Überwachung des VPN-Datenverkehrs

Grundlegendes zur Dead Peer Detection

Dead Peer Detection (DPD) ist ein standardbasiertes Protokoll, das den Netzwerkverkehr nutzt, um die Lebendigkeit eines IKE-Peers in einer IPsec-Verbindung zu erkennen. Während der Erstellung eines IPsec-Tunnels handeln VPN-Peers aus, um zu entscheiden, ob die DPD-Methode verwendet werden soll oder nicht. Wenn die Peers der Verwendung des DPD-Protokolls zustimmen, prüft die Firewall aktiv die Peer-Lebendigkeit. Wenn kein aktiver Datenverkehr vorhanden ist, sendet die Firewall regelmäßig Nachrichten an den Peer und wartet auf eine Antwort. Wenn der Peer nicht auf die Nachrichten reagiert, geht die Firewall davon aus, dass der Peer nicht mehr verfügbar ist. Das Verhalten des DPD-Protokolls ist für das IKEv1- und das IKEv2-Protokoll gleich. Die DPD-Timer sind aktiv, sobald die Firewall die IKE Phase 1 Security Association (SA) aufbaut. Firewalls der SRX-Serie verwenden das DPD-Protokoll, um die Peer-Auslastung in einer IPsec-VPN-Verbindung zu erkennen.

Abbildung 1: Nachrichtenaustausch im DPD-Protokoll

Abbildung 1 zeigt den Austausch von DPD-Nachrichten zwischen den IKE-Peers in einem IPsec-VPN-Tunnel. Die folgenden Ereignisse treten auf, wenn das Gerät DPD ausführt:

1. SRX-A wartet bis zum angegebenen DPD-Intervall, um zu prüfen, ob Datenverkehr vom Peer SRX-B empfangen wurde.

2. Wenn SRX-A während des angegebenen DPD-Intervalls keinen Datenverkehr von SRX-B empfängt, sendet es eine verschlüsselte IKE-Phase-1-Benachrichtigungsnutzlast – eine R-U-THERE-Nachricht – an SRX-B.

3. SRX-A wartet auf die DPD-Bestätigung – eine R-U-THERE-ACK-Nachricht – von SRX-B.

   1. Wenn SRX-A während dieses Intervalls eine R-U-THERE-ACK-Nachricht von SRX-B empfängt, wird der Peer als aktiv betrachtet. Dann setzt SRX-A seinen R-U-THERE-Nachrichtenzähler für diesen Tunnel zurück und startet ein neues Intervall.

   2. Wenn SRX-A während des Intervalls keine R-U-THERE-ACK-Nachricht empfängt, gilt der Peer SRX-B als inaktiv. SRX-A entfernt dann die Phase-1-Sicherheitszuordnung und alle Phase-2-Sicherheitszuordnungen für diesen Peer.

Sehen wir uns an, welche DPD-Parameter Sie konfigurieren müssen:

• Modus: Je nach Verkehrsaktivität können Sie DPD in einem der folgenden Modi konfigurieren:

  • Optimiert: Wenn im optimierten Modus das initiierende Gerät ausgehende Pakete an den Peer sendet und innerhalb des konfigurierten Intervalls kein eingehender IKE- oder IPsec-Datenverkehr vom Peer vorhanden ist, löst das initiierende Gerät R-U-THERE-Nachrichten aus. DPD arbeitet in diesem Standardmodus, es sei denn, Sie geben einen Modus über die Konfiguration an.

  • Probe-Leerlauftunnel - Im Probe-Leerlauftunnelmodus löst das Gerät R-U-THERE-Nachrichten aus, wenn innerhalb eines konfigurierten Intervalls kein ein- oder ausgehender IKE- oder IPsec-Datenverkehr vorhanden ist. Das Gerät sendet in regelmäßigen Abständen R-U-THERE-Nachrichten an den Peer, bis Datenverkehrsaktivität vorliegt. Dieser Modus hilft bei der frühzeitigen Erkennung eines ausgefallenen Peers und stellt die Tunnelverfügbarkeit während des aktiven Datenverkehrsflusses sicher.



    HINWEIS:

    Wenn Sie mehrere Datenverkehrsselektoren für ein VPN konfiguriert haben, können Sie mehrere Tunnel für dieselbe IKE-SA einrichten. Wenn Sie in diesem Szenario den Tunnelmodus für den Test-Leerlauf konfigurieren, werden R-U-THERE-Meldungen ausgelöst, wenn ein Tunnel unabhängig vom Datenverkehr in einem anderen Tunnel für dieselbe IKE-Sicherheitszuordnung inaktiv wird.

  • Always-send: Im Always-Sendemodus sendet das Gerät R-U-THERE-Nachrichten in einem konfigurierten Intervall, unabhängig von der Datenverkehrsaktivität zwischen den Peers. Es wird empfohlen, den Sonden-Leerlauf-Tunnelmodus dem Always-Send-Modus vorzuziehen.

• Interval: Verwenden Sie den Parameter interval , um die Zeitspanne (in Sekunden) anzugeben, die das Gerät auf Datenverkehr von seinem Peer wartet, bevor es eine R-U-THERE-Nachricht sendet. Das Standardintervall beträgt 10 Sekunden. Ab Junos OS Version 15.1X49-D130 haben wir den zulässigen Intervallparameterbereich, bei dem R-U-THERE-Nachrichten an das Peer-Gerät gesendet werden, von 10 Sekunden bis 60 Sekunden auf 2 Sekunden bis 60 Sekunden reduziert. Es wird empfohlen, den Parameter für den minimalen Schwellenwert auf 3 festzulegen, wenn der Parameter DPD-Intervall auf weniger als 10 Sekunden festgelegt ist.

• Threshold (Schwellenwert): Verwenden Sie den Parameter threshold , um anzugeben, wie oft das Gerät die R-U-THERE-Nachricht sendet, ohne eine Antwort vom Peer zu erhalten, bevor es den Peer als inaktiv betrachtet. Die standardmäßige Anzahl von Übertragungen beträgt fünf, mit einem zulässigen Bereich von 1 bis 5 Wiederholungen.

Beachten Sie die folgenden Überlegungen, bevor Sie DPD konfigurieren:

• Nachdem Sie die DPD-Konfiguration zu einem vorhandenen Gateway mit aktiven Tunneln hinzugefügt haben, beginnt das Gerät mit dem Auslösen von R-U-THERE-Nachrichten, ohne die SA der Phase 1 oder Phase 2 zu löschen.

• Wenn Sie die DPD-Konfiguration von einem vorhandenen Gateway mit aktiven Tunneln löschen, löst das Gerät keine R-U-THERE-Nachrichten mehr für die Tunnel aus. Dies wirkt sich jedoch nicht auf IKE- und IPsec-Sicherheitszuordnungen aus.

• Wenn Sie DPD-Konfigurationsparameter wie Modus, Intervall oder Schwellenwerte ändern, aktualisiert IKE den DPD-Vorgang, ohne die Sicherheitszuordnungen der Phase 1 oder Phase 2 zu löschen.

• Wenn Sie das IKE-Gateway mit DPD- und VPN-Überwachung konfigurieren, ohne die Option zum sofortigen Einrichten von Tunneln anzugeben, initiiert IKE keine Phase-1-Aushandlung. Wenn Sie DPD konfigurieren, müssen Sie auch die Option auf der Hierarchieebene [] konfigurieren, um die st0-Schnittstelle zu entfernen, wenn keine Phase-1- und Phase-2-Sicherheitszuordnungen verfügbar sind.establish-tunnelsimmediatelyedit services ipsec-vpn Weitere Informationen finden Sie unter Sofortiges Einrichten von Tunneln.https://www.juniper.net/documentation/us/en/software/junos/interfaces-adaptive-services/topics/ref/statement/establish-tunnels-edit-services-ipsec-vpn.html

• Wenn Sie das IKE-Gateway mit mehreren Peer-IP-Adressen und DPD konfigurieren, aber keine Phase 1-SA mit der ersten Peer-IP-Adresse einrichten können, versucht IKE, die Einrichtung mit der nächsten Peer-IP-Adresse herzustellen. DPD ist erst aktiv, nachdem das IKE Phase 1 SA eingerichtet hat. Weitere Informationen finden Sie unter Dead-Peer-Erkennung.https://www.juniper.net/documentation/us/en/software/junos/vpn-ipsec/topics/ref/statement/security-edit-dead-peer-detection.html

• Wenn Sie das IKE-Gateway mit mehreren Peer-IP-Adressen und DPD konfigurieren, die Verbindung mit der IP-Adresse des aktuellen Peers jedoch fehlschlägt, löscht IKE die Sicherheitszuordnungen der Phasen 1 und 2 und DPD führt ein Failover auf die nächste Peer-IP-Adresse durch. Siehe Gateway (Sicherheits-IKE).https://www.juniper.net/documentation/us/en/software/junos/vpn-ipsec/topics/ref/statement/security-edit-gateway-ike.html

• Aufgrund gleichzeitiger Verhandlungen können mehrere Phase-1- oder Phase-2-Sicherheitszuordnungen mit demselben Peer vorhanden sein. In diesem Fall sendet DPD R-U-THERE-Nachrichten an alle Phase-1-SAs. Wenn das Gateway DPD-Antworten nicht für die konfigurierte Anzahl aufeinanderfolgender Male empfängt, löscht es die Phase-1-SA und die zugehörige Phase-2-SA (nur für IKEv2).

Wenn der IKE-Peer verfügbar ist, bedeutet das, dass das zugrunde liegende VPN verfügbar ist?

VPN-Überwachung verstehen

Wenn Sie die VPN-Überwachung aktivieren, sendet das Gerät Pings über den VPN-Tunnel an das Peer-Gateway oder an ein bestimmtes Ziel am anderen Ende des Tunnels. Das Gerät sendet standardmäßig Pings in Intervallen von 10 Sekunden für bis zu 10 aufeinanderfolgende Male. Wenn das Gerät nach 10 aufeinanderfolgenden Pings keine Antwort erhält, wird das VPN als inaktiv betrachtet und die IPsec-Sicherheitszuordnung (SA) gelöscht.

DPD- und VPN-Monitoring ergänzen sich. Die VPN-Überwachung gilt für ein einzelnes IPsec-VPN, während DPD in einem individuellen IKE-Gateway-Kontext konfiguriert wird.

Sie können die folgenden Betriebsmodi verwenden, um VPN-Tunnel zu überwachen:

• Always-Sendemodus: In diesem Modus sendet das Gerät unabhängig vom Datenverkehr im Tunnel einmal in jedem konfigurierten Intervall ein VPN-Überwachungspaket. Nachdem Sie die VPN-Überwachung aktiviert haben, verwendet Junos OS den Modus "Immer senden" als Standardmodus, wenn Sie keinen angeben.

• Optimierter Modus: In diesem Modus sendet das Gerät nur dann einmal in jedem konfigurierten Intervall ein VPN-Überwachungspaket, wenn während des Intervalls ausgehender Datenverkehr und kein eingehender Datenverkehr durch den Tunnel vorhanden ist. Wenn eingehender Datenverkehr durch den VPN-Tunnel fließt , betrachtet das Gerät den Tunnel als aktiv und sendet keine Pings an den Peer. Sie können den optimierten Modus verwenden, um Ressourcen auf dem Gerät zu sparen, da in diesem Modus das Gerät nur dann Pings sendet, wenn es die Peer-Lebendigkeit bestimmenmuss. Durch das Versenden von Pings können auch kostspielige Backup-Links aktiviert werden, die sonst nicht verwendet würden. Das Gerät arbeitet im standardmäßigen Modus "Immer senden", wenn Sie den optimierten Modus nicht explizit konfigurieren.

So konfigurieren Sie die VPN-Überwachung auf den Firewalls der SRX-Serie:

1. Aktivieren Sie die VPN-Überwachung für einen bestimmten VPN-Tunnel, indem Sie die Option auf der Hierarchieebene [] einfügen.vpn-monitoredit security ipsec vpn vpn-name Siehe vpn-monitor.https://www.juniper.net/documentation/us/en/software/junos/vpn-ipsec/topics/ref/statement/security-edit-vpn-monitor.html

2. Konfigurieren Sie den VPN-Überwachungsmodus als optimiert.

3. Geben Sie die Ziel-IP-Adresse an. Die IP-Adresse des Peer-Gateways ist das Standardziel. Sie können jedoch eine andere Ziel-IP-Adresse (z. B. die eines Servers) am anderen Ende des Tunnels angeben.

4. Geben Sie die Adresse an.source-interface Der lokale Tunnelendpunkt ist die Standardquellenschnittstelle, Sie können jedoch einen anderen Schnittstellennamen angeben.

5. Konfigurieren Sie das Intervall, in dem das Gerät die Pings sendet, und die Anzahl der aufeinanderfolgenden Pings, die es mit den Optionen und auf der Hierarchieebene [] sendet.intervalthresholdedit security ipsec vpn-monitor-options Wenn Sie diese Optionen nicht konfigurieren, sendet das Gerät Pings im Standardintervall von 10 Sekunden bis zu 10 Mal hintereinander. Wenn es keine Antwort erhält, wird das VPN als nicht verfügbar betrachtet. Das Gerät löscht dann die IPsec-Sicherheitszuordnung.

Grundlegendes zur IPsec-Datenpfadüberprüfung

• Überblick
• Mögliche Einschränkungen der Aussagekraft der erhobenen Daten

Grundlegendes zu globalen SPI- und VPN-Überwachungsfunktionen

Sie können den effizienten Betrieb Ihres VPN mithilfe der folgenden globalen VPN-Funktionen überwachen und aufrechterhalten:

• SPI—Peers in einer Sicherheitszuordnung (Security Association, SA) können nicht mehr synchronisiert werden, wenn einer der Peers ausfällt. Wenn beispielsweise einer der Peers neu gestartet wird, sendet er möglicherweise einen falschen Sicherheitsparameterindex (Security Parameter Index, SPI). Sie können das Gerät so aktivieren, dass es ein solches Ereignis erkennt und die Peers erneut synchronisiert, indem Sie die Funktion für fehlerhafte SPI-Antworten konfigurieren.

• VPN-Überwachung: Sie können die globale VPN-Überwachungsfunktion verwenden, um in regelmäßigen Abständen ICMP-Anfragen (Internet Control Message Protocol) an den Peer zu senden, um festzustellen, ob der Peer erreichbar ist.

VPN-Überwachung und DPD im Vergleich

VPN-Überwachung und Dead Peer Detection (DPD) sind Funktionen, die in den Firewalls der SRX-Serie verfügbar sind, um die Verfügbarkeit von VPN-Peer-Geräten zu überprüfen. In diesem Abschnitt werden die Funktionsweise und Konfiguration dieser Funktionen verglichen.

Die Firewall der SRX-Serie reagiert auf DPD-Nachrichten, die von VPN-Peers gesendet werden, auch wenn DPD auf dem Gerät nicht konfiguriert ist. Sie können die Firewall der SRX-Serie so konfigurieren, dass DPD-Nachrichten an VPN-Peers gesendet werden. Sie können die DPD- und VPN-Überwachung auch so konfigurieren, dass sie gleichzeitig auf derselben Firewall der SRX-Serie ausgeführt werden, obwohl die Anzahl der Peers, die mit beiden Methoden überwacht werden können, reduziert wird.

Bei der VPN-Überwachung handelt es sich um einen Junos OS-Mechanismus, der nur Sicherheitszuordnungen (SAs) der Phase 2 überwacht. Die VPN-Überwachung wird pro VPN mit der Anweisung auf der Hierarchieebene [] aktiviert.vpn-monitoredit security ipsec vpn vpn-name Die Ziel-IP und die Quellschnittstelle müssen angegeben werden. Die Option ermöglicht es dem Gerät, Datenverkehrsmuster als Beweis für die Lebendigkeit von Peers zu verwenden. ICMP-Anfragen werden unterdrückt.optimized

VPN-Überwachungsoptionen werden mit der Anweisung auf der Hierarchieebene [] konfiguriert.vpn-monitor-optionsedit security ipsec Diese Optionen gelten für alle VPNs, für die die VPN-Überwachung aktiviert ist. Zu den Optionen, die Sie konfigurieren können, gehören das Intervall, in dem ICMP-Anforderungen an den Peer gesendet werden (der Standardwert ist 10 Sekunden), und die Anzahl der aufeinanderfolgenden ICMP-Anforderungen, die ohne Antwort gesendet werden, bevor der Peer als nicht erreichbar betrachtet wird (der Standardwert sind 10 aufeinanderfolgende Anforderungen).

DPD ist eine Implementierung von RFC 3706, A Traffic-Based Method of Detecting Dead Internet Key Exchange (IKE) Peers. Es arbeitet auf IKE-Ebene und überwacht den Peer basierend auf der IKE- und IPsec-Datenverkehrsaktivität.

DPD wird auf einem einzelnen IKE-Gateway mit der Anweisung auf der Hierarchieebene [] konfiguriert.dead-peer-detectionedit security ike gateway gateway-name Sie können DPD-Betriebsmodi konfigurieren. Der standardmäßige (optimierte) Modus sendet DPD-Nachrichten an den Peer, wenn innerhalb eines konfigurierten Intervalls kein eingehender IKE- oder IPsec-Datenverkehr vorhanden ist, nachdem das lokale Gerät ausgehende Pakete an den Peer gesendet hat. Weitere konfigurierbare Optionen sind das Intervall, in dem DPD-Nachrichten an den Peer gesendet werden (der Standardwert ist 10 Sekunden) und die Anzahl der aufeinanderfolgenden DPD-Nachrichten, die ohne Antwort gesendet werden, bevor der Peer als nicht verfügbar betrachtet wird (der Standardwert sind fünf aufeinanderfolgende Anfragen).