Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

示例：在第 3 层网络的 A/A 多节点高可用性中配置 IPSec VPN

此示例说明如何配置和验证 IPsec VPN 以进行主动-主动多节点高可用性设置。

概述

在多节点高可用性方面，参与的 SRX 系列防火墙作为第 3 层网络中的独立节点运行。这些节点连接到属于不同网络的相邻基础架构。加密的逻辑机箱之间链路 （ICL） 通过路由网络连接节点。参与节点相互备份，以确保在发生系统或硬件故障时快速同步故障切换。

您可以在支持多个服务冗余组 （SRG） 的 A/A 模式下运行多节点高可用性。在此模式下，某些 SRG 在一个节点上保持活动状态，而某些 SRG 在另一个节点上保持活动状态。

多节点高可用性支持具有多个 SRG （SRG1+） 的主动-主动模式下的 IPsec VPN。在此模式下，您可以根据 SRG 活动性从两个节点建立多个活动隧道。多节点高可用性通过将终止 IP 地址（也标识在其上结束的隧道）与 SRG 相关联来建立 IPsec 隧道并执行密钥交换。由于在每台设备上，不同的 SRG1+ 可以处于活动状态或备份状态，因此多节点高可用性会有效地将匹配流量引导至相应的活动 SRG1。由于不同的 SRG 可以在不同的节点上处于活动状态，因此属于这些 SRG 的隧道会独立出现在两个节点上。

注意：

我们在多节点高可用性解决方案中支持双节点配置。

要求

此示例使用以下硬件和软件组件：

  • 两个 SRX 系列防火墙（支持的设备包括 SRX5400、SRX5600 和 SRX5800，带有 SPC3、IOC3、SCB3、SCB4 和 RE3）

  • Junos OS 22.4R1 版

在本例中，我们使用了两个瞻博网络 MX 系列路由平台作为上行/下游路由器。

开始之前

  • 根据您的网络要求配置无状态防火墙过滤和服务质量 （QoS），并制定适当的安全策略来管理网络中的流量。

  • 在典型的高可用性部署中，网络的北向和南向两侧有多个路由器和交换机。在本例中，我们在 SRX 系列防火墙的两侧使用了两台路由器。确保您已根据网络要求配置上游和下游路由器。

  • 使用命令 request system software add optional://junos-ike.tgz 在 SRX 系列防火墙上安装 Junos IKE 软件包。该 junos-ike 软件包包含在您的 Junos 软件包（Junos OS 20.4R1 及更高版本）中。

拓扑结构

图 1 显示了此示例中使用的拓扑。

图 1：第 3 层网络 Network topology diagram showing connectivity of SRX-01, SRX-02, and SRX-03 devices with R1 and R2 routers across Untrust, Trust, VPN, and ICL zones. IP addresses and interfaces are labeled for security-focused network documentation.中的多节点高可用性

如拓扑所示，两个 SRX 系列防火墙（SRX-1 和 SRX-2）连接到信任端和非信任端的相邻路由器，形成 BGP 邻居关系。加密的逻辑机箱之间链路 （ICL） 通过路由网络连接节点。节点通过网络使用可路由的 IP 地址（浮动 IP 地址）相互通信。

SRX-03 设备充当多节点高可用性设置的对等设备，并与 SRX-01 和 SRX-02 设备建立 IPsec VPN 隧道。

您将执行以下任务来构建多节点高可用性设置：

  • 通过分配 ID，将一对 SRX 系列防火墙配置为本地节点和对等节点。
  • 配置服务冗余组（SRG1 和 SRG2）。
  • 配置一个环路接口 （lo0.0） 来托管浮动 IP 地址并到达对等网关。使用环路接口可确保在任何给定点上，来自相邻路由器的流量都将被引导至浮动 IP 地址（即指向活动节点）。
  • 配置 IP 探针以确定和实施主动性
  • 配置主动性实施所需的信号路由，并将其与路由存在策略一起使用。
  • 使用 IKEv2 为高可用性 （ICL） 流量配置 VPN 配置文件。
  • 配置 BFD 监控选项
  • 配置路由策略和路由选项
  • 根据您的网络要求配置接口和区域。您必须允许用于链路加密的 IKE 和用于配置同步的 SSH 等服务作为与 ICL 关联的安全区域上的主机入站系统服务。

  • 在 SRX-01 和 SRX-02 设备上为 IPsec VPN 创建组配置，以建立与 VPN 对等设备 （SRX-03） 的隧道。通过配置组，您可以应用在同一配置中重用的常用元素。

  • 配置 IPsec VPN 选项以与 SRX-03 设备建立隧道，并使用 [groups] 选项在两台设备（SRX-01 和 SRX-02）上启用 IPsec VPN 配置同步。
  • 使用 IPsec VPN 选项配置 VPN 对等设备。

对于机箱之间链路 （ICL），建议进行以下配置：

  • 通常，您可以使用聚合以太网 （AE） 或 SRX 系列防火墙上的收入以太网端口来建立 ICL 连接。在本例中，我们为 ICL 使用了 GE 端口。我们还为 ICL 路径配置了一个路由实例，以确保实现最大分段。

  • 请勿使用专用高可用性端口（控制端口和交换矩阵端口）（如果 SRX 系列防火墙上可用）。
  • 将 MTU 设置为 1514
  • 在与用于 ICL 的接口相关联的安全区域上允许以下服务

    • IKE、高可用性、SSH

    • 协议取决于您需要的路由协议。

    • BFD 来监视相邻路由。

您可以在 SRG0 和 SRG1+ 上配置以下选项：

您可以在 SRG0 和 SRG1 上配置以下选项：

  • SRG1：主动/备份信号路由、部署类型、主动性优先级、抢占、虚拟 IP 地址（用于默认网关部署）、主动性探测和备份处理数据包。

  • SRG1：SRG1 上的 BFD 监控、IP 监控和接口监控选项。

  • SRG0：故障时关机和故障时安装路由选项。

    在 SRG1 下配置监控（BFD 或 IP 或接口）选项时，建议不要在 SRG0 下配置故障时关闭选项。

  • SRG1：主动/备份信号路由、部署类型、主动性优先级、抢占、虚拟 IP 地址（用于默认网关部署）、主动性探测和备份处理数据包。

  • SRG1：SRG1 上的 BFD 监控、IP 监控和接口监控选项。

  • SRG0：故障时关机和故障时安装路由选项。

    在 SRG1 下配置监控（BFD 或 IP 或接口）选项时，建议不要在 SRG0 下配置故障时关闭选项。

表 1 显示了此示例中使用的接口配置的详细信息。

配置
表 1：安全性设备上的接口和 IP 地址配置
设备 接口区域 IP 地址为
SRX-01 lo0

不信任

10.11.0.1/32

浮动 IP 地址

IKE 网关地址

10.12.0.1/32

IKE 网关地址

ge-0/0/2

ICL

10.22.0.2/24

连接 ICL

ge-0/0/4

信任

10.5.0.1/24

连接到 R2 路由器

ge-0/0/3

不信任

10.3.0.2/24

连接到 R1 路由器
SRX-02

lo0

不信任

10.12.0.1/32

浮动 IP 地址

IKE 网关地址

10.11.0.1/32

IKE 网关地址

ge-0/0/2

ICL

10.22.0.1/24

连接 ICL

ge-0/0/3

不信任

10.2.0.2/24

连接到 R1 路由器

ge-0/0/4

信任

10.4.0.1/24

连接到 R2 路由器
SRX-03 lo0

不信任

10.112.0.1/32

IKE 网关地址

10.112.0.5/32

IKE 网关地址

ge-0/0/0

不信任

10.7.0.1/24

连接到 R2 路由器

ge-0/0/2

信任

10.6.0.2/24

连接到客户端设备
配置
表 2：路由设备上的接口和 IP 地址配置
的 设备 接口 IP 地址
R2 lo0

10.111.0.2/32

R2 的环路接口地址

ge-0/0/1

10.4.0.2/24

连接到 SRX-02

ge-0/0/0

10.5.0.2/24

连接到 SRX-01

ge-0/0/2

10.7.0.2/24

连接到 SRX-03（VPN 对等设备）
R1 lo0

10.111.0.1/32

R1 的环路接口地址

ge-0/0/0

10.3.0.1/24

连接到 SRX-01

ge-0/0/1

10.2.0.1/24

连接到 SRX-02

配置

开始之前

用于多节点高可用性的 SRX 系列防火墙配置需要 Junos IKE 软件包。此软件包可作为 SRX 系列防火墙的默认软件包或可选软件包提供。有关详细信息，请参阅 对 Junos IKE 包的支持 。

如果 SRX 系列防火墙默认未安装该软件包，请使用以下命令进行安装。您需要执行此步骤进行 ICL 加密。

CLI 快速配置

要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改详细信息，以便与网络配置匹配，将命令复制并粘贴到层次结构级别的 [edit] CLI 中，然后从配置模式进入。commit

这些配置是从实验室环境中捕获的，仅供参考。实际配置可能因您的环境的具体要求而异。

SRX-01 设备

SRX-02 设备

SRX-3 设备

以下章节显示了在网络中设置多节点高可用性设置所需的路由器上的配置片段。

R1 路由器

R2 路由器

配置

分步程序

我们将在分步过程中展示 SRX-01 的配置。

下面的示例要求您在各个配置层级中进行导航。有关如何执行此作的说明，请参阅《CLI 用户指南》中的在配置模式下使用 CLI 编辑器。

  1. 配置接口。

    使用 ge-0/0/3 和 ge-0/0/4 接口连接到上游和下游路由器，并使用 ge-0/0/2 接口设置 ICL。

  2. 配置环路接口。

    将 IP 地址 10.11.0.1 和 10.12.0.1 分配给环路接口。我们将使用 10.11.0.1 作为浮动 IP 地址，使用 10.12.0.1 作为 IKE 网关地址。

  3. 配置安全区域，为区域分配接口，并为安全区域指定允许的系统服务。

    将接口 ge-0/0/3 和 ge-0/0/4 分别分配信任和非信任区域。将 lo0.0 接口分配给 untrust 区域以通过 IP 网络进行连接。将接口 ge-0/0/2 分配给 ICL 区域。使用此区域来设置 ICL。将安全隧道接口分配给 VPN 安全区域。

  4. 配置本地节点和对等节点详细信息，例如节点 ID、本地节点和对等节点的 lP 地址以及对等节点的接口。

    您将使用 ge-0/0/2 接口与使用 ICL 的对等节点进行通信。

  5. 将 IPsec VPN 配置文件IPSEC_VPN_ICL连接到对等节点。

    您需要此配置在节点之间建立安全的 ICL 链路。

  6. 为对等节点配置双向转发检测 （BFD） 协议选项。

  7. 配置服务冗余组 SRG1 和 SRG2。

    在此步骤中，您将部署类型指定为路由，因为您要在第 3 层网络中设置多节点高可用性。

  8. 设置 SRG1 和 SRG2 的主动性测定参数。

    SRG1

    SRG2

    使用浮动 IP 地址作为源 IP 地址（SRG1 为 10.11.0.1，SRG2 为 10.12.0.1），上游路由器的 IP 地址作为活动性确定探测的目标 IP 地址（10.111.0.1）。

    您最多可以配置 64 个 IP 地址，用于 IP 监控和主动性探测。总共 64 个 IP 地址是 IPv4 和 IPv6 地址数量的总和）

  9. 为 SRG1 和 SRG2 配置 BFD 监控参数，以检测网络故障。

    SRG1

    SRG2

  10. 配置主动性实施所需的活动信号路由。

    SRG1

    SRG2

    注意：您必须在 policy-options 语句中指定活动信号路由以及 route-exists 策略。配置 active-signal-route with if-route-exists 条件时，高可用性模块会将此路由添加到路由表中。

  11. 通过包含 IKE 网关的本地地址来创建 IP 前缀列表，并将 IP 前缀列表与 SRG1 和 SRG2 关联：

    SRG1

    SRG2

    此配置将特定 IPsec VPN 隧道锚定到特定安全设备。

  12. 在 SRG1 和 SRG2 上启用 IPsec VPN 服务。

  13. 为 ICL 配置 IPSec VPN 选项。

    1. 定义互联网密钥交换 （IKE） 配置。IKE 配置定义用于建立安全连接的算法和密钥。

      对于多节点高可用性功能，您必须将 IKE 版本配置为 v2-only

    2. 指定 IPsec 提议协议和加密算法。指定 IPsec 选项以在两个参与设备之间创建 IPsec 隧道，以保护 VPN 通信。

      指定该ha-link-encryption选项会对 ICL 进行加密，以确保节点之间的高可用性流量信息流的安全。

      配置中set chassis high-availability peer-id <id> vpn-profile vpn_profile必须提及vpn_profileICL_IPSEC_VPN相同的 VPN 名称。

  14. 配置安全策略。

    对于此示例，我们配置了一个策略以允许所有流量。强烈建议根据网络要求创建安全策略，以允许组织策略允许的流量并拒绝所有其他流量。我们仅在本例中将默认策略用于演示目的。

  15. 配置路由选项。

  16. 配置策略选项。

    使用路由匹配条件 （if-route-exists） 配置活动信号路由 10.39.1.1 （SRG1） 和 10.49.1.1 （SRG2）。当节点移动到活动角色时，多节点高可用性会将此路由添加到路由表中。该节点还会开始播发优先级较高的路由。配置备份信号路由（10.39.1.2 和 10.49.1.2）以以中等优先级播发备份节点。若发生任何故障，高可用性链路将关闭，当前活动节点将释放其主要角色并移除活动信号路由。现在，备份节点通过其探针检测情况并转换为活动角色。路由首选项将被交换，以将所有流量驱动到新的活动节点

  17. 配置 BFD 对等会话选项并指定活跃度检测计时器。

IPsec VPN 配置（SRX-1 和 SRX-2）

使用以下步骤设置与对等 SRX 系列防火墙的 IPsec VPN 连接。在此示例中，您需要将所有 IPsec VPN 配置语句放入名为 vpn_config 的 JUNOS 配置组中。

  1. 在配置顶部创建配置组 vpn_config 并配置 IPsec VPN 特定详细信息。

  2. 在配置中包含 apply-groups 语句，以继承 vpn_config 配置组的语句，

配置 （SRX-03）（VPN 对等设备）

分步程序

  1. 创建 IKE 提议。

  2. 定义 IKE 策略。

  3. 创建 IKE 网关，定义地址，指定外部接口和版本。

  4. 创建 IPsec 提议。

  5. 创建 IPsec 策略。

  6. 指定 IPsec 提议参考（IKE 网关、IPsec 策略、要绑定的接口和流量选择器）。

  7. 创建安全策略。

    对于此示例，我们配置了一个策略以允许所有流量。强烈建议根据网络要求创建安全策略，以允许组织策略允许的流量并拒绝所有其他流量。我们仅在本例中将默认策略用于演示目的。

  8. 配置接口。

  9. 定义安全区域并添加接口。

  10. 配置静态路由。

结果 （SRX-01）

在配置模式下，输入以下命令以确认您的配置。

如果输出未显示预期的配置，请重复此示例中的配置说明进行更正。

如果完成设备配置，请从配置模式进入。commit

结果 （SRX-02）

在配置模式下，输入以下命令以确认您的配置。如果输出未显示预期的配置，请重复此示例中的配置说明进行更正。

如果完成设备配置，请从配置模式进入。commit

在您的安全设备上，您将收到以下消息，要求您重新启动设备：

结果 （SRX-3）（VPN 对等设备）

在配置模式下，输入以下命令以确认您的配置。如果输出未显示预期的配置，请重复此示例中的配置说明进行更正。

如果完成设备配置，请从配置模式进入。commit

验证

确认配置工作正常。

检查多节点高可用性详细信息

目的

查看并验证安全设备上配置的多节点高可用性设置的详细信息。

行动

在作模式下，运行以下命令：

在 SRX-1 上

在 SRX-2 上

意义

从命令输出中验证以下详细信息：

  • 本地节点和对等节点详细信息，例如 IP 地址和 ID。

  • 该字段 Encrypted: YES 表示流量已受到保护。

  • 该字段 Deployment Type: ROUTING 表示第 3 层模式配置，即网络两端都有路由器。

  • 该字段 Services Redundancy Group: 1 并 Services Redundancy Group: 2 指示该节点上 SRG1 和 SRG2（活动或备份）的状态。

检查多节点高可用性详细信息

目的

查看并验证安全设备上配置的多节点高可用性设置的详细信息。

行动

在作模式下，运行以下命令：

在 SRX-01 上

意义

从命令输出中验证以下详细信息：

  • 该字段 Services: [ IPSEC ] 表示每个 SRG 的关联 IPSec VPN。

  • 字段 BFD Monitoring， Interface Monitoring， Split-brain Prevention Probe Info 显示监控详细信息。

  • 字段 Cold Synchronization提供 SRG State Change Events 有关当前状态和最近更改的详细信息。

  • 该字段 Services Redundancy Group: 1 并 Services Redundancy Group: 2 指示该节点上 SRG1 和 SRG2（活动或备份）的状态。

在命令输出中，IP 地址（如 IP 180.100.1.2）由 Junos OS 内部生成，这些地址不会干扰路由表。

检查多节点高可用性对等节点状态

目的

查看并验证对等节点详细信息。

行动

在作模式下，对 SRX-01 和 SRX-02 运行以下命令：

SRX-01

SRX-02

意义

从命令输出中验证以下详细信息：

  • 对等节点详细信息，例如使用的接口、IP 地址和 ID

  • 加密状态、连接状态和冷同步状态

  • 整个节点的数据包统计信息。

检查多节点高可用性服务冗余组

目的

验证 SRG 是否已配置且工作正常。

行动

在作模式下，在两台安全设备上运行以下命令：

SRX-02 上的 SRG1

SRX-02 上的 SRG2

SRX-01 上的 SRG1

SRX-01 上的 SRG2

意义

从命令输出中验证以下详细信息：

  • 对等节点详细信息，例如部署类型、状态、活动和备份信号路由。

  • 脑裂预防探测、IP 监控和 BFD 监控状态。

  • 关联的 IP 前缀表。

验证机箱间链路 （ICL） 加密状态

目的

验证机箱间链路 （ICL） 状态。

行动

在 SRX-01 上运行以下命令：

意义

命令输出提供以下信息：

  • 本地网关和远程网关详细信息。

  • PIC 中每个线程的 IPsec SA 对。

  • 高可用性链路加密模式（如下行所示）：

  • 使用的身份验证和加密算法

注意：

命令输出中显示的 IP 范围 （180.100.1.x） 用作 ICL IPsec 流量选择器。系统会动态分配此 IP 范围，因此不能更改或修改它。此外，BFD（双向转发检测）将自动启用，以覆盖更广泛的 180.x.x.x IP 范围。

验证链路加密隧道统计信息

目的

验证活动节点和备份节点上的链路加密隧道统计信息。

行动

在 SRX-01 上运行以下命令：

意义

如果看到 VPN 中有数据包丢失的问题，可以多次运行命令 show security ipsec statistics ha-link-encryption 以验证加密和解密数据包计数器是否在递增。还应检查其他错误计数器是否也在递增。

使用此命令清除 clear security ipsec security-associations ha-link-encryption 所有 IPsec 统计信息。

验证机箱间链路活动对等方

目的

仅查看 ICL 活动对等方，不查看常规 IKE 活动对等方。

行动

在 SRX-01 和 SRX-02 设备上运行以下命令：

SRX-1

SRX-2

意义

命令输出仅显示 ICL 的活动对等方，以及活动对等方正在使用的对等方地址和端口等详细信息。

确认 VPN 状态

目的

通过在 SRG 级别检查任何 IKE 安全关联的状态来确认 VPN 状态。

行动

在 SRX-1、SRX-2 和 SRX-3（VPN 对等设备）上运行以下命令：

SRX-01

SRX-02

SRX-3（VPN 对等设备）

意义

输出表明：

  • 远程对等方的 IP 地址。
  • 两个远程对等方都显示 UP 的状态表示第 1 阶段建立成功关联。
  • 远程对等方 IP 地址、IKE 策略和外部接口均正确无误。

显示 IPsec 安全性关联详细信息

目的

显示由 SRG ID 标识的各个 IPsec SA 详细信息。

行动

在 SRX 系列防火墙上运行以下命令：

SRX-1

SRX-02

SRX-03

意义

输出显示 VPN 的状态。

显示每个 SRG 的活动对等方

目的

显示已连接活动对等方的列表以及它们正在使用的对等方地址和端口。

行动

在 SRX 系列防火墙上运行以下命令：

SRX-01

SRX-02

意义

输出显示已连接设备列表，以及有关所用对等地址和端口的详细信息。

显示 IP 前缀到 SRG 的映射

目的

显示 SRG 映射信息的 IP 前缀。

行动

在 SRX-01 设备上运行以下命令。

意义

输出显示设置中映射到 SRG 的 IP 地址前缀。

显示 BGP 会话信息。

目的

显示有关 BGP 及其邻接方的汇总信息，以确定是否从对等方接收了路由。

行动

在 SRX 系列防火墙上运行以下命令：

SRX-1 设备

SRX-2 设备

意义

输出显示 BGP 会话已建立，对等方正在交换更新消息。

也可以看看