona de segurança falsa.
[edit security zones security-zone untrust] user@SRX1# set host-inbound-traffic system-services ike user@SRX1# set host-inbound-traffic system-services ping
-
Atribua a interface voltada ao Host1 à zona de segurança de confiança.
[edit security zones security-zone trust] user@SRX1# set interfaces ge-0/0/0.0
-
Especifique os serviços de sistema permitidos para a zona de segurança de confiança.
[edit security zones security-zone trust] user@SRX1# set host-inbound-traffic system-services all
Resultados
A partir do modo de configuração, confirme sua configuração show interfaces inserindo os show routing-options comandos , e . show security zones Se a saída não apresentar a configuração pretendido, repetirá as instruções de configuração neste exemplo para corrigi-la.
[edit]
user@SRX1# show interfaces
ge-0/0/0 {
unit 0 {
family inet {
address 10.100.11.1/24;
}
}
}
ge-0/0/1 {
unit 0 {
family inet {
address 172.16.13.1/24;
}
}
}
lo0 {
unit 0 {
family inet {
address 10.100.100.1/32;
}
}
}
[edit]
user@SRX1# show routing-options
static {
route 0.0.0.0/0 next-hop 172.16.13.2;
}
[edit]
user@SRX1# show security zones
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
}
interfaces {
ge-0/0/0.0;
}
}
security-zone untrust {
host-inbound-traffic {
system-services {
ike;
ping;
}
}
interfaces {
ge-0/0/1.0;
}
}
Configuração de IKE
Configuração rápida CLI
Para configurar rapidamente este exemplo para SRX1, copie os comandos a seguir, confie-os em um arquivo de texto, remova quaisquer quebras de linha, altere quaisquer detalhes necessários para combinar com a configuração da sua rede, copie e colar os comandos na CLI no nível da hierarquia e, em seguida, entre no modo de [edit]commit configuração.
set security ike proposal standard authentication-method pre-shared-keys set security ike policy IKE-POL mode main set security ike policy IKE-POL proposals standard set security ike policy IKE-POL pre-shared-key ascii-text $ABC123 set security ike gateway IKE-GW ike-policy IKE-POL set security ike gateway IKE-GW address 172.16.23.1 set security ike gateway IKE-GW external-interface ge-0/0/1
Procedimento passo a passo
O exemplo a seguir requer que você navegar por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, consulte o Guia do Usuário da CLI.
Para configurar IKE:
-
Crie a IKE da empresa.
[edit security ike] user@SRX1# set proposal standard
-
Defina o IKE de autenticação de propostas.
[edit security ike proposal standard] user@SRX1# set authentication-method pre-shared-keys
-
Crie a IKE de segurança.
[edit security ike] user@SRX1# set policy IKE-POL
-
De definir o IKE de política.
[edit security ike policy IKE-POL] user@SRX1# set mode main
-
Especifique uma referência à IKE proposta.
[edit security ike policy IKE-POL] user@SRX1# set proposals standard
-
Defina o IKE de autenticação de políticas.
[edit security ike policy IKE-POL] user@SRX1# set pre-shared-key ascii-text $ABC123
-
Crie o gateway IKE e defina sua interface externa.
[edit security ike gateway IKE-GW] user@SRX1# set external-interface ge-0/0/1.0
-
Defina o IKE gateway de acesso.
[edit security ike gateway IKE-GW] user@SRX1# address 172.16.23.1
-
Defina a IKE de política.
[edit security ike gateway IKE-GW] user@SRX1# set ike-policy IKE-POL
Resultados
A partir do modo de configuração, confirme sua configuração ao entrar no show security ike comando. Se a saída não apresentar a configuração pretendido, repetirá as instruções de configuração neste exemplo para corrigi-la.
[edit]
user@host# show security ike
proposal standard {
authentication-method pre-shared-keys;
}
policy IKE-POL {
mode main;
proposals standard;
pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
gateway IKE-GW {
ike-policy IKE-POL;
address 172.16.23.1;
external-interface ge-0/0/1;
}
Configuração do IPsec
Configuração rápida CLI
Para configurar rapidamente este exemplo para SRX1, copie os comandos a seguir, confie-os em um arquivo de texto, remova quaisquer quebras de linha, altere quaisquer detalhes necessários para combinar com a configuração da sua rede, copie e colar os comandos na CLI no nível da hierarquia e, em seguida, entre no modo de [edit]commit configuração.
set security ipsec proposal standard set security ipsec policy IPSEC-POL proposals standard set security ipsec vpn VPN-to-Host2 ike gateway IKE-GW set security ipsec vpn VPN-to-Host2 ike ipsec-policy IPSEC-POL set security ipsec vpn VPN-to-Host2 establish-tunnels immediately
Procedimento passo a passo
O exemplo a seguir requer que você navegar por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, consulte o Guia do Usuário da CLI.
Para configurar o IPsec:
-
Crie a proposta do IPsec.
[edit] user@SRX1# set security ipsec proposal standard
-
Crie a política IPsec.
[edit security ipsec] user@SRX1# set policy IPSEC-POL
-
Especifique a referência da proposta do IPsec.
[edit security ipsec policy IPSEC-POL] user@SRX1# set proposals standard
-
Especifique o IKE gateway.
[edit security ipsec] user@SRX1# set vpn VPN-to-Host2 ike gateway IKE-GW
-
Especifique a política IPsec.
[edit security ipsec] user@SRX1# set vpn VPN-to-Host2 ike ipsec-policy IPSEC-POL
-
Configure o túnel para estabelecer imediatamente.
[edit security ipsec] user@SRX1# set vpn VPN-to-Host2 establish-tunnels immediately
Resultados
A partir do modo de configuração, confirme sua configuração ao entrar no show security ipsec comando. Se a saída não apresentar a configuração pretendido, repetirá as instruções de configuração neste exemplo para corrigi-la.
[edit]
user@SRX1# show security ipsec
proposal standard;
policy IPSEC-POL {
proposals standard;
}
vpn VPN-to-Host2 {
ike {
gateway IKE-GW;
ipsec-policy IPSEC-POL;
}
establish-tunnels immediately;
}
Configuração de políticas de segurança
Configuração rápida CLI
Para configurar rapidamente este exemplo para SRX1, copie os comandos a seguir, confie-os em um arquivo de texto, remova quaisquer quebras de linha, altere quaisquer detalhes necessários para combinar com a configuração da sua rede, copie e colar os comandos na CLI no nível da hierarquia e, em seguida, entre no modo de [edit]commit configuração.
set security address-book Host1 address Host1-Net 10.100.11.0/24 set security address-book Host1 attach zone trust set security address-book Host2 address Host2-Net 10.100.22.0/24 set security address-book Host2 attach zone untrust set security policies from-zone trust to-zone untrust policy VPN-OUT match source-address Host1-Net set security policies from-zone trust to-zone untrust policy VPN-OUT match destination-address Host2-Net set security policies from-zone trust to-zone untrust policy VPN-OUT match application any set security policies from-zone trust to-zone untrust policy VPN-OUT then permit tunnel ipsec-vpn VPN-to-Host2 set security policies from-zone trust to-zone untrust policy default-permit match source-address any set security policies from-zone trust to-zone untrust policy default-permit match destination-address any set security policies from-zone trust to-zone untrust policy default-permit match application any set security policies from-zone trust to-zone untrust policy default-permit then permit set security policies from-zone untrust to-zone trust policy VPN-IN match source-address Host2-Net set security policies from-zone untrust to-zone trust policy VPN-IN match destination-address Host1-Net set security policies from-zone untrust to-zone trust policy VPN-IN match application any set security policies from-zone untrust to-zone trust policy VPN-IN then permit tunnel ipsec-vpn VPN-to-Host2
Procedimento passo a passo
O exemplo a seguir requer que você navegar por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, consulte o Guia do Usuário da CLI.
Para configurar políticas de segurança:
-
Crie entradas de livro de endereços para as redes que serão usadas nas políticas de segurança.
[edit] user@SRX1# set security address-book Host1 address Host1-Net 10.100.11.0/24 user@SRX1# set security address-book Host1 attach zone trust user@SRX1# set security address-book Host2 address Host2-Net 10.100.22.0/24 user@SRX1# set security address-book Host2 attach zone untrust
-
Crie a política de segurança para combinar com o tráfego do Host1 na zona de confiança e o Host2 na zona de confiança.
[edit security policies from-zone trust to-zone untrust] user@SRX1# set policy VPN-OUT match source-address Host1-Net user@SRX1# set policy VPN-OUT match destination-address Host2-Net user@SRX1# set policy VPN-OUT match application any user@SRX1# set policy VPN-OUT then permit tunnel ipsec-vpn VPN-to-Host2
-
Crie a política de segurança para permitir que todos os outros tráfegos até a Internet a partir da zona de confiança até a zona mais confiável.
[edit security policies from-zone trust to-zone untrust] user@SRX1# set policy default-permit match source-address any user@SRX1# set policy default-permit match destination-address any user@SRX1# set policy default-permit match application any user@SRX1# set policy default-permit then permit
-
Crie uma política de segurança para permitir o tráfego do Host2 na zona de confiança para Host1 na zona de confiança.
[edit security policies from-zone untrust to-zone trust] user@SRX1# set policy VPN-IN match source-address Host2-Net user@SRX1# set policy VPN-IN match destination-address Host1-Net user@SRX1# set policy VPN-IN match application any user@SRX1# set policy VPN-IN then permit tunnel ipsec-vpn VPN-to-Host2
Resultados
A partir do modo de configuração, confirme sua configuração ao entrar no show security policies comando. Se a saída não apresentar a configuração pretendido, repetirá as instruções de configuração neste exemplo para corrigi-la.
[edit]
user@SRX1# show security policies
from-zone trust to-zone untrust {
policy VPN-OUT {
match {
source-address Host1-Net;
destination-address Host2-Net;
application any;
}
then {
permit {
tunnel {
ipsec-vpn VPN-to-Host2;
}
}
}
}
policy default-permit {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
}
from-zone untrust to-zone trust {
policy VPN-IN {
match {
source-address Host2-Net;
destination-address Host1-Net;
application any;
}
then {
permit {
tunnel {
ipsec-vpn VPN-to-Host2;
}
}
}
}
}
Configuração do TCP-MSS
Configuração rápida CLI
Para configurar rapidamente este exemplo para SRX1, copie os comandos a seguir, confie-os em um arquivo de texto, remova quaisquer quebras de linha, altere quaisquer detalhes necessários para combinar com a configuração da sua rede, copie e colar os comandos na CLI no nível da hierarquia e, em seguida, entre no modo de [edit]commit configuração.
set security flow tcp-mss ipsec-vpn mss 1350
Procedimento passo a passo
Para configurar informações do TCP-MSS:
-
Configure as informações do TCP-MSS.
[edit] user@SRX1# set security flow tcp-mss ipsec-vpn mss 1350
Resultados
A partir do modo de configuração, confirme sua configuração ao entrar no show security flow comando. Se a saída não apresentar a configuração pretendido, repetirá as instruções de configuração neste exemplo para corrigi-la.
[edit]
user@SRX1# show security flow
tcp-mss {
ipsec-vpn {
mss 1350;
}
}
Caso você não configure o dispositivo, entre commit no modo de configuração.
Configuração do SRX2
Configuração rápida CLI
Para referência, a configuração para SRX2 é fornecida.
Para configurar rapidamente esta seção do exemplo, copie os comandos a seguir, confie-os em um arquivo de texto, remova quaisquer quebras de linha, altere quaisquer detalhes necessários para combinar com a configuração da sua rede, copie e congreda os comandos na CLI no nível da hierarquia e, em seguida, entre no modo de [edit]commit configuração.
set security ike proposal standard authentication-method pre-shared-keys set security ike policy IKE-POL mode main set security ike policy IKE-POL proposals standard set security ike policy IKE-POL pre-shared-key ascii-text $ABC123 set security ike gateway IKE-GW ike-policy IKE-POL set security ike gateway IKE-GW address 172.16.13.1 set security ike gateway IKE-GW external-interface ge-0/0/1 set security ipsec proposal standard set security ipsec policy IPSEC-POL proposals standard set security ipsec vpn VPN-to-Host1 ike gateway IKE-GW set security ipsec vpn VPN-to-Host1 ike ipsec-policy IPSEC-POL set security ipsec vpn VPN-to-Host1 establish-tunnels immediately set security address-book Host1 address Host1-Net 10.100.11.0/24 set security address-book Host1 attach zone untrust set security address-book Host2 address Host2-Net 10.100.22.0/24 set security address-book Host2 attach zone trust set security flow tcp-mss ipsec-vpn mss 1350 set security policies from-zone trust to-zone untrust policy VPN-OUT match source-address Host2-Net set security policies from-zone trust to-zone untrust policy VPN-OUT match destination-address Host1-Net set security policies from-zone trust to-zone untrust policy VPN-OUT match application any set security policies from-zone trust to-zone untrust policy VPN-OUT then permit tunnel ipsec-vpn VPN-to-Host1 set security policies from-zone trust to-zone untrust policy default-permit match source-address any set security policies from-zone trust to-zone untrust policy default-permit match destination-address any set security policies from-zone trust to-zone untrust policy default-permit match application any set security policies from-zone trust to-zone untrust policy default-permit then permit set security policies from-zone untrust to-zone trust policy VPN-IN match source-address Host1-Net set security policies from-zone untrust to-zone trust policy VPN-IN match destination-address Host2-Net set security policies from-zone untrust to-zone trust policy VPN-IN match application any set security policies from-zone untrust to-zone trust policy VPN-IN then permit tunnel ipsec-vpn VPN-to-Host1 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust interfaces ge-0/0/0.0 set security zones security-zone untrust host-inbound-traffic system-services ike set security zones security-zone untrust host-inbound-traffic system-services ping set security zones security-zone untrust interfaces ge-0/0/1.0 set interfaces ge-0/0/0 unit 0 family inet address 10.100.22.1/24 set interfaces ge-0/0/1 unit 0 family inet address 172.16.23.1/24 set interfaces lo0 unit 0 family inet address 10.100.100.2/32 set routing-options static route 0.0.0.0/0 next-hop 172.16.23.2
Verificação
Para confirmar se a configuração está funcionando corretamente, realize essas tarefas:
- Verificar o status de IKE de dados
- Verificação do status da Fase 2 do IPsec
- Teste o fluxo de tráfego na VPN
- Revisão de estatísticas e erros de uma associação de segurança do IPsec
Verificar o status de IKE de dados
Propósito
Verificar o status IKE dados.
Ação
Do modo operacional, insira o show security ike security-associations comando. Depois de obter um número de índice do comando, use o show security ike security-associations index index_number detail comando.
user@SRX1> show security ike security-associations Index State Initiator cookie Responder cookie Mode Remote Address 1859361 UP 9788fa59c3ee2e2a 0b17e52f34b83aba Main 172.16.23.1
user@SRX1> show security ike security-associations index 1859361 detail
IKE peer 172.16.23.1, Index 1859361, Gateway Name: IKE-GW
Role: Responder, State: UP
Initiator cookie: 9788fa59c3ee2e2a, Responder cookie: 0b17e52f34b83aba
Exchange type: Main, Authentication method: Pre-shared-keys
Local: 172.16.13.1:500, Remote: 172.16.23.1:500
Lifetime: Expires in 17567 seconds
Reauth Lifetime: Disabled
IKE Fragmentation: Disabled, Size: 0
Remote Access Client Info: Unknown Client
Peer ike-id: 172.16.23.1
AAA assigned IP: 0.0.0.0
Algorithms:
Authentication : hmac-sha1-96
Encryption : 3des-cbc
Pseudo random function: hmac-sha1
Diffie-Hellman group : DH-group-2
Traffic statistics:
Input bytes : 1740
Output bytes : 1132
Input packets: 15
Output packets: 7
Input fragmentated packets: 0
Output fragmentated packets: 0
IPSec security associations: 4 created, 4 deleted
Phase 2 negotiations in progress: 1
Negotiation type: Quick mode, Role: Responder, Message ID: 0
Local: 172.16.13.1:500, Remote: 172.16.23.1:500
Local identity: 172.16.13.1
Remote identity: 172.16.23.1
Flags: IKE SA is created
Significado
O show security ike security-associations comando lista todas as IKE de segurança (SAs) da Fase 1. Se nenhum SAs for indicado, haverá um problema com o estabelecimento da Fase 1. Marque os IKE de política de segurança e as configurações da interface externa em sua configuração.
Caso os SAs sejam indicados, revise as seguintes informações:
-
Índice — Esse valor é exclusivo para cada IKE SA, que você pode usar no comando para obter mais informações
show security ike security-associations index detailsobre a SA. -
Endereço remoto — Verificar se o endereço IP remoto está correto.
-
Estado
-
UP — A fase 1-SA foi estabelecida.
-
DOWN — Houve um problema ao estabelecer a Fase 1 SA.
-
-
Modo — verificar se o modo correto está sendo usado.
Verificar se as seguintes opções estão corretas na sua configuração:
-
Interfaces externas (a interface deve ser a que recebe IKE pacotes)
-
IKE de política
-
Informações-chave pré-compartilhadas
-
Parâmetros da proposta de fase 1 (devem ser correspondentes a ambos os pontos)
O show security ike security-associations index 1859361 detail comando lista informações adicionais sobre a associação de segurança com um número de índice de 1859361:
-
Algoritmos de autenticação e criptografia usados
-
Vida útil da fase 1
-
Estatísticas de tráfego (podem ser usadas para verificar se o tráfego está fluindo corretamente em ambas as direções)
-
Informações de função do iniciador e do responsável
A solução de problemas é melhor executada no ponto usando a função de socorrista.
-
Número de SAs IPsec criados
-
Número de negociações da Fase 2 em andamento
Verificação do status da Fase 2 do IPsec
Propósito
Verificar o status IPsec Phase 2.
Ação
Do modo operacional, insira o show security ipsec security-associations comando. Depois de obter um número de índice do comando, use o show security ipsec security-associations index index_number detail comando.
user@SRX1 show security ipsec security-associations Total active tunnels: 1 Total Ipsec sas: 1 ID Algorithm SPI Life:sec/kb Mon lsys Port Gateway <2 ESP:3des/sha1 ae5afc5a 921/ unlim - root 500 172.16.23.1 >2 ESP:3des/sha1 6388a743 921/ unlim - root 500 172.16.23.1
user@SRX1> show security ipsec security-associations index 2 detail
ID: 2 Virtual-system: root, VPN Name: VPN-to-Host2
Local Gateway: 172.16.13.1, Remote Gateway: 172.16.23.1
Local Identity: ipv4_subnet(any:0,[0..7]=10.100.11.0/24)
Remote Identity: ipv4_subnet(any:0,[0..7]=10.100.22.0/24)
Version: IKEv1
DF-bit: clear, Copy-Outer-DSCP Disabled , Policy-name: VPN-OUT
Port: 500, Nego#: 30, Fail#: 0, Def-Del#: 0 Flag: 0x600829
Multi-sa, Configured SAs# 1, Negotiated SAs#: 1
Tunnel events:
Thu Jul 29 2021 14:29:22 -0700: IPSec SA negotiation successfully completed (29 times)
Thu Jul 29 2021 12:00:30 -0700: IKE SA negotiation successfully completed (4 times)
Wed Jul 28 2021 15:20:58
: IPSec SA delete payload received from peer, corresponding IPSec SAs cleared (1 times)
Wed Jul 28 2021 15:05:13 -0700: IPSec SA negotiation successfully completed (1 times)
Wed Jul 28 2021 15:05:13
: Tunnel is ready. Waiting for trigger event or peer to trigger negotiation (1 times)
Wed Jul 28 2021 15:05:13 -0700: External interface's address received. Information updated (1 times)
Wed Jul 28 2021 15:05:13 -0700: External interface's zone received. Information updated (1 times)
Wed Jul 28 2021 11:17:38
: Negotiation failed with error code NO_PROPOSAL_CHOSEN received from peer (1 times)
Wed Jul 28 2021 09:27:11 -0700: IKE SA negotiation successfully completed (19 times)
Thu Jul 22 2021 16:34:17 -0700: Negotiation failed with INVALID_SYNTAX error (3 times)
Thu Jul 22 2021 10:34:55 -0700: IKE SA negotiation successfully completed (1 times)
Thu Jul 22 2021 10:34:46 -0700: No response from peer. Negotiation failed (16 times)
Direction: inbound, SPI: ae5afc5a, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 828 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 234 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64
Direction: outbound, SPI: 6388a743, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 828 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 234 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64
Significado
A saída do comando show security ipsec security-associations lista as seguintes informações:
-
O número de ID é 2. Use esse valor com o
show security ipsec security-associations indexcomando para obter mais informações sobre esta S.A. específica. -
Existe um par IPsec SA usando a porta 500, o que indica que nenhuma NAT atravessada é implementada. (NAT atravessada usa a porta 4500 ou outra porta de alto número aleatório.)
-
As SPIs, a vida útil (em segundos) e os limites de uso (ou lifesize em KB) são mostrados para ambas as direções. O valor 921/não-lim indica que a vida útil da Fase 2 expira em 921 segundos, e que nenhum lifesize foi especificado, o que indica que ela é ilimitada. A vida útil da fase 2 pode diferir da vida útil da Fase 1, pois a Fase 2 não depende da Fase 1 após o uso da VPN.
-
O monitoramento de VPN não está habilitado para esta SA, como indicado por um hífen na coluna Mon. Se o monitoramento de VPN estiver ativado, U (up) ou D (down) será listado.
-
O sistema virtual (vsys) é o sistema raiz, e ele sempre lista 0.
A saída do comando show security ipsec security-associations index 2 detail lista as seguintes informações:
-
A identidade local e a identidade remota com fazem parte da ID de proxy para a SA.
Uma incompatibilidade de ID de proxy é um dos motivos mais comuns para uma falha na Fase 2. Para VPNs baseadas em políticas, a ID de proxy é derivada da política de segurança. O endereço local e o endereço remoto são obtidos das entradas do livro de endereços, e o serviço é derivado do aplicativo configurado para a política. Se a Fase 2 falhar por causa de uma incompatibilidade de ID de proxy, você pode usar a política para confirmar quais entradas do livro de endereços estão configuradas. Verificar se os endereços estão de acordo com as informações enviadas. Marque o serviço para garantir que as portas se igualem às informações enviadas.
Teste o fluxo de tráfego na VPN
Propósito
Verificar o fluxo de tráfego na VPN.
Ação
Use o ping comando do dispositivo Host1 para testar o fluxo de tráfego no Host2.
user@Host1> ping 10.100.22.1 rapid count 100 PING 10.100.22.1 (10.100.22.1): 56 data bytes !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! --- 10.100.22.1 ping statistics --- 100 packets transmitted, 100 packets received, 0% packet loss round-trip min/avg/max/stddev = 3.300/3.936/8.562/0.720 ms
Significado
Se o comando falhar do Host1, pode haver um problema com o roteamento, as políticas de segurança, o host final ou a criptografia e a descriptografia de ping pacotes ESP.
Revisão de estatísticas e erros de uma associação de segurança do IPsec
Propósito
Revise os contadores de esp e os contadores de autenticação e erros de uma associação de segurança IPsec.
Ação
Do modo operacional, insira o comando, usando o número de índice da VPN para o qual deseja show security ipsec statistics index index_number ver estatísticas.
user@SRX1> show security ipsec statistics index 2 ESP Statistics: Encrypted bytes: 13600 Decrypted bytes: 8400 Encrypted packets: 100 Decrypted packets: 100 AH Statistics: Input bytes: 0 Output bytes: 0 Input packets: 0 Output packets: 0 Errors: AH authentication failures: 0, Replay errors: 0 ESP authentication failures: 0, ESP decryption failures: 0 Bad headers: 0, Bad trailers: 0
Você também pode usar o comando para analisar estatísticas e show security ipsec statistics erros para todos os SAs.
Para limpar todas as estatísticas do IPsec, use o clear security ipsec statistics comando.
Significado
Se você vir problemas de perda de pacotes em uma VPN, você pode executar o comando várias vezes para confirmar se os contadores de pacotes criptografados e show security ipsec statistics descriptografados estão aumentando. Você também deve verificar se os outros contadores de erro estão aumentando.