AUF DIESER SEITE
Konfiguration von SD-WAN mit Aktiv/Standby-Verbindung zum Internet auf einem SRX300 Services Gateway
Anforderungen
In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet.
Ein Gerät der SRX300-Serie (320, 340, 345, 380)
Ein WLAN-MPIM für die SRX300-Serie
Ein LTE MPIM für die SRX300-Serie
Eine SIM-Karte mit Abonnement für Datendienste
Junos OS 19.4 R1
Überblick
In diesem Beispiel richten wir ein Gerät der SRX320-Serie für Zweigstellen ein, um den Mitarbeitern vor Ort kabelgebundenen und drahtlosen Internet- und Intranet-Zugriff sowie Gastgeräten drahtlosen Internetzugang zu bieten. Die primäre Internetverbindung erfolgt über Ethernet, während die Backup-Verbindung über das LTE-Netzwerk erfolgt. Die beiden Verbindungen sind im Aktiv/Standby-Modus konfiguriert, wobei kein Datenverkehr durch das LTE-Modem geleitet wird, es sei denn, die primäre Verbindung ist ausgefallen.
Topologie
Die Topologie des Beispiels ist in Abbildung 1 dargestellt. Das LTE Mini-PIM ist in Steckplatz 1 verbaut. Das WI-FI Mini-PIM wird in Steckplatz 2 installiert. Die SIM-Karte wird in Steckplatz 1 des LTE-Moduls eingesetzt. Die primäre Verbindung ist mit der Schnittstelle ge-0/0/0 verbunden und erhält ihre IP-Adresse, Netzwerkmaske, Standard-Gateway und DNS-Server von dem Gerät, mit dem sie verbunden ist. Das Modem hat die Schnittstelle cl-1/0/0.
Der PDP-Kontext wird auf der Schnittstelle dl.0 beendet und ähnlich wie bei ge-0/0/0 werden IP-Adresse, Netzwerkmaske und Standard-Gateway von der GGSN/PGW vergeben. Die Wi-Fi-Schnittstelle ist wl-2/0/0.200 für das Gastnetzwerk, während die Schnittstelle wl-2/0/0.100 für das Unternehmensnetzwerk dient. Die Sicherheitszonen und die Listen der Schnittstellen für jede Zone sind in Abbildung 2 dargestellt.
Auf dem Gerät der SRX300-Serie sind vier Sicherheitszonen konfiguriert: "Nicht vertrauenswürdig", "Vertrauen", "Unternehmen" und "Gast". Die Trennung der Schnittstellen in Sicherheitszonen ermöglicht die Trennung des Datenverkehrs und mindert die Risiken, denen das Corporate Intranet ausgesetzt ist, und dient als Vehikel für eine klare und vereinfachte Implementierung von Sicherheitsrichtlinien. Zone "Nicht vertrauenswürdig" hostet die Schnittstellen, die Zugriff auf das Internet haben.
Die internen Schnittstellen im Intranet des Unternehmens befinden sich in der Zone Trust. Die drahtlosen Geräte der Organisation bewegen sich in der Zone Corporate. Die persönlichen Mobilgeräte, denen nur Internetzugang gewährt wird, befinden sich in der Zone Gast.
Tabelle 1 zeigt das gewünschte Verhalten der Sicherheitsrichtlinien für den Datenverkehr zwischen Zonen.
From-To |
Untrust |
Trust |
Corporate |
Guest |
|---|---|---|---|---|
Untrust |
Nein |
Nur vertrauensbasiert |
Nur vom Unternehmen initiiert |
Nur vom Gast initiiert |
Trust |
Ja |
Ja |
Nur vom Unternehmen initiiert |
Nein |
Corporate |
Ja |
Ja |
Ja |
Nein |
Guest |
Ja |
Nein |
Nein |
Nein |
Die VLAN-Informationen und die IP-Adressinformationen für die Schnittstellen sind in Tabelle 2 zusammengefasst.
Interface |
VLAN |
IP Adress |
Netmask |
|---|---|---|---|
wl-2/0/0.100 |
100 |
172.16.100.1 |
255.255.255.0 |
wl-2/0/0.200 |
200 |
192.16.200.1 |
255.255.255.0 |
dl.0 |
3 |
DHCP |
- |
GE-0/0/0 |
3 |
DHCP |
- |
Irb.0 |
3 |
192.168.1.1 |
255.255.255.0 |
Konfiguration und Validierung
Konfiguration
Schritt-für-Schritt-Anleitung
Die Schritte in dieser Konfiguration bauen logisch von den unteren Ebenen zu den oberen Ebenen auf.
Erstellen Sie ein VLAN für die Gastgeräte.
set vlans guest-ap vlan-id 200 set vlans guest-ap description "VLAN that hosts the guest devices in the Guest security zone"
Erstellen Sie ein VLAN für die Unternehmensgeräte.
set vlans corporate vlan-id 100 set vlans corporate description "VLAN that hosts the corporate devices in the Trust security zone"
Erstellen Sie einen Access Point.
set wlan access-point branch-ap interface wl-2/0/0 set wlan access-point branch-ap location "TME Lab, Sunnyvale, CA"
Legen Sie das Land fest, in dem das Gerät installiert ist. In verschiedenen Ländern stehen unterschiedliche 802.11-Frequenzen für die allgemeine Nutzung zur Verfügung.
set wlan access-point branch-ap access-point-options country US
Konfigurieren Sie die 5-GHz-Funkschnittstelle des Access Points. Legen Sie den Modus, die Kanalnummer, auf der er arbeiten soll, und die Bandbreite fest, die er verwenden soll. Stellen Sie außerdem die Sendeleistung für die 5-GHz-Funkschnittstelle (in %) ein.
set wlan access-point branch-ap radio 1 radio-options mode acn set wlan access-point branch-ap radio 1 radio-options channel number 100 set wlan access-point branch-ap radio 1 radio-options channel bandwidth 40 set wlan access-point branch-ap radio 1 radio-options transmit-power 100
Erstellen Sie einen virtuellen Access Point (VAP) für das 5-GHz-Gastnetzwerk. Das Mini-PIM unterstützt bis zu acht virtuelle Access Points pro Funkschnittstelle.
set wlan access-point branch-ap radio 1 virtual-access-point 0 description Guest set wlan access-point branch-ap radio 1 virtual-access-point 0 ssid Guest set wlan access-point branch-ap radio 1 virtual-access-point 0 vlan 200
Konfigurieren Sie die Sicherheit für den VAP als
wpa-personal. Legen Sie die Verschlüsselungssammlung, den Schlüsseltyp und den vorinstallierten Schlüssel fest.set wlan access-point branch-ap radio 1 virtual-access-point 0 security wpa-personal wpa-version v2 set wlan access-point branch-ap radio 1 virtual-access-point 0 security wpa-personal cipher-suites ccmp set wlan access-point branch-ap radio 1 virtual-access-point 0 security wpa-personal key-type ascii set wlan access-point branch-ap radio 1 virtual-access-point 0 security wpa-personal key Juniper123
Konfigurieren Sie die 2,4-GHz-Funkschnittstelle des Access Point. Legen Sie den Modus, die Kanalnummer, auf der er arbeiten soll, und die Bandbreite fest, die er verwenden soll. Stellen Sie außerdem die Sendeleistung für die Funkschnittstelle (in %) ein.
set wlan access-point branch-ap radio 2 radio-options mode gn set wlan access-point branch-ap radio 2 radio-options channel number 6 set wlan access-point branch-ap radio 2 radio-options channel bandwidth 20 set wlan access-point branch-ap radio 2 radio-options transmit-power 100
Konfigurieren Sie den VAP im 2,4-GHz-Gastnetzwerk.
set wlan access-point branch-ap radio 2 virtual-access-point 0 description Guest set wlan access-point branch-ap radio 2 virtual-access-point 0 ssid Guest set wlan access-point branch-ap radio 2 virtual-access-point 0 vlan 200
Konfigurieren Sie die Sicherheit für den VAP als
wpa-personal. Legen Sie die Verschlüsselungssammlung, den Schlüsseltyp und den vorinstallierten Schlüssel fest.set wlan access-point branch-ap radio 2 virtual-access-point 0 security wpa-personal wpa-version v2 set wlan access-point branch-ap radio 2 virtual-access-point 0 security wpa-personal cipher-suites ccmp set wlan access-point branch-ap radio 2 virtual-access-point 0 security wpa-personal key-type ascii set wlan access-point branch-ap radio 2 virtual-access-point 0 security wpa-personal key Juniper123
Konfigurieren Sie die VAP im 5-GHz-Unternehmensnetzwerk.
set wlan access-point branch-ap radio 1 virtual-access-point 1 description Corporate set wlan access-point branch-ap radio 1 virtual-access-point 1 ssid Corporate set wlan access-point branch-ap radio 1 virtual-access-point 1 vlan 100
Konfigurieren Sie die Sicherheit für den VAP als
wpa-personal. Legen Sie die Verschlüsselungssammlung, den Schlüsseltyp und den vorinstallierten Schlüssel fest.set wlan access-point branch-ap radio 1 virtual-access-point 1 security wpa-personal wpa-version v2 set wlan access-point branch-ap radio 1 virtual-access-point 1 security wpa-personal cipher-suites ccmp set wlan access-point branch-ap radio 1 virtual-access-point 1 security wpa-personal key-type ascii set wlan access-point branch-ap radio 1 virtual-access-point 1 security wpa-personal key corpKey123
Konfigurieren Sie den VAP im 2,4-GHz-Unternehmensnetzwerk.
set wlan access-point branch-ap radio 2 virtual-access-point 1 description Corporate set wlan access-point branch-ap radio 2 virtual-access-point 1 ssid Corporate set wlan access-point branch-ap radio 2 virtual-access-point 1 vlan 100
Konfigurieren Sie die Sicherheit für den VAP als
wpa-personal. Legen Sie die Verschlüsselungssammlung, den Schlüsseltyp und den vorinstallierten Schlüssel fest.set wlan access-point branch-ap radio 2 virtual-access-point 1 security wpa-personal wpa-version v2 set wlan access-point branch-ap radio 2 virtual-access-point 1 security wpa-personal cipher-suites ccmp set wlan access-point branch-ap radio 2 virtual-access-point 1 security wpa-personal key-type ascii set wlan access-point branch-ap radio 2 virtual-access-point 1 security wpa-personal key corpKey123
Erstellen Sie die IP-Schnittstelle, die als Standard-Gateway für Geräte in den Gast-VAPs fungiert (ein VAP arbeitet mit 5 GHz und der andere mit 2,4 GHz).
set interfaces wl-2/0/0 unit 200 vlan-id 200 set interfaces wl-2/0/0 unit 200 family inet address 172.16.200.1/24
Erstellen Sie die IP-Schnittstelle, die als Standard-Gateway für Geräte in den Unternehmens-VAPs fungiert (ein VAP arbeitet mit 5 GHz und der andere mit 2,4 GHz).
set interfaces wl-2/0/0 unit 200 vlan-id 100 set interfaces wl-2/0/0 unit 200 family inet address 172.16.100.1/24
Erstellen Sie eine Sicherheitszone für die Gastgeräte und lassen Sie DHCP und alle anderen erforderlichen Protokolle zu. Stellen Sie sicher, dass auch die richtige wl-Schnittstelle zur Zone hinzugefügt wird.
set security zones security-zone guest host-inbound-traffic system-services dhcp set security zones security-zone guest host-inbound-traffic system-services all set security zones security-zone guest host-inbound-traffic protocols all set security zones security-zone guest interfaces wl-2/0/0.200
Erstellen Sie eine Sicherheitszone für die Unternehmensgeräte und lassen Sie DHCP und alle anderen erforderlichen Protokolle zu. Stellen Sie sicher, dass auch die richtige wl-Schnittstelle zur Zone hinzugefügt wird.
set security zones security-zone corporate host-inbound-traffic system-services dhcp set security zones security-zone corporate host-inbound-traffic system-services all set security zones security-zone corporate host-inbound-traffic protocols all set security zones security-zone corporate interfaces wl-2/0/0.100
Erstellen Sie eine eindeutige DHCP-Servergruppe für die Gast-VAPs (für beide Gast-VAPs wird nur eine Servergruppe benötigt).
set system services dhcp-local-server group jdhcp-guest-group interface wl-2/0/0.200
Erstellen Sie eine eindeutige DHCP-Servergruppe für die Unternehmens-VAPs.
set system services dhcp-local-server group jdhcp-corporate-group interface wl-2/0/0.100
Erstellen Sie einen Pool von IP-Adressen, die den Geräten beim Roaming in den Gast-VAPs zugewiesen werden sollen. Legen Sie die niedrigste und die höchste IP-Adresse fest, die Geräten aus diesem Pool, den DNS-Servern und der IP-Adresse des Standardgateways für den Pool zugewiesen werden sollen.
set access address-assignment pool junosDHCPPoolGuest family inet network 172.16.200.0/24 set access address-assignment pool junosDHCPPoolGuest family inet range junosRangeGuest low 172.16.200.10 set access address-assignment pool junosDHCPPoolGuest family inet range junosRangeGuest high 172.16.200.200 set access address-assignment pool junosDHCPPoolGuest family inet dhcp-attributes name-server 8.8.8.8 set access address-assignment pool junosDHCPPoolGuest family inet dhcp-attributes router 172.16.200.1
Erstellen Sie einen Pool von IP-Adressen, die den Geräten zugewiesen werden sollen, die in den VAPs des Unternehmens roamen. Legen Sie die niedrigste und die höchste IP-Adresse fest, die Geräten aus diesem Pool, den DNS-Servern und der IP-Adresse des Standardgateways für den Pool zugewiesen werden sollen.
set access address-assignment pool junosDHCPPoolCorporate family inet network 172.16.100.0/24 set access address-assignment pool junosDHCPPoolCorporate family inet range junosRangeCorporate low 172.16.100.10 set access address-assignment pool junosDHCPPoolCorporate family inet range junosRangeCorporate high 172.16.100.200 set access address-assignment pool junosDHCPPoolCorporate family inet dhcp-attributes name-server 8.8.8.8 set access address-assignment pool junosDHCPPoolCorporate family inet dhcp-attributes name-server 1.1.1.1 set access address-assignment pool junosDHCPPoolGuest family inet dhcp-attributes router 172.16.100.1
Erstellen Sie Quell-NAT, um NAT auf Geräte in der Gastzone auf die äußere Schnittstelle anzuwenden.
set security nat source rule-set guest-to-untrust from zone guest set security nat source rule-set guest-to-untrust to zone untrust set security nat source rule-set guest-to-untrust rule r1 match source-address 0.0.0.0/0 set security nat source rule-set guest-to-untrust rule r1 then source-nat interface
Erstellen Sie Quell-NAT, um NAT auf Geräte in der Unternehmenszone auf die äußere Schnittstelle anzuwenden.
set security nat source rule-set corporate-to-untrust from zone corporate set security nat source rule-set corporate-to-untrust to zone untrust set security nat source rule-set corporate-to-untrust rule r-c2u-1 match source-address 0.0.0.0/0 set security nat source rule-set corporate-to-untrust rule r-c2u-1 then source-nat interface
Erstellen Sie eine Sicherheitsrichtlinie, die den Datenverkehr zwischen den Zonen "Gast" und "Nicht vertrauenswürdig" zulässt. Stellen Sie sicher, dass die gewünschten Netzwerksegmente und/oder Anwendungen in der Richtlinie enthalten sind.
set security policies from-zone guest to-zone untrust policy allow-in-zone match source-address any set security policies from-zone guest to-zone untrust policy allow-in-zone match destination-address any set security policies from-zone guest to-zone untrust policy allow-in-zone match application any set security policies from-zone guest to-zone guest policy allow-in-zone then permit
Erstellen Sie eine Sicherheitsrichtlinie, die den Datenverkehr zwischen den Zonen "Corporate" und "Nicht vertrauenswürdig" zulässt. Dieser Schritt ermöglicht den Fluss von Datenverkehr, auf den NAT angewendet wurde, zwischen den Zonen.
set security policies from-zone corporate to-zone untrust policy internet-acces match source-address any set security policies from-zone corporate to-zone untrust policy internet-acces match destination-address any set security policies from-zone corporate to-zone untrust policy internet-acces match application any set security policies from-zone corporate to-zone untrust policy internet-acces then permit
Erstellen Sie eine Sicherheitsrichtlinie, die Datenverkehr zwischen den Zonen "Corporate" und "Trust" zulässt und den Datenverkehr, auf den NAT angewendet wurde, für den Fluss zwischen den Zonen ermöglicht.
set security policies from-zone corporate to-zone trust policy internet-acces match source-address any set security policies from-zone corporate to-zone trust policy internet-acces match destination-address any set security policies from-zone corporate to-zone trust policy internet-acces match application any set security policies from-zone corporate to-zone trust policy internet-acces then permit
Legen Sie die Beschreibung der Schnittstelle für die primäre Internetverbindung fest. Legen Sie die Schnittstelle so fest, dass die Konfiguration über das DHCP-Protokoll abgerufen wird. Stellen Sie sicher, dass die LTE-Schnittstelle als Backup für die Internetverbindung eingestellt ist.
set interfaces ge-0/0/0 unit 0 description "WAN Interface 1 - Primary" set interfaces ge-0/0/0 unit 0 family inet dhcp vendor-id Juniper-srx320 set interfaces ge-0/0/0 unit 0 backup-options interface dl0.0
Konfigurieren Sie die Modemschnittstelle. Stellen Sie sicher, dass der SIM-Steckplatz, in dem sich die SIM-Karte befindet, aktiv ist.
set interfaces cl-1/0/0 dialer-options pool 1 priority 100 set interfaces cl-1/0/0 act-sim 1 set interfaces cl-1/0/0 cellular-options sim 1 radio-access automatic
Konfigurieren Sie die Dialer-Schnittstelle.
set interfaces dl0 unit 0 family inet negotiate-address set interfaces dl0 unit 0 family inet6 negotiate-address set interfaces dl0 unit 0 dialer-options pool 1 set interfaces dl0 unit 0 dialer-options dial-string "*99#"
Konfigurieren Sie die drahtlose Schnittstelle so, dass nicht getaggte VLAN-Pakete akzeptiert werden.
set interfaces wl-2/0/0 flexible-vlan-tagging
Legen Sie den Namen des Zugriffspunkts für die SIM-Karte im Modem fest.
request modem wireless create-profile profile-id 10 access-point-name broadband cl-1/0/0 slot 1
Bestätigen der Konfiguration
Validierung
Schritt-für-Schritt-Anleitung
Stellen Sie sicher, dass die Schnittstellen funktionieren und funktionieren.
> show interfaces terse wl-2/0/0 up up wl-2/0/0.100 up up inet 172.16.100.1/24 wl-2/0/0.200 up up inet 172.16.200.1/24 wl-2/0/0.32767 up up
Überprüfen Sie den Status des Access Points und stellen Sie sicher, dass der Status der Funkschnittstellen ON ist, die Kanäle und die Bandbreiten, auf denen sie arbeiten, wie konfiguriert sind.
> show wlan access-points branch-ap detail Active access point detail information Access Point : branch-ap Type : Internal Location : TME Lab, Sunnyvale, CA Serial Number : EV2619AF0051 Firmware Version : v1.2.8 Alternate Version : v1.1.0 Country : US Access Interface : wl-2/0/0 System Time : Mon Mar 23 22:36:43 UTC 2020 Packet Capture : Off Ethernet Port: MAC Address : 0c:81:26:58:04:26 Radio1: Status : On MAC Address : 0c:81:26:58:04:28 Temperature : 50 Mode : IEEE 802.11a/n/ac Channel : 108 Bandwidth : 40 Transmit Power : 100 Radio2: Status : On MAC Address : 0c:81:26:58:04:27 Temperature : 52 Mode : IEEE 802.11g/n Channel : 6 Bandwidth : 20 Transmit Power : 100Überprüfen Sie den Status aller VAPs. Stellen Sie sicher, dass die SSIDs und die Sicherheitseinstellungen wie konfiguriert sind.
> show wlan access-points branch-ap virtual-access-points all detail Virtual access points information Access point name: branch-ap Radio1: VAP0: SSID : Guest Description : Guest MAC Address : 0c:81:26:58:04:28 Maximum Station : 127 Broadcast SSID : Enable Station Isolation : Disable Upload Limit : Disable Download Limit : Disable VLAN ID : 200 Station MAC Filter : Disable VAP Security : wpa-personal WPA Version: WPA2 : Enable WPA : Disable Ciper-Suites: CCMP : Enable TKIP : Disable Traffic Statistics: Input Bytes : 79470 Output Bytes : 99937 Input Packets : 479 Output Packets : 498 VAP1: SSID : Corporate Description : Corporate MAC Address : 16:81:26:58:04:28 Maximum Station : 127 Broadcast SSID : Enable Station Isolation : Disable Upload Limit : Disable Download Limit : Disable VLAN ID : 100 Station MAC Filter : Disable VAP Security : wpa-personal WPA Version: WPA2 : Enable WPA : Disable Ciper-Suites: CCMP : Enable TKIP : Disable Traffic Statistics: Input Bytes : 2495033 Output Bytes : 3480274 Input Packets : 30241 Output Packets : 29412 Radio2: VAP0: SSID : Guest Description : Guest MAC Address : 0c:81:26:58:04:27 Maximum Station : 127 Broadcast SSID : Enable Station Isolation : Disable Upload Limit : Disable Download Limit : Disable VLAN ID : 200 Station MAC Filter : Disable VAP Security : wpa-personal WPA Version: WPA2 : Enable WPA : Disable Ciper-Suites: CCMP : Enable TKIP : Disable Traffic Statistics: Input Bytes : 2025 Output Bytes : 2603 Input Packets : 15 Output Packets : 19 VAP1: SSID : Corporate Description : Corporate MAC Address : 16:81:26:58:04:27 Maximum Station : 127 Broadcast SSID : Enable Station Isolation : Disable Upload Limit : Disable Download Limit : Disable VLAN ID : 100 Station MAC Filter : Disable VAP Security : wpa-personal WPA Version: WPA2 : Enable WPA : Disable Ciper-Suites: CCMP : Enable TKIP : Disable Traffic Statistics: Input Bytes : 75308 Output Bytes : 70057 Input Packets : 498 Output Packets : 389Sehen Sie sich die Zusammenfassung der Client-Zuordnungen auf jedem Funkmodul des Access Points an. Dieser Befehl zeigt die Anzahl der zugeordneten Benutzer auf jeder Funkschnittstelle an.
> show wlan access-points branch-ap radio 1 client-associations Access point client associations summary Access point: branch-ap Client number on radio 1 (5.0 GHz) : 1
Überprüfen Sie die Details zu den Client-Zuordnungen auf jedem Funkmodul des Access Point. Die MAC-Adresse der Benutzer wird in der Ausgabe angezeigt, ebenso wie die Verkehrsstatistiken.
> show wlan access-points branch-ap radio 1 client-associations detail Access point client associations information Access point: branch-ap VAP Client MAC Address Auth Packets Rx/Tx Bytes Rx/Tx Radio1:Corporate 24:77:03:80:52:68 OK 42501/25026 2579601/2742637
Prüfen Sie, ob die Mini-PIM-Module von Junos erkannt werden.
> show chassis hardware Hardware inventory: Item Version Part number Serial number Description Chassis CX0916AF0004 SRX320-POE Routing Engine REV 0x05 650-065041 CX0916AF0004 RE-SRX320-POE FPC 0 FPC PIC 0 6xGE,2xGE SFP Base PIC FPC 1 REV 02 650-073958 AH06074206 FPC PIC 0 LTE for AE FPC 2 REV 03 650-096889 EV2619AF0051 FPC PIC 0 WAP for WW mPIM Power Supply 0
Überprüfen Sie die Firmware-Version der Mini-PIMs und aktualisieren Sie sie bei Bedarf.
> show system firmware Part Type Tag Current Available Status version version FPC 1 PIC 0 MLTE_FW 1 17.1.80 0 OK FPC 2 PIC 0 MWAP_FW 1 1.2.8 0 OK Routing Engine 0 RE BIOS 0 3.0 3.6 OK Routing Engine 0 RE BIOS Backup 1 3.0 3.6 OKAbrufen einer Paketerfassung auf einem VAP zu Zwecken der Fehlerbehebung.
> request wlan access-point packet-capture start branch-ap promiscuous size 4096 duration 120 filename wlan-cap.pcap interface Radio1VAP0 Starting packet capture Capture interface: Radio1VAP0 File : wlan-cap.pcap Duration : 120 seconds File size max : 4096 kilobytes
Die Datei wird unter /var/tmp gespeichert. Sie können die Datei herunterladen und mit einer Paketverfolgungsanwendung wie WIreshark öffnen.