Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

VPNs IPsec baseadas em rota

Uma VPN baseada em rota é uma configuração na qual um túnel VPN IPsec criado entre dois pontos finais é referenciado por uma rota que determina qual tráfego é enviado através do túnel com base em um endereço IP de destino.

Entendendo as VPNs IPsec baseadas em rota

Com VPNs baseadas em rota, você pode configurar dezenas de políticas de segurança para regular o tráfego que flui por um único túnel VPN entre dois locais, e há apenas um conjunto de SAs IKE e IPsec funcionando. Ao contrário das VPNs baseadas em políticas, para VPNs baseadas em rotas, uma política se refere a um endereço de destino, não a um túnel VPN. Quando o Junos OS olha para uma rota para encontrar a interface para usar para enviar tráfego para o endereço de destino do pacote, ele encontra uma rota através de uma interface de túnel segura (st0. x). A interface do túnel está vinculada a um túnel VPN específico, e o tráfego é encaminhado para o túnel se a ação da política for permissão.

Uma interface de túnel seguro (st0) oferece suporte a apenas um endereço IPv4 e um endereço IPv6 ao mesmo tempo. Isso se aplica a todas as VPNs baseadas em rota. A opção disable não é compatível com as interfaces st0.

Exemplos de onde as VPNs baseadas em rota podem ser usadas:

  • Existem sub-redes ou endereços IP sobrepostos entre as duas LANs.

  • Uma topologia vpn hub-and-spoke é usada na rede, e é necessário tráfego spoke-to-spoke.

  • VPNs primárias e de backup são necessárias.

  • Um protocolo de roteamento dinâmico (por exemplo, OSPF, RIP ou BGP) está sendo executado em toda a VPN.

    A configuração de circuitos de demanda RIP em interfaces VPN de ponto a multiponto não é compatível.

Recomendamos que você use VPN baseada em rota quando quiser configurar VPN entre vários sites remotos. A VPN baseada em rota permite o roteamento entre os spokes entre vários sites remotos; é mais fácil configurar, monitorar e solucionar problemas.

Exemplo: Configuração de uma VPN baseada em rota

Este exemplo mostra como configurar uma VPN IPsec baseada em rota para permitir que os dados sejam transferidos com segurança entre dois sites.

Requisitos

Este exemplo usa o seguinte hardware:

  • Qualquer dispositivo da Série SRX

    • Atualizado e revalidado usando o vSRX no Junos OS Release 20.4R1.
Nota:

Você tem interesse em ter uma experiência prática com os tópicos e operações abordados neste guia? Visite a demonstração de VPN baseada em rotas IPsec nos Laboratórios Virtuais da Juniper Networks e reserve seu sandbox gratuito hoje mesmo! Você encontrará o sandbox baseado em rotas IPsec VPN na categoria Segurança.

Antes de começar, leia Visão geral do IPsec.

Visão geral

Neste exemplo, você configura uma VPN baseada em rotas no SRX1 e SRX2. Host1 e Host2 usam a VPN para enviar tráfego com segurança pela Internet entre ambos os hosts.

Figura 1 mostra um exemplo de uma topologia VPN baseada em rotas.

Figura 1: Topologia VPN baseada em rota Topologia VPN baseada em rota

Neste exemplo, você configura interfaces, uma rota padrão IPv4 e zonas de segurança. Em seguida, você configura parâmetros IKE, IPsec, política de segurança e TCP-MSS. Veja Tabela 1 os Tabela 5 parâmetros de configuração específicos usados neste exemplo.

Tabela 1: Interface, rotas estáticas, zona de segurança e informações de políticas de segurança para SRX1

Recursos

Nome

Parâmetros de configuração

Interfaces

ge-0/0/0.0

10.100.11.1/24

 

ge-0/0/1,0

172.16.13.1/24

 

st0.0 (interface de túnel)

10.100.200.1/24

Rotas estáticas

10.100.22.0/24

0,0,0,0/0

O próximo salto é st0.0.

O próximo salto é 172.16.13.2.

Zonas de segurança

Confiar

  • A interface ge-0/0/0.0 está ligada a essa zona.

 

não confiável

  • A interface ge-0/0/1.0 está ligada a essa zona.

 

Vpn

  • A interface st0.0 está ligada a essa zona.

Tabela 2: Parâmetros de configuração do IKE

Recursos

Nome

Parâmetros de configuração

Proposta

Padrão

  • Método de autenticação: chaves pré-compartilhadas

Política

IKE-POL

  • Modo: Principal

  • Referência da proposta: Padrão

  • Método de autenticação de políticas do IKE: chaves pré-compartilhadas

Gateway

IKE-GW

  • Referência de política do IKE: IKE-POL

  • Interface externa: ge-0/0/1

  • Endereço do gateway: 172.16.23.1

Tabela 3: Parâmetros de configuração do IPsec

Recursos

Nome

Parâmetros de configuração

Proposta

Padrão

  • Usando a configuração padrão

Política

IPSEC-POL

  • Referência da proposta: Padrão

VPN

VPN-to-Host2

  • Referência de gateway IKE: IKE-GW

  • Referência de política do IPsec: IPSEC-POL

  • Vincule-se à interface: st0.0

  • estabelecer túneis imediatamente
Tabela 4: Parâmetros de configuração de políticas de segurança

Propósito

Nome

Parâmetros de configuração

A política de segurança permite o tráfego da zona de confiança até a zona vpn.

VPN-OUT

  • Critérios de correspondência:

    • host1-Net de endereço fonte

    • Host2-Net de endereço de destino

    • qualquer aplicativo

  • Ação: Permitir

A política de segurança permite o tráfego da zona de VPN até a zona de confiança.

VPN-IN

  • Critérios de correspondência:

    • host2-Net de endereço fonte

    • host1-Net de endereço de destino

    • qualquer aplicativo

  • Ação: Permitir

Tabela 5: Parâmetros de configuração TCP-MSS

Propósito

Parâmetros de configuração

O TCP-MSS é negociado como parte do aperto de mão de três vias TCP e limita o tamanho máximo de um segmento de TCP para se adequar melhor aos limites de MTU em uma rede. Para o tráfego vpn, a sobrecarga de encapsulamento IPsec, juntamente com o IP e a sobrecarga do quadro, pode fazer com que o pacote ESP resultante exceda o MTU da interface física, o que causa fragmentação. A fragmentação aumenta a largura de banda e os recursos do dispositivo.

Recomendamos um valor de 1350 como ponto de partida para a maioria das redes baseadas em Ethernet com uma MTU de 1500 ou mais. Você pode precisar experimentar diferentes valores TCP-MSS para obter um desempenho ideal. Por exemplo, você pode precisar alterar o valor se algum dispositivo no caminho tiver uma MTU menor ou se houver alguma sobrecarga adicional, como PPP ou Frame Relay.

Valor do MSS: 1350

Configuração

Configure informações básicas da rede e da zona de segurança

Configuração rápida de CLI

Para configurar rapidamente esta seção do exemplo para SRX1, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com sua configuração de rede, copiar e colar os comandos no CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, consulte o Guia do usuário do CLI.

Para configurar informações de interface, rota estática e zona de segurança:

  1. Configure as interfaces.

  2. Configure as rotas estáticas.

  3. Atribua a interface voltada para a Internet à zona de segurança não confiável.

  4. Especifique os serviços de sistema permitidos para a zona de segurança não confiável.

  5. Atribua a interface voltada para o Host1 para a zona de segurança de confiança.

  6. Especifique os serviços de sistema permitidos para a zona de segurança de confiança.

  7. Atribua a interface de túnel seguro à zona de segurança vpn.

  8. Especifique os serviços de sistema permitidos para a zona de segurança vpn.

Resultados

A partir do modo de configuração, confirme sua configuração entrando no show interfaces, show routing-optionse show security zones comandos. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

Configuração do IKE

Configuração rápida de CLI

Para configurar rapidamente esta seção do exemplo para SRX1, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com sua configuração de rede, copiar e colar os comandos no CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, consulte o Guia do usuário do CLI.

Para configurar o IKE:

  1. Crie a proposta do IKE.

  2. Defina o método de autenticação de propostas de IKE.

  3. Crie uma política de IKE.

  4. Defina o modo de política de IKE.

  5. Especifique uma referência à proposta do IKE.

  6. Defina o método de autenticação de políticas IKE.

  7. Crie um gateway IKE e defina sua interface externa.

  8. Defina a referência da política do IKE.

  9. Defina o endereço de gateway IKE.

Resultados

A partir do modo de configuração, confirme sua configuração entrando no show security ike comando. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

Configuração do IPsec

Configuração rápida de CLI

Para configurar rapidamente esta seção do exemplo para SRX1, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com sua configuração de rede, copiar e colar os comandos no CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, consulte o Guia do usuário do CLI.

Para configurar o IPsec:

  1. Crie uma proposta IPsec.

  2. Crie a política IPsec.

  3. Especifique a referência da proposta do IPsec.

  4. Especifique o gateway IKE.

  5. Especifique a política de IPsec.

  6. Especifique a interface para vincular.

  7. Configure o túnel para estabelecer imediatamente.

Resultados

A partir do modo de configuração, confirme sua configuração entrando no show security ipsec comando. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

Configuração de políticas de segurança

Configuração rápida de CLI

Para configurar rapidamente as políticas de segurança para o SRX1, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com sua configuração de rede, copiar e colar os comandos no CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, consulte o Guia do usuário do CLI.

Para configurar políticas de segurança:

  1. Crie entradas de livros de endereços para as redes que serão usadas nas políticas de segurança.

  2. Crie uma política de segurança para permitir o tráfego da zona de confiança até a zona não confiável para o tráfego para a Internet.

  3. Crie uma política de segurança para permitir o tráfego do Host1 na zona de confiança destinada ao Host2 na zona de VPN.

  4. Crie uma política de segurança para permitir o tráfego do Host2 na zona de VPN até o Host1 na zona de confiança.

Resultados

A partir do modo de configuração, confirme sua configuração entrando no e show security policies comandosshow security address-book. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

Configuração do TCP-MSS

Configuração rápida de CLI

Para configurar rapidamente o TCP MSS para SRX1, copiar os seguintes comandos, cole-os em um arquivo de texto, remover quaisquer quebras de linha, alterar todos os detalhes necessários para combinar com a configuração de sua rede, copiar e colar os comandos no CLI no nível de [edit] hierarquia e, em seguida, entrar commit no modo de configuração.

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter instruções sobre como fazer isso, consulte o Guia do usuário do CLI.

Para configurar as informações do TCP-MSS:

  1. Configure as informações do TCP-MSS.

Resultados

A partir do modo de configuração, confirme sua configuração entrando no show security flow comando. Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

Se terminar de configurar o dispositivo, entre no commit modo de configuração.

Configuração do SRX2

Configuração rápida de CLI

Para referência, a configuração do SRX2 é fornecida.

Para configurar rapidamente esta seção do exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova quaisquer quebras de linha, altere todos os detalhes necessários para combinar com sua configuração de rede, copiar e colar os comandos no CLI no nível de [edit] hierarquia e, em seguida, entrar no commit modo de configuração.

Verificação

Realize essas tarefas para confirmar que a configuração está funcionando corretamente:

Verifique o status do IKE

Propósito

Verifique o status do IKE.

Ação

A partir do modo operacional, entre no show security ike security-associations comando. Depois de obter um número de índice do comando, use o show security ike security-associations index index_number detail comando.

Significado

O show security ike security-associations comando lista todos os SAs IKE ativos. Se não houver SAs listados, houve um problema com o estabelecimento do IKE. Verifique os parâmetros de política do IKE e as configurações da interface externa em sua configuração.

Se os SAs estiverem listados, revise as seguintes informações:

  • Índice — Esse valor é exclusivo para cada IKE SA, que você pode usar no show security ike security-associations index detail comando para obter mais informações sobre a SA.

  • Endereço remoto — verifique se o endereço IP remoto está correto.

  • Estado

    • UP — O IKE SA foi estabelecido.

    • DOWN — Houve um problema na criação do IKE SA.

  • Modo — Verifique se o modo correto está sendo usado.

Verifique se os seguintes estão corretos em sua configuração:

  • Interfaces externas (a interface deve ser a que recebe pacotes IKE)

  • Parâmetros de política de IKE

  • Informações-chave pré-compartilhadas

  • Parâmetros de proposta (devem corresponder a ambos os pares)

O show security ike security-associations index 1859340 detail comando lista informações adicionais sobre a associação de segurança com um número de índice de 1859340:

  • Algoritmos de autenticação e criptografia usados

  • Vida

  • Estatísticas de tráfego (podem ser usadas para verificar se o tráfego está fluindo corretamente em ambas as direções)

  • Informações sobre funções

    A solução de problemas é melhor executada no peer usando a função responder.

  • Informações do iniciador e do responder

  • Número de SAs IPsec criados

  • Número de negociações em andamento

Verifique o status do IPsec

Propósito

Verifique o status do IPsec.

Ação

A partir do modo operacional, entre no show security ipsec security-associations comando. Depois de obter um número de índice do comando, use o show security ipsec security-associations index index_number detail comando.

Significado

A saída do show security ipsec security-associations comando lista as seguintes informações:

  • O número de identificação é 131074. Use esse valor com o show security ipsec security-associations index comando para obter mais informações sobre este SA em particular.

  • Existe um par IPsec SA usando a porta 500, o que indica que nenhuma travessia de NAT é implementada. (A travessia de NAT usa a porta 4500 ou outra porta aleatória de alto número.)

  • As SPIs, a vida útil (em segundos) e os limites de uso (ou tamanho vital em KB) são mostrados para ambas as direções. O valor 3403/ilimitado indica que a vida útil expira em 3403 segundos, e que nenhum tamanho vitalício foi especificado, o que indica que é ilimitado. A vida útil pode diferir da vida útil, já que o IPsec não depende do IKE depois que a VPN estiver ativa.

  • O monitoramento de VPN não está habilitado para este SA, conforme indicado por um hífen na coluna Mon. Se o monitoramento de VPN estiver ativado, u indica que o monitoramento está ativo, e D indica que o monitoramento está desativado.

  • O sistema virtual (vsys) é o sistema raiz, e ele sempre lista 0.

A saída do show security ipsec security-associations index 131074 detail comando lista as seguintes informações:

  • A identidade local e a identidade remota compõem o ID proxy para o SA.

    Uma incompatibilidade de ID proxy é uma das causas mais comuns para uma falha IPsec. Se nenhuma SA IPsec estiver listada, confirme que as propostas do IPsec, incluindo as configurações de ID proxy, estão corretas para ambos os pares. Para VPNs baseadas em rota, o ID proxy padrão é local=0.0.0.0/0, remote=0.0.0.0/0 e service=any. Problemas podem ocorrer com várias VPNs baseadas em rota a partir do mesmo IP peer. Neste caso, um ID proxy exclusivo para cada IPsec SA deve ser especificado. Para alguns fornecedores terceirizados, o ID por proxy deve ser inserido manualmente para combinar.

  • Outra razão comum para a falha do IPsec é não especificar a vinculação da interface ST. Se o IPsec não puder ser concluído, verifique o log kmd ou defina opções de rastreamento.

Teste o fluxo de tráfego através da VPN

Propósito

Verifique o fluxo de tráfego por toda a VPN.

Ação

Use o ping comando do dispositivo Host1 para testar o fluxo de tráfego para o Host2.

Significado

Se o ping comando falhar no Host1, pode haver um problema com o roteamento, políticas de segurança, host final ou criptografia e descriptografia de pacotes ESP.

Revise estatísticas e erros para uma associação de segurança IPsec

Propósito

Revise contadores e erros de cabeçalho de autenticação e ESP para uma associação de segurança IPsec.

Ação

A partir do modo operacional, entre no show security ipsec statistics index index_number comando, usando o número de índice da VPN para a qual você deseja ver estatísticas.

Você também pode usar o show security ipsec statistics comando para revisar estatísticas e erros para todos os SAs.

Para limpar todas as estatísticas do IPsec, use o clear security ipsec statistics comando.

Significado

Se você ver problemas de perda de pacotes em uma VPN, execute o show security ipsec statistics ou show security ipsec statistics detail comando várias vezes para confirmar se os contadores de pacotes criptografados e descriptografados estão aumentando. Veja a saída de comando para quaisquer contadores de erros de incremento.