Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

示例：在第 3 层网络中配置 A/A 多节点高可用性中的 IPSec VPN

此示例说明如何为主动-主动多节点高可用性设置配置和验证 IPsec VPN。

概述

在多节点高可用性下，参与的 SRX 系列防火墙在第 3 层网络中作为独立节点运行。这些节点连接到属于不同网络的相邻基础设施。加密的逻辑机箱间链路 （ICL） 通过路由网络连接节点。参与节点相互备份，以确保在发生系统或硬件故障时实现快速同步的故障切换。

您可以在支持多个服务冗余组 （SRG） 的主动-主动模式下运行多节点高可用性。在此模式下，某些 SRG 在一个节点上保持活动状态，而某些 SRG 在另一个节点上保持活动状态。

多节点高可用性支持具有多个 SRG （SRG1+） 的主动-主动模式下的 IPsec VPN。在此模式下，您可以根据 SRG 活动性从两个节点建立多个活动隧道。多节点高可用性通过将终止 IP 地址（该地址也会标识在其末端的隧道）与 SRG 相关联，建立 IPsec 隧道并执行密钥交换。由于每个设备上不同的 SRG1+ 可能处于活动状态或备份状态，因此多节点高可用性可将匹配的流量有效地引导至相应的活动 SRG1。由于不同的 SRG 可以在不同的节点上处于活动状态，因此属于这些 SRG 的隧道会独立地出现在两个节点上。

注意：

我们支持多节点高可用性解决方案中的双节点配置。

要求

此示例使用以下硬件和软件组件：

  • 两个 SRX 系列 防火墙（支持的设备包括 SRX5400、SRX5600 和 SRX5800 SPC3、IOC3、SCB3、SCB4 和 RE3）

  • Junos OS 22.4R1 版

在此示例中，我们使用了两个瞻博网络 MX 系列路由平台作为上游/下游路由器。

准备工作

  • 根据您的网络要求配置无状态防火墙过滤和服务质量 （QoS），并使用适当的安全策略来管理网络中的流量。

  • 在典型的高可用性部署中，网络的北向和南向两侧有多个路由器和交换机。在此示例中，我们在 SRX 系列防火墙的两端使用了两个路由器。确保您已根据网络要求配置上游和下游路由器。

  • 使用 request system software add optional://junos-ike.tgz 命令在 SRX 系列防火墙上安装 Junos IKE 软件包。 junos-ike 软件包包含在 Junos 软件包（Junos OS 20.4R1 及更高版本）中。

拓扑学

图 1 显示了此示例中使用的拓扑。

图 1：第 3 层网络 Multinode High Availability in Layer 3 Network中的多节点高可用性

如拓扑所示，两个 SRX 系列防火墙（SRX-1 和 SRX-2）分别连接到信任侧和不信任侧的相邻路由器，形成 BGP 邻接方。加密的逻辑机箱间链路 （ICL） 通过路由网络连接节点。节点使用网络上的可路由 IP 地址（浮动 IP 地址）相互通信。

SRX-03 设备可作为多节点高可用性设置的对等设备，并与 SRX-01 和 SRX-02 设备建立 IPsec VPN 隧道。

您将执行以下任务来构建多节点高可用性设置：

  • 通过分配 ID 将一对 SRX 系列防火墙配置为本地和对等节点。
  • 配置服务冗余组（SRG1 和 SRG2）。
  • 配置环路接口 （lo0.0） 以托管浮动 IP 地址并访问对等网关。使用环路接口可确保在任何给定点上，来自相邻路由器的流量都将引导到浮动 IP 地址（即活动节点）。
  • 配置 IP 探针，以便确定和实施主动性
  • 配置主动性实施所需的信号路由，并将其与路由存在策略一起使用。
  • 使用 IKEv2 为高可用性 （ICL） 流量配置 VPN 配置文件。
  • 配置 BFD 监控选项
  • 配置路由策略和路由选项
  • 根据您的网络要求配置接口和区域。您必须允许在与 ICL 关联的安全区域中使用用于链路加密的 IKE 和用于配置同步的 SSH 等服务作为主机入站系统服务。

  • 为 SRX-01 和 SRX-02 设备上的 IPsec VPN 创建组配置，以通过 VPN 对等设备 （SRX-03） 建立隧道。通过配置组，您可以应用在同一配置中重复使用的通用元素。

  • 配置 IPsec VPN 选项以与 SRX-03 设备建立隧道，并使用 [groups] 选项在两台设备（SRX-01 和 SRX-02）上启用 IPsec VPN 配置同步。
  • 使用 IPsec VPN 选项配置 VPN 对等设备。

对于机箱间链路 （ICL），我们建议进行以下配置：

  • 通常，您可以使用聚合以太网 （AE） 或 SRX 系列防火墙上的收入以太网端口来设置 ICL 连接。在此示例中，我们使用了 ICL 的 GE 端口。我们还为 ICL 路径配置了一个路由实例，以确保最大程度的分段。

  • 请勿使用专用 HA 端口（控制和交换矩阵端口）（如果 SRX 系列防火墙上可用）。
  • 设置 1514 的 MTU
  • 允许在与用于 ICL 的接口关联的安全区域上提供以下服务

    • IKE、高可用性、SSH

    • 协议取决于您需要的路由协议。

    • BFD 监视相邻路由。

您可以在 SRG0 和 SRG1+ 上配置以下选项：

您可以在 SRG0 和 SRG1 上配置以下选项：

  • SRG1：主动/备用信号路由、部署类型、主动性优先级、抢占、虚拟 IP 地址（对于默认网关部署）、主动性 在备份时探测和处理数据包。

  • SRG1：SRG1 上的 BFD 监控、IP 监控和接口监控选项。

  • SRG0：故障时关闭和故障时安装路由选项。

    在 SRG1 下配置监控（BFD 或 IP 或接口）选项时，建议不要在 SRG0 下配置故障时关机选项。

  • SRG1：主动/备用信号路由、部署类型、主动性优先级、抢占、虚拟 IP 地址（对于默认网关部署）、主动性 在备份时探测和处理数据包。

  • SRG1：SRG1 上的 BFD 监控、IP 监控和接口监控选项。

  • SRG0：故障时关闭和故障时安装路由选项。

    在 SRG1 下配置监控（BFD 或 IP 或接口）选项时，建议不要在 SRG0 下配置故障时关机选项。

表 1 显示了此示例中使用的接口配置的详细信息。

配置
表 1：安全设备上的接口和 IP 地址配置
设备 接口 区域的 IP 地址
SRX-01型 lo0

不信任

10.11.0.1/32

浮动 IP 地址

IKE 网关地址

10.12.0.1/32

IKE 网关地址

ge-0/0/2

ICL公司

10.22.0.2/24

连接 ICL

ge-0/0/4

信任

10.5.0.1/24

连接到 R2 路由器

ge-0/0/3

不信任

10.3.0.2/24

连接到 R1 路由器
SRX-02型

lo0

不信任

10.12.0.1/32

浮动 IP 地址

IKE 网关地址

10.11.0.1/32

IKE 网关地址

ge-0/0/2

ICL公司

10.22.0.1/24

连接 ICL

ge-0/0/3

不信任

10.2.0.2/24

连接到 R1 路由器

ge-0/0/4

信任

10.4.0.1/24

连接到 R2 路由器
SRX-03型 lo0

不信任

10.112.0.1/32

IKE 网关地址

10.112.0.5/32

IKE 网关地址

ge-0/0/0

不信任

10.7.0.1/24

连接到 R2 路由器

ge-0/0/2

信任

10.6.0.2/24

连接到客户端设备
表 2：路由设备上的接口和 IP 地址配置
设备 接口 IP 地址 配置为
R2 lo0

10.111.0.2/32

R2 的环路接口地址

ge-0/0/1

10.4.0.2/24

连接到 SRX-02

ge-0/0/0

10.5.0.2/24

连接到 SRX-01

ge-0/0/2

10.7.0.2/24

连接到 SRX-03（VPN 对等设备）
R1 lo0

10.111.0.1/32

R1 的环路接口地址

ge-0/0/0

10.3.0.1/24

连接到 SRX-01

ge-0/0/1

10.2.0.1/24

连接到 SRX-02

配置

准备工作

SRX 系列防火墙需要 Junos IKE 软件包才能实现多节点高可用性配置。此软件包可作为默认软件包使用，也可以在 SRX 系列防火墙上作为可选软件包使用。有关详细信息，请参阅 对 Junos IKE 软件包的支持 。

如果默认情况下未在 SRX 系列防火墙上安装软件包，请使用以下命令进行安装。ICL 加密需要执行此步骤。

CLI 快速配置

要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改详细信息，以便与网络配置匹配，将命令复制并粘贴到层 [edit] 级的 CLI 中，然后从配置模式进入 commit 。

这些配置是从实验室环境中捕获的，仅供参考。实际配置可能因环境的具体要求而异。

SRX-01 设备

SRX-02 设备

SRX-3 设备

以下章节显示了在网络中设置多节点高可用性设置所需的路由器上的配置片段。

R1 路由器

R2 路由器

配置

分步过程

我们将在分步过程中展示 SRX-01 的配置。

下面的示例要求您在各个配置层级中进行导航。有关操作说明，请参阅 CLI 用户指南中的在配置模式下使用 CLI 编辑器。

  1. 配置接口。

    使用 ge-0/0/3 和 ge-0/0/4 接口连接到上行和下游路由器，并使用 ge-0/0/2 接口设置 ICL。

  2. 配置环路接口。

    将 IP 地址 10.11.0.1 和 10.12.0.1 分配给环路接口。我们将使用 10.11.0.1 作为浮动 IP 地址，使用 10.12.0.1 作为 IKE 网关地址。

  3. 配置安全区域，为这些区域分配接口，并为安全区域指定允许的系统服务。

    将接口 ge-0/0/3 和 ge-0/0/4 分别分配为信任区和不信任区。将 lo0.0 接口分配给不信任区域以通过 IP 网络进行连接。将接口 ge-0/0/2 分配给 ICL 区域。您可以使用此区域来设置 ICL。将安全隧道接口分配给 VPN 安全区域。

  4. 配置本地节点和对等节点详细信息，例如节点 ID、本地节点和对等节点的 lP 地址以及对等节点的接口。

    您将使用 ge-0/0/2 接口通过 ICL 与对等节点进行通信。

  5. 将 IPsec VPN 配置文件IPSEC_VPN_ICL附加到对等节点。

    您需要此配置才能在节点之间建立安全的 ICL 链路。

  6. 为对等节点配置双向转发检测 （BFD） 协议选项。

  7. 配置服务冗余组 SRG1 和 SRG2。

    在此步骤中，您将部署类型指定为路由，因为您将在第 3 层网络中设置多节点高可用性。

  8. 设置活动性确定参数 SRG1 和 SRG2。

    SRG1

    SRG2

    使用浮动 IP 地址作为源 IP 地址（SRG1 为 10.11.0.1，SRG2 为 10.12.0.1），上游路由器的 IP 地址作为活动性确定探测的目标 IP 地址 （10.111.0.1）。

    您最多可以配置 64 个 IP 地址，用于 IP 监控和主动性探测。总共 64 个 IP 地址是 IPv4 和 IPv6 地址数的总和）

  9. 为 SRG1 和 SRG2 配置 BFD 监控参数，以检测网络故障。

    SRG1

    SRG2

  10. 配置主动性实施所需的活动信号路由。

    SRG1

    SRG2

    注意：您必须在 policy-options 语句中指定活动信号路由以及 route-exists 策略。配置 active-signal-route with if-route-exists 条件时，HA 模块会将此路由添加到路由表中。

  11. 通过包含 IKE 网关的本地地址创建 IP 前缀列表，并将 IP 前缀列表与 SRG1 和 SRG2 关联：

    SRG1

    SRG2

    此配置会将特定 IPsec VPN 隧道锚定到特定的安全设备。

  12. 在 SRG1 和 SRG2 上启用 IPsec VPN 服务。

  13. 为 ICL 配置 IPSec VPN 选项。

    1. 定义互联网密钥交换 （IKE） 配置。IKE 配置定义用于建立安全连接的算法和密钥。

      对于多节点高可用性功能，必须将 IKE 版本配置为 v2-only

    2. 指定 IPsec 提议协议和加密算法。指定 IPsec 选项以在两个参与设备之间创建 IPsec 隧道，以保护 VPN 通信。

      指定ha-link-encryption选项可对 ICL 进行加密，以保护节点之间的高可用性流量。

      配置中set chassis high-availability peer-id <id> vpn-profile vpn_profile必须提及vpn_profile相同的 VPN 名称ICL_IPSEC_VPN。

  14. 配置安全策略。

    在此示例中，我们配置了一个策略以允许所有流量。强烈建议您根据网络要求创建安全策略，以允许组织策略允许的流量并拒绝所有其他流量。在此示例中，我们仅出于演示目的使用了默认策略。

  15. 配置路由选项。

  16. 配置策略选项。

    使用路由匹配条件 （if-route-exists） 配置活动信号路由 10.39.1.1 （SRG1） 和 10.49.1.1 （SRG2）。当节点移动到活动角色时，多节点高可用性会将此路由添加到路由表。节点也开始播发优先级较高的路由。配置备用信号路由（10.39.1.2 和 10.49.1.2），以中等优先级播发备份节点。如果发生任何故障，高可用性链路将关闭，当前活动节点将释放其主要角色并删除活动信号路由。现在，备份节点通过其探测检测到这种情况，并转换为活动角色。交换路由优先级以将所有流量驱动到新的活动节点

  17. 配置 BFD 对等会话选项并指定活体检测计时器。

IPsec VPN 配置（SRX-1 和 SRX-2）

使用以下步骤设置与对等 SRX 系列防火墙的 IPsec VPN 连接。在此示例中，您需要将所有 IPsec VPN 配置语句放在名为 vpn_config 的 JUNOS 配置组中。

  1. 在配置顶部创建配置组 vpn_config ，并配置特定于 IPsec VPN 的详细信息。

  2. 在配置中包括 apply-groups 语句，以便从vpn_config配置组继承语句，

配置 （SRX-03）（VPN 对等设备）

分步过程

  1. 创建 IKE 提议。

  2. 定义 IKE 策略。

  3. 创建 IKE 网关，定义地址，指定外部接口和版本。

  4. 创建 IPsec 提议。

  5. 创建 IPsec 策略。

  6. 指定 IPsec 提议参考（IKE 网关、IPsec 策略、要绑定的接口和流量选择器）。

  7. 创建安全策略。

    在此示例中，我们配置了一个策略以允许所有流量。强烈建议您根据网络要求创建安全策略，以允许组织策略允许的流量并拒绝所有其他流量。在此示例中，我们仅出于演示目的使用了默认策略。

  8. 配置接口。

  9. 定义安全区域并添加接口。

  10. 配置静态路由。

结果 （SRX-01）

在配置模式下，输入以下命令以确认您的配置。

如果输出未显示预期的配置，请重复此示例中的配置说明，以便进行更正。

如果完成设备配置，请从配置模式输入 commit 。

结果 （SRX-02）

在配置模式下，输入以下命令以确认您的配置。如果输出未显示预期的配置，请重复此示例中的配置说明，以便进行更正。

如果完成设备配置，请从配置模式输入 commit 。

在您的安全设备上，您将收到以下消息，要求您重新启动设备：

结果 （SRX-3）（VPN 对等设备）

在配置模式下，输入以下命令以确认您的配置。如果输出未显示预期的配置，请重复此示例中的配置说明，以便进行更正。

如果完成设备配置，请从配置模式输入 commit 。

验证

确认配置工作正常。

检查多节点高可用性详细信息

目的

查看并验证安全设备上配置的多节点高可用性设置的详细信息。

行动

在操作模式下，运行以下命令：

在 SRX-1 上

在 SRX-2 上

意义

从命令输出中验证以下详细信息：

  • 本地节点和对等节点详细信息，例如 IP 地址和 ID。

  • 该字段 Encrypted: YES 表示流量受到保护。

  • 字段 Deployment Type: ROUTING 表示第 3 层模式配置，即网络的两端都有路由器。

  • 字段 Services Redundancy Group: 1 和 Services Redundancy Group: 2 指示该节点上 SRG1 和 SRG2（活动或备份）的状态。

检查多节点高可用性详细信息

目的

查看并验证安全设备上配置的多节点高可用性设置的详细信息。

行动

在操作模式下，运行以下命令：

在 SRX-01 上

意义

从命令输出中验证以下详细信息：

  • 该字段 Services: [ IPSEC ] 表示每个 SRG 的关联 IPSec VPN。

  • 字段 BFD Monitoring、 Interface Monitoring、 Split-brain Prevention Probe Info 显示监控详细信息。

  • 字段 Cold Synchronization提供有关 SRG State Change Events 当前状态和最近更改的详细信息。

  • 字段 Services Redundancy Group: 1 和 Services Redundancy Group: 2 指示该节点上 SRG1 和 SRG2（活动或备份）的状态。

在命令输出中，IP 180.100.1.2 等 IP 地址由 Junos OS 在内部生成，这些地址不会干扰路由表。

检查多节点高可用性对等节点状态

目的

查看并验证对等节点详细信息。

行动

在操作模式下，对 SRX-01 和 SRX-02 运行以下命令：

SRX-01型

SRX-02型

意义

从命令输出中验证以下详细信息：

  • 对等节点详细信息，例如使用的接口、IP 地址和 ID

  • 加密状态、连接状态、冷同步状态

  • 跨节点的数据包统计信息。

检查多节点高可用性服务冗余组

目的

验证 SRG 是否已配置并正常工作。

行动

在操作模式下，在两台安全设备上运行以下命令：

SRX-02 上的 SRG1

SRX-02 上的 SRG2

SRX-01 上的 SRG1

SRX-01 上的 SRG2

意义

从命令输出中验证以下详细信息：

  • 对等节点详细信息，例如部署类型、状态、活动和备份信号路由。

  • 裂脑预防探头、IP监测和BFD监测状态。

  • 关联的 IP 前缀表。

验证机箱间链路 （ICL） 加密状态

目的

验证机箱间链路 （ICL） 状态。

行动

在 SRX-01 上运行以下命令：

意义

命令输出提供以下信息：

  • 本地网关和远程网关详细信息。

  • PIC 中每个线程的 IPsec SA 对。

  • 高可用性链路加密模式（如以下行所示）：

  • 使用的身份验证和加密算法

谨慎：

命令输出中显示的 IP 范围 （180.100.1.x） 用作 ICL IPsec 流量选择器。系统动态分配此 IP 范围，不得更改或修改它。此外，BFD（双向转发检测）将自动启用，适用于更广泛的 180.x.x.x IP 范围。

验证链路加密隧道统计信息

目的

验证活动节点和备份节点上的链路加密隧道统计信息。

行动

在 SRX-01 上运行以下命令：

意义

如果看到 VPN 中有数据包丢失的问题，可以多次运行 show security ipsec statistics ha-link-encryption 命令以验证加密和解密数据包计数器是否在递增。还应检查其他错误计数器是否也在递增。

clear security ipsec security-associations ha-link-encryption使用命令清除所有 IPsec 统计信息。

验证机箱间链路活动对等方

目的

仅查看 ICL 活动对等方，而不能查看常规 IKE 活动对等方。

行动

在 SRX-01 和 SRX-02 设备上运行以下命令：

SRX-1

SRX-2

意义

命令输出仅显示 ICL 的活动对等方，以及活动对等方正在使用的对等方地址和端口等详细信息。

确认 VPN 状态

目的

通过在 SRG 级别检查任何 IKE 安全关联的状态来确认 VPN 状态。

行动

在 SRX-1、SRX-2 和 SRX-3（VPN 对等设备）上运行以下命令：

SRX-01型

SRX-02型

SRX-3（VPN 对等设备）

意义

输出表明：

  • 远程对等方的 IP 地址。
  • 两个远程对等方显示 UP 的状态表示第 1 阶段建立已成功关联。
  • 远程对等方 IP 地址、IKE 策略和外部接口都正确无误。

显示 IPsec 安全关联详细信息

目的

显示由 SRG ID 标识的单个 IPsec SA 详细信息。

行动

在 SRX 系列防火墙上运行以下命令：

SRX-1

SRX-02型

SRX-03型

意义

输出显示 VPN 的状态。

显示每个 SRG 的活动对等方

目的

显示已连接的活动对等方列表，以及它们正在使用的对等方地址和端口。

行动

在 SRX 系列防火墙上运行以下命令：

SRX-01型

SRX-02型

意义

输出显示已连接设备列表，其中包含有关对等地址和所用端口的详细信息。

显示 IP 前缀到 SRG 的映射

目的

显示 IP 前缀到 SRG 的映射信息。

行动

在 SRX-01 设备上运行以下命令。

意义

输出显示映射到设置中的 SRG 的 IP 地址前缀。

显示 BGP 会话信息。

目的

显示有关 BGP 及其邻接方的摘要信息，以确定是否从对等方接收路由。

行动

在 SRX 系列防火墙上运行以下命令：

SRX-1 设备

SRX-2 设备

意义

输出显示 BGP 会话已建立，并且对等方正在交换更新消息。

另见