监控 VPN 流量

了解失效对等体检测

失效对等方检测 （DPD） 是一种基于标准的协议，它使用网络流量来检测 IPsec 连接中 IKE 对等方的活动性。在创建 IPsec 隧道期间，VPN 对等方进行协商以决定是否使用 DPD 方法。如果对等方同意使用 DPD 协议，防火墙会主动检查对等方的活动性。当没有活动流量时，防火墙会定期向对等方发送消息并等待响应。如果对等方未响应消息，防火墙将假定对等方不再可用。对于 IKEv1 和 IKEv2 协议，DPD 协议的行为是相同的。一旦防火墙建立 IKE 第 1 阶段安全关联 （SA），DPD 计时器就会处于活动状态。SRX 系列防火墙使用 DPD 协议检测 IPsec VPN 连接中的对等活动性。

图 1： DPD 协议中的消息交换

图 1 显示了 IPsec VPN 隧道中 IKE 对等方之间的 DPD 消息交换。设备执行 DPD 时发生以下事件：

1. SRX-A 会等到指定的 DPD 间隔，以检查它是否已收到来自对等方 SRX-B 的任何流量。

2. 如果 SRX-A 在指定的 DPD 间隔内未收到来自 SRX-B 的任何流量，则会向 SRX-B 发送加密的 IKE 第 1 阶段通知有效负载（R-U-THERE 消息）。

3. SRX-A 等待来自 SRX-B 的 DPD 确认（R-U-THERE-ACK 消息）。

   1. 如果 SRX-A 在此时间间隔内收到来自 SRX-B 的 R-U-THERE-ACK 消息，则认为对等方处于活动状态。然后，SRX-A 将重置该隧道的 R-U-THERE 消息计数器，并开始新的间隔。

   2. 如果 SRX-A 在时间间隔内未收到 R-U-THERE-ACK 消息，则会认为对等方 SRX-B 已关闭。然后，SRX-A 会移除该对等方的第 1 阶段 SA 和所有第 2 阶段 SA。

让我们看看您需要配置哪些 DPD 参数：

• 模式 - 根据流量活动，您可以在以下模式之一中配置 DPD：

  • 优化 — 在 优化 模式下，当发起设备向对等方发送传出数据包时，如果在配置的时间间隔内没有来自对等方的传入 IKE 或 IPsec 流量，则发起设备将触发 R-U-THERE 消息。DPD 在此默认模式下运行，除非您通过配置指定模式。

  • 探测空闲隧道 — 在 探测空闲隧道 模式下，如果在配置的时间间隔内没有传入或传出 IKE 或 IPsec 流量，设备将触发 R-U-THERE 消息。设备定期向对等方发送 R-U-THERE 消息，直到出现流量活动。此模式有助于及早检测出现故障的对等方，从而确保活动流量期间的隧道可用性。



    注：

    如果为 VPN 配置了多个流量选择器，则可以为同一个 IKE SA 建立多个隧道。在此方案中，配置探测空闲隧道模式时，无论同一 IKE SA 的另一个隧道中的流量如何，如果隧道变为空闲，都会触发 R-U-THERE 消息。

  • 始终发送 — 在始终发送模式下，无论对等方之间的流量活动如何，设备都会以配置的时间间隔发送 R-U-THERE 消息。 我们建议您更喜欢使用探测空闲隧道模式，而不是 始终发送 模式。

• 间隔 — 使用 interval 参数指定设备在发送 R-U-THERE 消息之前等待来自其对等方的流量的时间量（以秒为单位）。默认间隔为 10 秒。从 Junos OS 版本 15.1X49-D130 开始，我们已将 R-U-THERE 消息发送到对等设备的允许间隔参数范围从 10 秒到 60 秒减少到 2 秒到 60 秒。当 DPD 间隔参数设置为小于 10 秒时，建议将最小阈值参数设置为 3。

• 阈值 — 使用 阈值 参数指定设备在考虑对等方关闭之前发送 R-U-THERE 消息而不接收对等方响应的最大次数。默认传输次数为 5，允许范围为 1 到 5 次重试。

在配置 DPD 之前，请注意以下注意事项：

• 将 DPD 配置添加到具有活动隧道的现有网关后，设备将开始触发 R-U-THERE 消息，而无需清除第 1 阶段或第 2 阶段 SA。

• 从具有活动隧道的现有网关中删除 DPD 配置时，设备将停止为隧道触发 R-U-THERE 消息。但这不会影响 IKE 和 IPsec SA。

• 修改 DPD 配置参数（如模式、间隔或阈值）时，IKE 会在不清除第 1 阶段或第 2 阶段 SA 的情况下更新 DPD 操作。

• 如果使用 DPD 和 VPN 监控配置 IKE 网关，而未指定立即建立隧道的选项，则 IKE 不会启动第 1 阶段协商。配置 DPD 时，还必须在 [] 层次结构级别配置选项，以便在没有第 1 阶段和第 2 阶段 SA 可用时拆除 st0 接口。establish-tunnelsimmediatelyedit services ipsec-vpn 请参阅 立即建立隧道。https://www.juniper.net/documentation/us/en/software/junos/interfaces-adaptive-services/topics/ref/statement/establish-tunnels-edit-services-ipsec-vpn.html

• 如果使用多个对等方 IP 地址和 DPD 配置 IKE 网关，但无法使用第一个对等方 IP 地址建立第 1 阶段 SA，则 IKE 会尝试使用下一个对等方 IP 地址进行建立。只有在 IKE 建立第 1 阶段 SA 后，DPD 才处于活动状态。请参阅 失效对等体检测。https://www.juniper.net/documentation/us/en/software/junos/vpn-ipsec/topics/ref/statement/security-edit-dead-peer-detection.html

• 如果使用多个对等方 IP 地址和 DPD 配置 IKE 网关，但使用当前对等方的 IP 地址连接失败，IKE 将清除第 1 阶段和第 2 阶段 SA，DPD 将故障转移到下一个对等方 IP 地址。请参阅网关（安全 IKE）。https://www.juniper.net/documentation/us/en/software/junos/vpn-ipsec/topics/ref/statement/security-edit-gateway-ike.html

• 由于同时进行协商，同一对等方可以存在多个第 1 阶段或第 2 阶段 SA。在这种情况下，DPD 会将 R-U-THERE 消息发送到所有第 1 阶段 SA。如果网关连续配置的次数无法接收 DPD 响应，它将清除第 1 阶段 SA 和关联的第 2 阶段 SA（仅适用于 IKEv2）。

如果 IKE 对等方启动，是否意味着底层 VPN 已启动？

了解 VPN 监控

启用 VPN 监控时，设备会通过 VPN 隧道将 ping 发送到对等网关或隧道另一端的指定目标。默认情况下，设备以 10 秒的间隔发送 ping，最多连续发送 10 次。如果设备在连续 10 次 ping 后未收到任何回复，则认为 VPN 已关闭，IPsec 安全关联 （SA） 已清除。

DPD 和 VPN 监控相辅相成。VPN 监控适用于单个 IPsec VPN，而 DPD 是在单个 IKE 网关上下文中配置的。

您可以使用以下操作模式来监控 VPN 隧道：

• 始终发送模式 — 在此模式下，无论隧道中的流量如何，设备每配置一次间隔发送一次 VPN 监控数据包。启用 VPN 监控后 ， 如果未指定默认模式，Junos OS 将使用始终发送模式作为 默认模式。

• 优化模式 — 在此模式下，仅当时间间隔内有传出流量且没有传入流量通过隧道时，设备才会在每个配置的时间间隔发送一次 VPN 监控数据包。 如果有传入流量通过 VPN 隧道，设备会认为隧道处于活动状态，并且不会向对等方发送 ping。 您可以使用优化模式来节省设备上的资源，因为在此模式下，设备仅在需要确定对等活动时发送 ping。 发送 ping 还可以激活昂贵的备份链接，否则这些链接将不会使用。如果未显式配置优化模式，设备将在默认的始终发送模式下运行。

要在 SRX 系列防火墙上配置 VPN 监控：

1. 通过在 [] 层次结构级别包含选项，为特定 VPN 隧道启用 VPN 监控。vpn-monitoredit security ipsec vpn vpn-name 请参阅 VPN 监视器。https://www.juniper.net/documentation/us/en/software/junos/vpn-ipsec/topics/ref/statement/security-edit-vpn-monitor.html

2. 将 VPN 监控模式配置为优化。

3. 指定目标 IP 地址。对等网关的 IP 地址是默认目标;但是，您可以指定位于隧道另一端的其他目标 IP 地址（例如服务器的目标 IP 地址）。

4. 指定 地址。source-interface 本地隧道端点是默认源接口，但您可以指定其他接口名称。

5. 在 [] 层次结构级别配置设备发送 ping 的时间间隔和连续发送的 ping 次数（分别使用 和 选项）。intervalthresholdedit security ipsec vpn-monitor-options 如果未配置这些选项，设备将以默认间隔 10 秒发送 ping，最多连续发送 10 次。如果未收到回复，则认为 VPN 已关闭。然后，设备将清除 IPsec 安全关联。

了解 IPsec 数据路径验证

• 概述
• 警告

了解全球 SPI 和 VPN 监控功能

您可以使用以下全局 VPN 功能监控和维护 VPN 的高效运行：

• SPI—当其中一个对等方发生故障时，安全关联 （SA） 中的对等方可能会变得不同步。例如，如果其中一个对等方重新启动，则可能会发送不正确的安全参数索引 （SPI）。您可以通过配置错误的 SPI 响应功能，使器件能够检测此类事件并重新同步对等方。

• VPN 监控 — 您可以使用全局 VPN 监控功能定期向对等方发送互联网控制消息协议 （ICMP） 请求，以确定对等方是否可访问。

比较 VPN 监控和 DPD

VPN 监控和失效对等方检测 （DPD） 是 SRX 系列防火墙提供的功能，用于验证 VPN 对等设备的可用性。本节将比较这些功能的操作和配置。

即使设备上未配置 DPD，SRX 系列防火墙也会响应 VPN 对等方发送的 DPD 消息。您可以将 SRX 系列防火墙配置为向 VPN 对等方发起 DPD 消息。您还可以将 DPD 和 VPN 监控配置为在同一 SRX 系列防火墙上同时运行，但可使用任一方法监控的对等方数量都会减少。

VPN 监控是一种仅监控第 2 阶段安全关联 （SA） 的 Junos OS 机制。VPN 监控基于每个 VPN 启用，语句位于 [] 层次结构级别。vpn-monitoredit security ipsec vpn vpn-name 必须指定目标 IP 和源接口。该 选项使设备能够使用流量模式作为对等活动的证据;ICMP 请求将被抑制。optimized

VPN 监控选项使用 [] 层次结构级别的语句进行配置。vpn-monitor-optionsedit security ipsec 这些选项适用于所有启用了 VPN 监控的 VPN。您可以配置的选项包括将 ICMP 请求发送到对等方的时间间隔（默认值为 10 秒）以及在对等方被视为无法访问之前连续发送但未收到响应的 ICMP 请求数（默认值为 10 个连续请求）。

DPD 是 RFC 3706 的实现，RFC 3706 是一种 基于流量的失效互联网密钥交换 （IKE） 对等方检测方法。它在 IKE 级别运行，并根据 IKE 和 IPsec 流量活动监视对等方。

DPD 在单个 IKE 网关上配置，语句位于 [] 层次结构级别。dead-peer-detectionedit security ike gateway gateway-name 您可以配置 DPD 操作模式。如果本地设备向对等方发送传出数据包后，在配置的时间间隔内没有传入 IKE 或 IPsec 流量，则默认（优化）模式会将 DPD 消息发送到对等方。其他可配置选项包括将 DPD 消息发送到对等方的间隔（默认值为 10 秒）以及在对等方被视为不可用之前发送而未收到响应的连续 DPD 消息数（默认值为五个连续请求）。