Beispiel: Konfigurieren eines IPsec-VPN zwischen zwei virtuellen vSRX-Firewall-Instanzen
Dieses Beispiel zeigt, wie Sie ein IPsec-VPN zwischen zwei Instanzen der virtuellen vSRX-Firewall in Microsoft Azure konfigurieren.
Bevor Sie beginnen
Stellen Sie sicher, dass Sie eine virtuelle Firewall-Instanz der vSRX im virtuellen Netzwerk von Microsoft Azure installiert und gestartet haben.
Weitere Informationen finden Sie unter SRX Site-to-Site-VPN-Konfigurationsgenerator und Fehlerbehebung für einen ausfälltden oder nicht aktiven VPN-Tunnel .
Übersicht
Sie können ein IPsec-VPN verwenden, um den Datenverkehr zwischen zwei VNETs in Microsoft Azure mit zwei virtuellen Firewall-Instanzen der vSRX zu sichern.
VSRX Virtuelle Firewall-IPsec-VPN-Konfiguration
vSRX1 VPN-Konfiguration
Schritt-für-Schritt-Verfahren
So konfigurieren Sie IPsec-VPN auf vSRX1:
Melden Sie sich im Konfigurationsbearbeitungsmodus bei vSRX1 an (siehe Konfigurieren von vSRX mithilfe der CLI).
Legen Sie die IP-Adressen für vSRX1-Schnittstellen fest.
set interfaces ge-0/0/0 unit 0 family inet address 10.0.0.10/24 set interfaces ge-0/0/1 unit 0 family inet address 10.10.10.10/24 set interfaces st0 unit 1 family inet address 10.0.250.10/24
Richten Sie die nicht vertrauenswürdige Sicherheitszone ein.
set security zones security-zone untrust screen untrust-screen set security zones security-zone untrust host-inbound-traffic system-services ike set security zones security-zone untrust interfaces ge-0/0/0.0 set security zones security-zone untrust interfaces st0.1
Richten Sie die Vertrauenssicherheitszone ein.
set security zone trust host-inbound-traffic system-services https set security zone trust host-inbound-traffic system-services ssh set security zone trust host-inbound-traffic system-services ping set security security-zone trust interfaces ge-0/0/1.0
Konfigurieren Sie IKE.
set security ike proposal ike-phase1-proposalA authentication-method pre-shared-keys set security ike proposal ike-phase1-proposalA dh-group group2 set security ike proposal ike-phase1-proposalA authentication-algorithm sha-256 set security ike proposal ike-phase1-proposalA encryption-algorithm aes-256-cbc set security ike proposal ike-phase1-proposalA lifetime-seconds 1800 set security ike policy ike-phase1-policyA mode aggressive set security ike policy ike-phase1-policyA proposals ike-phase1-proposalA set security ike policy ike-phase1-policyA pre-shared-key ascii-text <preshared-key> set security ike gateway gw-siteB ike-policy ike-phase1-policyA set security ike gateway gw-siteB address 198.51.100.10 set security ike gateway gw-siteB local-identity user-at-hostname "source@example.net" set security ike gateway gw-siteB remote-identity user-at-hostname "dest@example.net" set security ike gateway gw-siteB external-interface ge-0/0/0.0
Hinweis:Stellen Sie sicher, dass Sie in diesem Beispiel durch die richtige öffentliche IP-Adresse ersetzen
198.51.100.10.Konfigurieren Sie IPsec.
set security ipsec proposal ipsec-proposalA protocol esp set security ipsec proposal ipsec-proposalA authentication-algorithm hmac-sha1-96 set security ipsec proposal ipsec-proposalA encryption-algorithm aes-256-cbc set security ipsec policy ipsec-policy-siteB proposals ipsec-proposalA set security ipsec vpn ike-vpn-siteB bind-interface st0.1 set security ipsec vpn ike-vpn-siteB ike gateway gw-siteB set security ipsec vpn ike-vpn-siteB ike ipsec-policy ike-phase1-policyA set security ipsec vpn ike-vpn-siteB establish-tunnels immediately
Routing konfigurieren.
set routing-instances siteA-vr1 instance-type virtual-router set routing-instances siteA-vr1 interface ge-0/0/0.0 set routing-instances siteA-vr1 interface ge-0/0/1.0 set routing-instances siteA-vr1 interface st0.1 set routing-instances siteA-vr1 routing-options static route 0.0.0.0/0 next-hop 10.0.0.1 set routing-instances siteA-vr1 routing-options static route 10.20.20.0/24 next-hop st0.1 commit
vSRX2 VPN-Konfiguration
Schritt-für-Schritt-Verfahren
So konfigurieren Sie IPsec-VPN auf vSRX2:
Melden Sie sich im Konfigurationsbearbeitungsmodus bei vSRX2 an (siehe Konfigurieren von vSRX mit der CLI.
Legen Sie die IP-Adressen für die vSRX2-Schnittstellen fest.
set interfaces ge-0/0/0 unit 0 family inet address 10.1.0.10/24 set interfaces ge-0/0/1 unit 0 family inet address 10.20.20.10/24 set interfaces st0 unit 1 family inet address 10.0.250.20/24
Richten Sie die nicht vertrauenswürdige Sicherheitszone ein.
set security zones security-zone untrust screen untrust-screen set security zones security-zone untrust host-inbound-traffic system-services ike set security zones security-zone untrust interfaces ge-0/0/0.0 set security zones security-zone untrust interfaces st0.1
Richten Sie die Vertrauenssicherheitszone ein.
set security zones security-zone trust host-inbound-traffic system-services https set security zones security-zone trust host-inbound-traffic system-services ssh set security zones security-zone trust host-inbound-traffic system-services ping set security zones security-zone trust interfaces ge-0/0/1.0
Konfigurieren Sie IKE.
set security ike proposal ike-phase1-proposalA authentication-method pre-shared-keys set security ike proposal ike-phase1-proposalA dh-group group2 set security ike proposal ike-phase1-proposalA authentication-algorithm sha-256 set security ike proposal ike-phase1-proposalA encryption-algorithm aes-256-cbc set security ike proposal ike-phase1-proposalA lifetime-seconds 1800 set security ike policy ike-phase1-policyA mode aggressive set security ike policy ike-phase1-policyA proposals ike-phase1-proposalA set security ike policy ike-phase1-policyA pre-shared-key ascii-text preshared-key set security ike gateway gw-siteB ike-policy ike-phase1-policyA set security ike gateway gw-siteB address 203.0.113.10 set security ike gateway gw-siteB local-identity user-at-hostname "dest@example.net" set security ike gateway gw-siteB remote-identity user-at-hostname "source@example.net" set security ike gateway gw-siteB external-interface ge-0/0/0.0
Hinweis:Stellen Sie sicher, dass Sie in diesem Beispiel durch die richtige öffentliche IP-Adresse ersetzen
203.0.113.10. Beachten Sie auch, dass die lokale Identität und Remoteidentität von SiteB im Gegensatz zu SiteA local-Identity und Remote-Identität stehen sollten.Konfigurieren Sie IPsec.
set security ipsec proposal ipsec-proposalA protocol esp set security ipsec proposal ipsec-proposalA authentication-algorithm hmac-sha1-96 set security ipsec proposal ipsec-proposalA encryption-algorithm aes-256-cbc set security ipsec policy ipsec-policy-siteB proposals ipsec-proposalA set security ipsec vpn ike-vpn-siteB bind-interface st0.1 set security ipsec vpn ike-vpn-siteB ike gateway gw-siteB set security ipsec vpn ike-vpn-siteB ike ipsec-policy ike-phase1-policyA set security ipsec vpn ike-vpn-siteB establish-tunnels immediately
Routing konfigurieren.
set routing-instances siteA-vr1 instance-type virtual-router set routing-instances siteA-vr1 interface ge-0/0/0.0 set routing-instances siteA-vr1 interface ge-0/0/1.0 set routing-instances siteA-vr1 interface st0.1 set routing-instances siteA-vr1 routing-options static route 0.0.0.0/0 next-hop 10.0.0.1 set routing-instances siteA-vr1 routing-options static route 10.20.20.0/24 next-hop st0.1 commit
Überprüfung
Aktive VPN-Tunnel überprüfen
Zweck
Stellen Sie sicher, dass der Tunnel auf beiden virtuellen vSRX-Firewall-Instanzen aktiv ist.
Aktion
root@> show security ipsec security-associations
Total active tunnels: 1 ID Algorithm SPI Life:sec/kb Mon lsys Port Gateway <131074 ESP:aes-‐cbc-‐256/sha1 de836105 1504/ unlim -‐ root 4500 52.200.89.XXX >131074 ESP:aes-‐cbc-‐256/sha1 b349bc84 1504/ unlim -‐ root 4500 52.200.89.XXX