verify-path
语法
verify-path { destination-ip ip-address; packet-size bytes; }
层次结构级别
[edit security ipsec vpn vpn-name vpn-monitor]
描述
在激活安全隧道 (st0) 接口并将与该接口关联的路由安装到 Junos OS 转发表之前,验证 IPsec 数据路径。此配置在网络拓扑中非常有用:VPN 隧道端点之间有中转防火墙,并且传输防火墙可能会阻止在 st0 接口上使用活动路由的已建立 VPN 隧道的 IPsec 数据流量。
配置此选项后,可为 VPN 监视器操作配置的源接口和目标 IP 地址不会用于 IPsec 数据路径验证。IPsec 数据路径验证中 ICMP 请求的源是本地隧道端点。
配置 IPsec 数据路径验证后,将执行以下操作:
建立 VPN 隧道后,ICMP 请求将发送到对等隧道端点以验证 IPsec 数据路径。
对等隧道端点必须可由 VPN 监控器 ICMP 请求访问,并且必须能够响应 ICMP 请求。数据路径验证正在进行时,“” 将显示在
V
命令输出的show security ipsec security-association detail
VPN 监控字段中。st0
仅当收到来自对等方的响应时,才会激活接口。show interface st0.x
命令输出显示数据路径验证期间和之后的 st0 接口状态:Link-Layer-Down
验证完成之前和Up
验证成功完成之后。-
如果未收到来自对等方的 ICMP 响应,则会按配置的 VPN 监视器间隔(默认值为 10 秒)发送另一个 ICMP 请求,直到达到 VPN 监视器阈值(默认值为 10 次)。
如果验证不成功,KMD_VPN_DOWN_ALARM_USER系统日志条目会将原因指示为 VPN 监视验证路径错误。该错误记录在命令输出中的
show security ipsec security-association detail
隧道事件下。该show security ipsec tunnel-events-statistics
命令显示错误发生的次数。VPN 监视器
interval
和threshold
值在 [edit security ipsec
] 层次结构级别配置vpn-monitor-options
。 如果在达到 VPN 监视器阈值后未收到来自对等方的 ICMP 响应,则会关闭已建立的 VPN 隧道并重新协商 VPN 隧道。
选项
destination-ip ip-address | NAT 设备后面的对等隧道端点的原始未转换 IP 地址。此 IP 地址不能是 NAT 转换的 IP 地址。如果对等隧道端点位于 NAT 设备后面,则此选项是必需的。验证路径 ICMP 请求将发送到此 IP 地址,以便对等方可以生成 ICMP 响应。 |
packet-size bytes | (可选)用于在启动 st0 接口之前验证 IPsec 数据路径的数据包大小。 数据包大小必须小于路径最大传输单元 (PMTU) 减去隧道开销。用于 IPsec 数据路径验证的数据包不得分段。
|
所需权限级别
安全性 - 在配置中查看此语句。
安全控制 — 将此语句添加到配置中。
发布信息
在 Junos OS 15.1X49-D70 版中引入的语句。
packet-size
Junos OS 15.1X49-D120 版中添加了选项。
verify-path
Junos OS 23.4R1 版中引入了对运行 IKED 进程的 IPsec VPN 选项的支持。