Ensembles de services pour les points de terminaison statiques Tunnels IPsec
Ensembles de services
Le PIC Adaptive Services prend en charge deux types d’ensembles de services lorsque vous configurez des tunnels IPSec. Étant donné qu’ils sont utilisés à des fins différentes, il est important de connaître les différences entre ces types d’ensembles de services.
Next-hop service set : prend en charge les protocoles de routage dynamique de type multicast et multicast (tels que OSPF) sur IPSec. Les ensembles de services de saut suivant vous permettent d’utiliser des interfaces logiques internes et externes sur le PIC Adaptive Services pour vous connecter à plusieurs instances de routage. Ils permettent également l’utilisation de la traduction d’adresses réseau (NAT) et de capacités de pare-feu dynamiques. Toutefois, les ensembles de services de saut suivant ne surveillent pas le trafic du moteur de routage par défaut et nécessitent la configuration de plusieurs ensembles de services pour prendre en charge le trafic provenant de plusieurs interfaces.
Ensemble de services d’interface : appliqué à une interface physique et similaire à un filtre de pare-feu sans état. Ils sont faciles à configurer, peuvent prendre en charge le trafic de plusieurs interfaces et peuvent surveiller le trafic du moteur de routage par défaut. Cependant, ils ne peuvent pas prendre en charge les protocoles de routage dynamique ou le trafic multicast sur le tunnel IPSec.
En général, nous vous recommandons d’utiliser les ensembles de services next-hop car ils prennent en charge les protocoles de routage et le multicast sur le tunnel IPSec, ils sont plus faciles à comprendre et la table de routage prend les décisions de transfert sans intervention administrative.
Voir aussi
Configuration des ensembles de services IPsec
Les ensembles de services IPsec nécessitent des spécifications supplémentaires que vous configurez au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie :
[edit services service-set service-set-name ipsec-vpn-options] anti-replay-window-size bits; clear-dont-fragment-bit; copy-dont-fragment-bit set-dont-fragment-bit ike-access-profile profile-name; local-gateway address <gw-interface interface-name.logical-unit-number>; no-anti-replay; no-certificate-chain-in-ike; passive-mode-tunneling; trusted-ca [ ca-profile-names ]; tunnel-mtu bytes;
La configuration de ces instructions est décrite dans les sections suivantes :
- Configuration de l’adresse de passerelle locale pour les ensembles de services IPsec
- Configuration des profils d’accès IKE pour les ensembles de services IPsec
- Configuration des autorités de certification pour les ensembles de services IPsec
- Configuration ou désactivation du service Antireplay
- Effacement du bit Ne pas fragmenter
- Configuration de la tunnelisation en mode passif
- Configuration de la valeur MTU du tunnel
- Configuration du transfert multichemin IPsec avec encapsulation UDP
Configuration de l’adresse de passerelle locale pour les ensembles de services IPsec
Si vous configurez un ensemble de services IPsec, vous devez également configurer une adresse IPv4 ou IPv6 locale en incluant l’instruction local-gateway :
Si l’adresse IP de la passerelle Internet Key Exchange (IKE) est dans inet.0 (situation par défaut), vous configurez l’instruction suivante :
local-gateway address;
Si l’adresse IP de la passerelle IKE se trouve dans une instance VRF (VPN Routing and Forwarding), vous configurez l’instruction suivante :
local-gateway address routing-instance instance-name;
Vous pouvez configurer tous les tunnels de type lien qui partagent la même adresse de passerelle locale dans un seul ensemble de services de type saut suivant. Vous devez spécifier une valeur pour l’instruction inside-service-interface au niveau de la [edit services service-set service-set-name] hiérarchie qui correspond à la ipsec-inside-interface valeur que vous configurez au niveau de la [edit services ipsec-vpn rule rule-name term term-name from] hiérarchie. Pour plus d’informations sur la configuration IPsec, consultez Configuration des règles IPsec.
À partir de la version 16.1 de Junos OS, pour configurer des tunnels de type lien (c’est-à-dire de type saut suivant) à des fins de HA, vous pouvez configurer les interfaces logiques AMS en tant qu’interfaces internes IPsec à l’aide de l’instruction ipsec-inside-interface interface-name au niveau de la [edit services ipsec-vpn rule rule-name term term-name from] hiérarchie.
À partir de la version 17.1 de Junos OS, AMS prend en charge la distribution de tunnels IPSec.
- Adresses IKE dans les instances VRF
- Effacement des SA lorsque l’adresse de la passerelle locale ou MS-MPC ou MS-MIC tombe en panne
Adresses IKE dans les instances VRF
Vous pouvez configurer Internet Key Exchange (IKE) adresses IP de passerelle présentes dans une instance VRF (VPN Routing and Forwarding), à condition que l’homologue soit accessible via l’instance VRF.
Pour les ensembles de services de saut suivant, le processus de gestion des clés (kmd) place les paquets IKE dans l’instance de routage qui contient la outside-service-interface valeur que vous spécifiez, comme dans cet exemple :
routing-instances vrf-nxthop {
instance-type vrf;
interface sp-1/1/0.2;
...
}
services service-set service-set-1 {
next-hop-service {
inside-service-interface sp-1/1/0.1;
outside-service-interface sp-1/1/0.2;
}
...
}
Pour les ensembles de services d’interface, l’instruction service-interface détermine le VRF, comme dans cet exemple :
routing-instances vrf-intf {
instance-type vrf;
interface sp-1/1/0.3;
interface ge-1/2/0.1; # interface on which service set is applied
...
}
services service-set service-set-2 {
interface-service {
service-interface sp-1/1/0.3;
}
...
}
Effacement des SA lorsque l’adresse de la passerelle locale ou MS-MPC ou MS-MIC tombe en panne
À partir de la version 17.2R1 de Junos OS, vous pouvez utiliser l’instruction gw-interface pour activer le nettoyage des déclencheurs IKE et des SA IKE et IPsec lorsque l’adresse IP de la passerelle locale d’un tunnel IPsec tombe en panne ou que le MS-MIC ou MS-MPC utilisé dans l’ensemble de services du tunnel tombe en panne.
local-gateway address <gw-interface interface-name.logical-unit-number>;
Le interface-name et logical-unit-number doit correspondre à l’interface et à l’unité logique sur lesquelles l’adresse IP de la passerelle locale est configurée.
Si l’adresse IP de la passerelle locale pour l’ensemble de services d’un tunnel IPsec tombe en panne ou si le MS-MIC ou MS-MPC utilisé dans l’ensemble de services tombe en panne, l’ensemble de services n’envoie plus de déclencheurs IKE. En outre, lorsque l’adresse IP de la passerelle locale tombe en panne, les SA IKE et IPsec sont effacées pour les ensembles de services de saut suivant et passent à l’état Non installé pour les ensembles de services de type interface. Les SA qui ont l’état Non installé sont supprimées lorsque l’adresse IP de la passerelle locale est rétablie.
Si l’adresse IP de la passerelle locale qui tombe en panne pour un ensemble de services de saut suivant est celle de l’homologue répondeur, vous devez effacer les SA IKE et IPsec sur l’homologue initiateur afin que le tunnel IPsec soit rétabli une fois que l’adresse IP de la passerelle locale est rétablie. Vous pouvez effacer manuellement les SA IKE et IPsec sur l’homologue initiateur (voir Effacer les services ipsec-vpn, IKE Security-associations et Effacer les services ipsec-VPN, IPsec Security-associations) ou activer la détection d’homologue mort sur l’homologue initiateur (voir Configuration de règles de pare-feu dynamique).
Configuration des profils d’accès IKE pour les ensembles de services IPsec
Pour la tunnelisation dynamique des points de terminaison uniquement, vous devez référencer le profil d’accès IKE configuré au niveau de la [edit access] hiérarchie. Pour ce faire, incluez l’instruction ike-access-profile au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie :
[edit services service-set service-set-name ipsec-vpn-options] ike-access-profile profile-name;
L’instruction ike-access-profile doit faire référence au même nom que l’instruction que vous avez configurée pour l’accès profile IKE au niveau de la [edit access] hiérarchie. Vous ne pouvez référencer qu’un seul profil d’accès dans chaque ensemble de services. Ce profil est utilisé pour négocier des associations de sécurité IKE et IPsec avec des pairs dynamiques uniquement.
Si vous configurez un profil d’accès IKE dans un ensemble de services, aucun autre ensemble de services ne peut partager la même local-gateway adresse.
En outre, vous devez configurer un ensemble de services distinct pour chaque VRF. Toutes les interfaces référencées par l’instruction ipsec-inside-interface dans un ensemble de services doivent appartenir au même VRF.
Configuration des autorités de certification pour les ensembles de services IPsec
Vous pouvez spécifier une ou plusieurs autorités de certification approuvées en incluant la trusted-ca déclaration :
trusted-ca [ ca-profile-names ];
Lorsque vous configurez des certificats numériques d’infrastructure à clé publique (PKI) dans la configuration IPsec, chaque ensemble de services peut avoir son propre ensemble d’autorités de certification approuvées. Les noms que vous spécifiez pour l’instruction trusted-ca doivent correspondre aux profils configurés au niveau de la [edit security pki] hiérarchie. Pour plus d’informations, reportez-vous à la bibliothèque d’administration de Junos OS pour les équipements de routage. Pour plus d’informations sur la configuration des certificats numériques IPsec, consultez Configuration des règles IPsec.
À partir de la version 18.2R1 de Junos OS, vous pouvez configurer le routeur MX Series avec MS-MPC ou MS-MICs afin d’envoyer uniquement le certificat de l’entité finale pour l’authentification IKE basée sur des certificats au lieu de la chaîne de certificats complète. Cela évite la fragmentation d’IKE. Pour configurer cette fonctionnalité, incluez l’affirmation no-certificate-chain-in-ike :
[edit services service-set service-set-name ipsec-vpn-options] no-certificate-chain-in-ike;
Configuration ou désactivation du service Antireplay
Vous pouvez inclure l’instruction anti-replay-window-size au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie pour spécifier la taille de la fenêtre antirelecture.
anti-replay-window-size bits;
Cette instruction est utile pour les tunnels de point de terminaison dynamiques pour lesquels vous ne pouvez pas configurer l’instruction anti-replay-window-size au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie.
Pour les tunnels IPsec statiques, cette instruction définit la taille de la fenêtre antirelecture pour tous les tunnels statiques de cet ensemble de services. Si un tunnel particulier a besoin d’une valeur spécifique pour la taille de la fenêtre antirelecture, définissez l’instruction anti-replay-window-size au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie. Si la vérification antirelecture doit être désactivée pour un tunnel particulier dans cet ensemble de services, définissez l’instruction no-anti-replay au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie.
Les anti-replay-window-size paramètres et no-anti-replay au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie remplacent les paramètres spécifiés au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie.
Vous pouvez également inclure l’instruction au niveau de la hiérarchie pour désactiver le no-anti-replay [edit services service-set service-set-name ipsec-vpn-options] service antirelecture IPsec. Cela peut parfois causer des problèmes d’interopérabilité pour les associations de sécurité.
no-anti-replay;
Cette instruction est utile pour les tunnels de point de terminaison dynamiques pour lesquels vous ne pouvez pas configurer l’instruction no-anti-reply au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie.
Pour les tunnels IPsec statiques, cette instruction désactive la vérification antirelecture pour tous les tunnels de cet ensemble de services. Si la vérification antirelecture doit être activée pour un tunnel particulier, définissez l’instruction anti-replay-window-size au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie.
La définition des anti-replay-window-size instructions and no-anti-replay au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie remplace les paramètres spécifiés au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie.
Effacement du bit Ne pas fragmenter
Vous pouvez inclure l’instruction clear-dont-fragment-bit au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie pour effacer le bit Do Not Fragment (DF) sur tous les paquets IP version 4 (IPv4) entrant dans le tunnel IPsec. Si la taille du paquet encapsulé dépasse l’unité de transmission maximale (MTU) du tunnel, le paquet est fragmenté avant l’encapsulation.
clear-dont-fragment-bit;
Cette instruction est utile pour les tunnels de point de terminaison dynamiques pour lesquels vous ne pouvez pas configurer l’instruction clear-dont-fragment-bit au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie.
Pour les tunnels IPsec statiques, la définition de cette instruction efface le bit DF sur les paquets entrant dans tous les tunnels statiques de cet ensemble de services. Si vous souhaitez effacer le bit DF sur les paquets entrant dans un tunnel spécifique, définissez l’instruction clear-dont-fragment-bit au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie.
À partir de la version 14.1 de Junos OS, dans les paquets transmis via des tunnels IPSec de point de terminaison dynamiques, vous pouvez activer la valeur définie dans le bit DF du paquet entrant dans le tunnel pour qu’elle soit copiée uniquement dans l’en-tête externe du paquet IPsec et pour qu’aucune modification ne soit apportée au bit DF dans l’en-tête interne du paquet IPsec. Si la taille du paquet dépasse la valeur de l’unité de transmission maximale (MTU) du tunnel, le paquet est fragmenté avant l’encapsulation. Pour les tunnels IPsec, la valeur par défaut de la MTU est 1500, quel que soit le paramètre de la MTU de l’interface. Pour copier la valeur DF bit uniquement dans l’en-tête externe et ne pas modifier l’en-tête interne, utilisez l’instruction copy-dont-fragment-bit au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie. Vous pouvez également configurer le bit DF pour qu’il soit défini uniquement dans l’en-tête IPv4 externe du paquet IPsec et non dans l’en-tête IPv4 interne. Pour configurer le bit DF uniquement dans l’en-tête externe du paquet IPsec et pour ne pas modifier l’en-tête interne, incluez l’instruction set-dont-fragment-bit au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie. Ces paramètres s’appliquent aux tunnels de point de terminaison dynamiques et non aux tunnels statiques, pour lesquels vous devez inclure les copy-dont-fragment-bit instructions et au set-dont-fragment-bit niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie pour effacer le bit DF dans les paquets IPv4 qui pénètrent dans le tunnel statique. Ces fonctionnalités sont prises en charge sur les routeurs MX Series avec MS-MIC et MS-MPC.
Configuration de la tunnelisation en mode passif
Vous pouvez inclure l’instruction passive-mode-tunneling au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie pour permettre à l’ensemble de services de tunneliser les paquets mal formés dans le tunnel.
[edit services service-set service-set-name ipsec-vpn-options] passive-mode-tunneling;
Cette fonctionnalité contourne les vérifications IP actives, telles que les vérifications de version, de durée de vie, de protocole, d’options, d’adresse et d’autres attaques terrestres, et tunnelise les paquets tels quels. Si cette instruction n’est pas configurée, les paquets qui échouent aux vérifications IP sont supprimés dans le PIC. En mode passif, le paquet interne n’est pas touché ; aucune erreur ICMP n’est générée si la taille du paquet dépasse la valeur de la MTU du tunnel.
Le tunnel IPsec n’est pas traité comme un saut suivant et la durée de vie n’est pas décrémentée. Comme aucune erreur ICMP n’est générée si la taille du paquet dépasse la valeur de la MTU du tunnel, le paquet est tunnelisé même s’il dépasse le seuil de la MTU du tunnel.
Cette fonctionnalité est similaire à celle fournie par la déclaration décrite dans Suivi no-ipsec-tunnel-in-traceroute des opérations Junos VPN Site Secure. À partir de la version 14.2 de Junos OS, le tunneling en mode passif est pris en charge sur les MS-MIC et les MS-MPC.
À partir de la version 14.2 de Junos OS, l’option header-integrity-check prise en charge sur les MS-MIC et MS-MPC permettant de vérifier l’en-tête du paquet pour détecter les anomalies dans les informations IP, TCP, UDP et ICMP et de signaler ces anomalies et erreurs a une fonctionnalité opposée à la fonctionnalité causée par la tunnelisation en mode passif. Si vous configurez à la fois l’instruction et l’instruction passive-mode tunneling sur MS-MIC et MS-MPC, et que vous tentez de valider une telle configuration, une erreur s’affiche lors de la header-integrity-check validation.
La fonctionnalité de tunnelisation en mode passif (en incluant l’instruction passive-mode-tunnelin au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie) est un surensemble de la capacité à désactiver le point de terminaison de tunnel IPsec dans la sortie traceroute (en incluant no-ipsec-tunnel-in-traceroute l’instruction au niveau de la [edit services ipsec-vpn] hiérarchie). La tunnelisation en mode passif contourne également les vérifications IP actives et la vérification MTU du tunnel, en plus de ne pas traiter un tunnel IPsec comme un saut suivant configuré par l’instruction no-ipsec-tunnel-in-traceroute .
Configuration de la valeur MTU du tunnel
Vous pouvez inclure l’instruction tunnel-mtu au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie pour définir la valeur maximale de l’unité de transmission (MTU) pour les tunnels IPsec.
tunnel-mtu bytes;
Cette instruction est utile pour les tunnels de point de terminaison dynamiques pour lesquels vous ne pouvez pas configurer l’instruction tunnel-mtu au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie.
Pour les tunnels IPsec statiques, cette instruction définit la valeur de la MTU du tunnel pour tous les tunnels de cet ensemble de services. Si vous avez besoin d’une valeur spécifique pour un tunnel particulier, définissez l’instruction tunnel-mtu au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie.
Le tunnel-mtu paramètre au niveau de la [edit services ipsec-vpn rule rule-name term term-name then] hiérarchie remplace la valeur spécifiée au niveau de la [edit services service-set service-set-name ipsec-vpn-options] hiérarchie.
Configuration du transfert multichemin IPsec avec encapsulation UDP
À partir de la version 16.1 de Junos OS, vous pouvez activer le transfert multichemin du trafic IPsec en configurant l’encapsulation UDP dans l’ensemble de services, ce qui ajoute un en-tête UDP à l’encapsulation IPsec des paquets. Il en résulte le transfert du trafic IPsec sur plusieurs chemins, ce qui augmente le débit du trafic IPsec. Si vous n’activez pas l’encapsulation UDP, tout le trafic IPsec suit un seul chemin de transfert.
Lorsque le NAT-T est détecté, seule l’encapsulation UDP NAT-T se produit, et non l’encapsulation UDP pour les paquets IPsec.
Pour activer l’encapsulation UDP :
Activez l’encapsulation UDP.
[edit services service-set service-set-name ipsec-vpn-options] user@host set udp-encapsulation
(Facultatif) Spécifiez le numéro de port de destination UDP.
[edit services service-set service-set-name ipsec-vpn-options udp-encapsulation] user@host set udp-dest-port destination-port
Utilisez un numéro de port de destination compris entre 1025 et 65536, mais n’utilisez pas 4500. Si vous ne spécifiez pas de numéro de port, le port de destination par défaut est 4565.
Voir aussi
Exemple : configuration SA dynamique IKE avec certificats numériques
Cet exemple montre comment configurer la SA dynamique IKE avec des certificats numériques et contient les sections suivantes.
Exigences
Cet exemple utilise les composants matériels et logiciels suivants :
Quatre routeurs M Series, MX Series ou T Series équipés d’interfaces multiservices.
Junos OS version 9.4 ou ultérieure.
Avant de configurer cet exemple, vous devez demander un certificat d’AC, créer un certificat local et charger ces certificats numériques dans le routeur. Pour plus de détails, voir Inscrire un certificat.
Vue d’ensemble
Une association de sécurité (SA) est une connexion simplexe qui permet à deux hôtes de communiquer entre eux en toute sécurité à l’aide d’IPsec. Cet exemple illustre la configuration SA dynamique d’IKE avec des certificats numériques. L’utilisation de certificats numériques renforce la sécurité de votre tunnel IKE. Avec les valeurs par défaut dans le PIC Services, vous n’avez pas besoin de configurer une proposition IPsec ou une stratégie IPsec. Toutefois, vous devez configurer une proposition IKE qui spécifie l’utilisation de certificats numériques, référencer la proposition IKE et le certificat local dans une stratégie IKE, et appliquer le profil AC à l’ensemble de services.
La figure 1 montre une topologie IPsec contenant un groupe de quatre routeurs. Cette configuration nécessite que les routeurs 2 et 3 établissent un tunnel IPsec basé sur IKE en utilisant des certificats numériques à la place des clés prépartagées. Les routeurs 1 et 4 fournissent une connectivité de base et sont utilisés pour vérifier que le tunnel IPsec est opérationnel.
Topologie
La configuration
Pour configurer la SA dynamique IKE avec des certificats numériques, effectuez les tâches suivantes :
Les types d’interface présentés dans cet exemple ne sont donnés qu’à titre indicatif. Par exemple, vous pouvez utiliser so- des interfaces à la place de ge- et sp- au lieu de ms-.
- Configuration du routeur 1
- Configuration du routeur 2
- Configuration du routeur 3
- Configuration du routeur 4
Configuration du routeur 1
Configuration rapide de la CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, puis copiez-collez les commandes dans la CLI, au niveau de la hiérarchie [modifier], du routeur 1.
set interfaces ge-0/0/0 description "to R2 ge-0/0/0" set interfaces ge-0/0/0 unit 0 family inet address 10.1.12.2/30 set interfaces lo0 unit 0 family inet address 10.0.0.1/32 set routing-options router-id 10.0.0.1 set protocols ospf area 0.0.0.0 interface ge-0/0/0 set protocols ospf area 0.0.0.0 interface lo0.0
Procédure étape par étape
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans la CLI, consultez Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de la CLI.
Pour configurer le routeur 1 pour la connectivité OSPF avec le routeur 2 :
Configurez une interface Ethernet et l’interface de bouclage.
[edit interfaces] user@router1# set ge-0/0/0 description "to R2 ge-0/0/0" user@router1# set ge-0/0/0 unit 0 family inet address 10.1.12.2/30 user@router1# set lo0 unit 0 family inet address 10.0.0.1/32
Spécifiez la zone OSPF et associez les interfaces à la zone OSPF.
[edit protocols] user@router1# set ospf area 0.0.0.0 interface ge-0/0/0.0 user@router1# set ospf area 0.0.0.0 interface lo0.0
Configurez l’ID du routeur.
[edit routing-options] user@router1# set router-id 10.0.0.1
Validez la configuration.
[edit] user@router1# commit
Résultats
En mode configuration, confirmez votre configuration en entrant les show interfacescommandes , show protocols ospfet show routing-options . Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.
user@router1# show interfaces
interfaces {
ge-0/0/0 {
description "To R2 ge-0/0/0";
unit 0 {
family inet {
address 10.1.12.2/30;
}
}
}
lo0 {
unit 0 {
family inet {
address 10.0.0.1/32;
}
}
}
}
user@router1# show protocols ospf
protocols {
ospf {
area 0.0.0.0 {
interface ge-0/0/0.0;
interface lo0.0;
}
}
}
user@router1# show routing-options
routing-options {
router-id 10.0.0.1;
}
Configuration du routeur 2
Configuration rapide de la CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, puis copiez et collez les commandes dans la CLI, au niveau de la hiérarchie [modifier], du routeur 2.
set interfaces ge-0/0/0 description "to R1 ge-0/0/0" set interfaces ge-0/0/0 unit 0 family inet address 10.1.12.1/30 set interfaces ge-0/0/1 description "to R3 ge-0/0/1" set interfaces ge-0/0/1 unit 0 family inet address 10.1.15.1/30 set interfaces ms-1/2/0 services-options syslog host local services info set interfaces ms-1/2/0 unit 0 family inet set interfaces ms-1/2/0 unit 1 family inet set interfaces ms-1/2/0 unit 1 service-domain inside set interfaces ms-1/2/0 unit 2 family inet set interfaces ms-1/2/0 unit 2 service-domain outside set interfaces lo0 unit 0 family inet address 10.0.0.2/32 set protocols ospf area 0.0.0.0 interface ge-0/0/0.0 set protocols ospf area 0.0.0.0 interface lo0.0 set protocols ospf area 0.0.0.0 interface ms-1/2/0.1 set routing-options router-id 10.0.0.2 set services ipsec-vpn rule rule-ike term term-ike then remote-gateway 10.1.15.2 set services ipsec-vpn rule rule-ike term term-ike then dynamic ike-policy ike-digital-certificates set services ipsec-vpn rule rule-ike term term-ike then dynamic ipsec-policy ipsec-demo-policy set services ipsec-vpn rule match-direction input set services ipsec-vpn ike proposal ike-demo-proposal authentication-method rsa-signatures set services ipsec-vpn ike policy ike-digital-certificates proposals ike-demo-proposal set services ipsec-vpn ike policy ike-digital-certificates local-id fqdn router2.example.com set services ipsec-vpn ike policy ike-digital-certificates local-certificate local-entrust2 set services ipsec-vpn ike policy ike-digital-certificates remote-id fqdn router3.example.com set services ipsec-vpn ipsec proposal ipsec-demo-proposal protocol esp set services ipsec-vpn ipsec proposal ipsec-demo-proposal authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal ipsec-demo-proposal encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy ipsec-demo-policy perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec proposals ipsec-demo-proposal set services ipsec-vpn establish-tunnels immediately set services service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 set services service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 set services service-set demo-service-set ipsec-vpn-options trusted-ca entrust set services service-set demo-service-set ipsec-vpn-options local-gateway 10.1.15.1 set services service-set demo-service-set ipsec-vpn-rules rule-ike
Procédure étape par étape
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans la CLI, consultez Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de la CLI.
Pour configurer la connectivité OSPF et les paramètres de tunnel IPsec sur le routeur 2 :
Configurez les propriétés de l’interface. Dans cette étape, vous configurez deux interfaces Ethernet (ge-1/0/0 et ge-1/0/1), l’interface de bouclage et une interface multiservices (ms-1/2/0).
[edit interfaces] user@router2# set ge-0/0/0 description "to R1 ge-0/0/0" user@router2# set ge-0/0/0 unit 0 family inet address 10.1.12.1/30 user@router2# set ge-0/0/1 description "to R3 ge-0/0/1" user@router2# set ge-0/0/1 unit 0 family inet address 10.1.15.1/30 user@router2# set ms-1/2/0 services-options syslog host local services info user@router2# set ms-1/2/0 unit 0 family inet user@router2# set ms-1/2/0 unit 1 family inet user@router2# set ms-1/2/0 unit 1 service-domain inside user@router2# set ms-1/2/0 unit 2 family inet user@router2# set ms-1/2/0 unit 2 service-domain outside user@router2# set lo0 unit 0 family inet address 10.0.0.2/32
Spécifiez la zone OSPF et associez les interfaces à la zone OSPF.
[edit protocols] user@router2# set ospf area 0.0.0.0 interface ge-0/0/0.0 user@router2# set ospf area 0.0.0.0 interface lo0.0 user@router2# set ospf area 0.0.0.0 interface ms-1/2/0.1
Configurez l’ID du routeur.
[edit routing-options] user@router2# set router-ID 10.0.0.2
Configurez une proposition et une stratégie IKE. Pour activer une proposition IKE pour les certificats numériques, incluez l’instruction
rsa-signaturesau niveau de la[edit services ipsec-vpn ike proposal proposal-name authentication-method]hiérarchie. Pour référencer le certificat local dans la stratégie IKE, incluez l’instructionlocal-certificateau niveau de la[edit services ipsec-vpn ike policy policy-name]hiérarchie. Pour identifier l’AC ou l’AR dans l’ensemble de services, incluez l’instructiontrusted-caau niveau de la[edit services service-set service-set-name ipsec-vpn-options]hiérarchie.Remarque :Pour plus d’informations sur la création et l’installation de certificats numériques, consultez Inscrire un certificat.
[edit services ipsec-vpn] user@router2# set ike proposal ike-demo-proposal authentication-method rsa-signatures user@router2# set ike policy ike-digital-certificates proposals ike-demo-proposal user@router2# set ike policy ike-digital-certificates local-id fqdn router2.example.com user@router2# set ike policy ike-digital-certificates local-certificate local-entrust2 user@router2# set ike policy ike-digital-certificates remote-id fqdn router3.example.com
Configurer une proposition et une politique IPsec. Réglez également le
established-tunnelsbouton surimmediately.[edit services ipsec-vpn] user@router2# set ipsec proposal ipsec-demo-proposal protocol esp user@router2# set ipsec proposal ipsec-demo-proposal authentication-algorithm hmac-sha1-96 user@router2# set ipsec proposal ipsec-demo-proposal encryption-algorithm 3des-cbc user@router2# set ipsec policy ipsec-demo-policy perfect-forward-secrecy keys group2 user@router2# set ipsec proposals ipsec-demo-proposal user@router2# set establish-tunnels immediately
Configurez une règle IPsec.
[edit services ipsec-vpn] user@router2# set rule rule-ike term term-ike then remote-gateway 10.1.15.2 user@router2# set rule rule-ike term term-ike then dynamic ike-policy ike-digital-certificates user@router2# set rule rule-ike term term-ike then dynamic ipsec-policy ipsec-demo-policy user@router2# set rule match-direction input
Configurez un ensemble de services de style saut suivant, spécifiez l’adresse de la passerelle locale et associez la règle VPN IPsec à l’ensemble de services.
[edit services] user@router2# set service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 user@router2# set service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 user@router2# set service-set demo-service-set ipsec-vpn-options trusted-ca entrust user@router2# set service-set demo-service-set ipsec-vpn-options local-gateway 10.1.15.1 user@router2# set service-set demo-service-set ipsec-vpn-rules rule-ike
Validez la configuration.
[edit] user@router2# commit
Résultats
En mode configuration, confirmez votre configuration en entrant les show interfacescommandes , show routing-optionsshow protocols ospf, , et show services . Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration
user@router2# show interfaces
interfaces {
ge-0/0/0 {
description "To R1 ge-0/0/0";
unit 0 {
family inet {
address 10.1.12.1/30;
}
}
}
ge-0/0/1 {
description "To R3 ge-0/0/1";
unit 0 {
family inet {
address 10.1.15.1/30;
}
}
}
ms-1/2/0 {
services-options {
syslog {
host local {
services info;
}
}
}
unit 0 {
family inet;
}
unit 1 {
family inet;
service-domain inside;
}
unit 2 {
family inet;
service-domain outside;
}
}
lo0 {
unit 0 {
family inet {
address 10.0.0.2/32;
}
}
}
}
user@router2# show protocols ospf
protocols {
ospf {
area 0.0.0.0 {
interface ge-0/0/0.0;
interface lo0.0;
interface ms-1/2/0.1;
}
}
}
user@router2# show routing-options
routing-options {
router-id 10.0.0.2;
}
user@router2# show services
services {
ipsec-vpn {
rule rule-ike {
term term-ike {
then {
remote-gateway 10.1.15.2;
dynamic {
ike-policy ike-digital-certificates;
ipsec-policy ipsec-demo-policy
}
}
}
match-direction input;
}
ike {
proposal ike-demo-proposal {
authentication-method rsa-signatures;
}
policy ike-digital-certificates {
proposals ike-demo-proposal;
local-id fqdn router2.example.com;
local-certificate local-entrust2;
remote-id fqdn router3.example.com;
}
}
ipsec {
proposal ipsec-demo-proposal {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy demo-policy {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec-demo-proposal;
}
establish-tunnels immediately;
}
service-set service-set-dynamic-demo-service-set {
next-hop-service {
inside-service-interface ms-1/2/0.1;
outside-service-interface ms-1/2/0.2;
}
ipsec-vpn-options {
trusted-ca entrust;
local-gateway 10.1.15.1;
}
ipsec-vpn-rules rule-ike;
}
}
}
Configuration du routeur 3
Configuration rapide de la CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, puis copiez-collez les commandes dans la CLI, au niveau de la hiérarchie [modifier], du routeur 3.
set interfaces ge-0/0/0 description "to R4 ge-0/0/0" set interfaces ge-0/0/0 unit 0 family inet address 10.1.56.1/30 set interfaces ge-0/0/1 description "to R2 ge-0/0/1" set interfaces ge-0/0/1 unit 0 family inet address 10.1.15.2/30 set interfaces ms-1/2/0 services-options syslog host local services info set interfaces ms-1/2/0 unit 0 family inet set interfaces ms-1/2/0 unit 1 family inet set interfaces ms-1/2/0 unit 1 service-domain inside set interfaces ms-1/2/0 unit 2 family inet set interfaces ms-1/2/0 unit 2 service-domain outside set interfaces lo0 unit 0 family inet address 10.0.0.3/32 set protocols ospf area 0.0.0.0 interface ge-0/0/0.0 set protocols ospf area 0.0.0.0 interface lo0.0 set protocols ospf area 0.0.0.0 interface ms-1/2/0.1 set routing-options router-id 10.0.0.3 set services ipsec-vpn rule rule-ike term term-ike then remote-gateway 10.1.15.1 set services ipsec-vpn rule rule-ike term term-ike then dynamic ike-policy ike-digital-certificates set services ipsec-vpn rule rule-ike term term-ike then dynamic ipsec-policy ipsec-demo-policy set services ipsec-vpn rule match-direction input set services ipsec-vpn ike proposal ike-demo-proposal authentication-method rsa-signatures set services ipsec-vpn ike policy ike-digital-certificates proposals ike-demo-proposal set services ipsec-vpn ike policy ike-digital-certificates local-id fqdn router3.example.com set services ipsec-vpn ike policy ike-digital-certificates local-certificate local-entrust3 set services ipsec-vpn ike policy ike-digital-certificates remote-id fqdn router2.example.com set services ipsec-vpn ipsec proposal ipsec-demo-proposal protocol esp set services ipsec-vpn ipsec proposal ipsec-demo-proposal authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal ipsec-demo-proposal encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy ipsec-demo-policy perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec proposals ipsec-demo-proposal set services ipsec-vpn establish-tunnels immediately set services service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 set services service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 set services service-set demo-service-set ipsec-vpn-options trusted-ca entrust set services service-set demo-service-set ipsec-vpn-options local-gateway 10.1.15.2 set services service-set demo-service-set ipsec-vpn-rules rule-ike
Procédure étape par étape
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans la CLI, consultez Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de la CLI.
Si les homologues IPsec ne disposent pas d’une configuration symétrique contenant tous les composants nécessaires, ils ne peuvent pas établir de relation d’appairage. Vous devez demander un certificat d’AC, créer un certificat local, charger ces certificats numériques dans le routeur et les référencer dans votre configuration IPsec. Pour plus d’informations sur la certification numérique, voir Inscrire un certificat.
Pour configurer la connectivité OSPF et les paramètres de tunnel IPsec sur le routeur 3 :
Configurez les propriétés de l’interface. Dans cette étape, vous configurez deux interfaces Ethernet (ge-1/0/0 et ge-1/0/1), l’interface de bouclage et une interface multiservices (ms-1/2/0).
[edit interfaces] user@router3# set ge-0/0/0 description "to R4 ge-0/0/0" user@router3# set ge-0/0/0 unit 0 family inet address 10.1.56.1/30 user@router3# set ge-0/0/1 description "to R2 ge-0/0/1" user@router3# set ge-0/0/1 unit 0 family inet address 10.1.15.2/30 user@router3# set ms-1/2/0 services-options syslog host local services info user@router3# set ms-1/2/0 unit 0 family inet user@router3# set ms-1/2/0 unit 1 family inet user@router3# set ms-1/2/0 unit 1 service-domain inside user@router3# set ms-1/2/0 unit 2 family inet user@router3# set ms-1/2/0 unit 2 service-domain outside user@router3# set lo0 unit 0 family inet address 10.0.0.3/32
Spécifiez la zone OSPF, associez les interfaces à la zone OSPF.
[edit protocols] user@router3# set ospf area 0.0.0.0 interface ge-0/0/0.0 user@router3# set ospf area 0.0.0.0 interface lo0.0 user@router3# set ospf area 0.0.0.0 interface ms-1/2/0.1
Configurez un ID de routeur.
[edit routing-options] user@router3# set router-id 10.0.0.3
Configurez une proposition et une stratégie IKE. Pour activer une proposition IKE pour les certificats numériques, incluez l’instruction
rsa-signaturesau niveau de la[edit services ipsec-vpn ike proposal proposal-name authentication-method]hiérarchie. Pour référencer le certificat local dans la stratégie IKE, incluez l’instructionlocal-certificateau niveau de la[edit services ipsec-vpn ike policy policy-name]hiérarchie. Pour identifier l’AC ou l’AR dans l’ensemble de services, incluez l’instructiontrusted-caau niveau de la[edit services service-set service-set-name ipsec-vpn-options]hiérarchie.Remarque :Pour plus d’informations sur la création et l’installation de certificats numériques, consultez Inscrire un certificat.
[edit services ipsec-vpn] user@router3# set ike proposal ike-demo-proposal authentication-method rsa-signatures user@router3# set ike policy ike-digital-certificates proposals ike-demo-proposal user@router3# set ike policy ike-digital-certificates local-id fqdn router2.example.com user@router3# set ike policy ike-digital-certificates local-certificate local-entrust2 user@router3# set ike policy ike-digital-certificates remote-id fqdn router3.example.com
Configurer une proposition IPsec. Réglez également le
established-tunnelsbouton surimmediately.[edit services ipsec-vpn] user@router3# set ipsec proposal ipsec-demo-proposal protocol esp user@router3# set ipsec proposal ipsec-demo-proposal authentication-algorithm hmac-sha1-96 user@router3# set ipsec proposal ipsec-demo-proposal encryption-algorithm 3des-cbc user@router3# set ipsec policy ipsec-demo-policy perfect-forward-secrecy keys group2 user@router3# set ipsec proposals ipsec-demo-proposal user@router3# set establish-tunnels immediately
Configurez une règle IPsec.
[edit services ipsec-vpn] user@router3# set rule rule-ike term term-ike then remote-gateway 10.1.15.2 user@router3# set rule rule-ike term term-ike then dynamic ike-policy ike-digital-certificates user@router3# set rule rule-ike term term-ike then dynamic ipsec-policy ipsec-demo-policy user@router3# set rule match-direction input
Configurez un ensemble de services de style saut suivant, spécifiez l’adresse de la passerelle locale et associez la règle VPN IPsec à l’ensemble de services.
[edit services] user@router3# set service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 user@router3# set service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 user@router3# set service-set demo-service-set ipsec-vpn-options trusted-ca entrust user@router3# set service-set demo-service-set ipsec-vpn-options local-gateway 10.1.15.2 user@router3# set service-set demo-service-set ipsec-vpn-rules rule-ike
Validez la configuration.
[edit] user@router3# commit
Résultats
En mode configuration, confirmez votre configuration en entrant les show interfacescommandes , show routing-optionsshow protocols ospf, , et show services . Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration
user@router3# show interfaces
interfaces {
ge-0/0/0 {
description "To R4 ge-0/0/0";
unit 0 {
family inet {
address 10.1.56.1/30;
}
}
}
ge-0/0/1 {
description "To R2 ge-0/0/1";
unit 0 {
family inet {
address 10.1.15.2/30;
}
}
}
ms-1/2/0 {
services-options {
syslog {
host local {
services info;
}
}
}
unit 0 {
family inet {
}
unit 1 {
family inet;
service-domain inside;
}
unit 2 {
family inet;
service-domain outside;
}
}
lo0 {
unit 0 {
family inet {
address 10.0.0.3/32;
}
}
}
}
}
user@router3# show protocols ospf
protocols {
ospf {
area 0.0.0.0 {
interface ge-0/0/0.0;
interface lo0.0;
interface ms-1/2/0.1;
}
}
}
user@router3# show routing-options
routing-options {
router-id 10.0.0.3;
}
user@router3# show services
services {
ipsec-vpn {
rule rule-ike {
term term-ike {
then {
remote-gateway 10.1.15.1;
dynamic {
ike-policy ike-digital-certificates;
ipsec-policy ipsec-demo-policy
}
}
}
match-direction input;
}
ike {
proposal ike-demo-proposal {
authentication-method rsa-signatures;
}
policy ike-digital-certificates {
proposals ike-demo-proposal;
local-id fqdn router3.example.com;
local-certificate local-entrust3;
remote-id fqdn router2.example.com;
}
}
ipsec {
proposal ipsec-demo-proposal {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy demo-policy {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec-demo-proposal;
}
establish-tunnels immediately;
}
service-set service-set-dynamic-demo-service-set {
next-hop-service {
inside-service-interface ms-1/2/0.1;
outside-service-interface ms-1/2/0.2;
}
ipsec-vpn-options {
trusted-ca entrust;
local-gateway 10.1.15.2;
}
ipsec-vpn-rules rule-ike;
}
}
}
Configuration du routeur 4
Configuration rapide de la CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, puis copiez et collez les commandes dans la CLI, au niveau de la hiérarchie [modifier], du routeur 4.
set interfaces ge-0/0/0 description "to R3 ge-0/0/0" set interfaces ge-0/0/0 unit 0 family inet address 10.1.56.2/30 set interfaces lo0 unit 0 family inet address 10.0.0.4/32 set protocols ospf area 0.0.0.0 interface ge-0/0/0.0 set protocols ospf area 0.0.0.0 interface lo0.0 set routing-options router-id 10.0.0.4
Procédure étape par étape
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans la CLI, consultez Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de la CLI.
Pour configurer la connectivité OSPF avec le routeur 4
Configurez les interfaces. Dans cette étape, vous configurez une interface Ethernet (ge-1/0/1) et l’interface de bouclage.
[edit interfaces] user@router4# set ge-0/0/0 description "to R3 ge-0/0/0" user@router4# set ge-0/0/0 unit 0 family inet address 10.1.56.2/30 user@router4# set lo0 unit 0 family inet address 10.0.0.4/32
Spécifiez la zone OSPF et associez les interfaces à la zone OSPF.
[edit protocols] user@router4# set ospf area 0.0.0.0 interface ge-0/0/0 user@router4# set ospf area 0.0.0.0 interface lo0.0
Configurez l’ID du routeur.
[edit routing-options] user@router4# set router-id 10.0.0.4
Résultats
En mode configuration, confirmez votre configuration en entrant les show interfacescommandes , show protocols ospfet show routing-options . Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration
user@router4# show interfaces
interfaces {
ge-0/0/0 {
description "To R3 ge-0/0/0";
unit 0 {
family inet {
address 10.1.56.2/30;
}
}
}
lo0 {
unit 0 {
family inet {
address 10.0.0.4/32;
}
}
}
}
user@router4# show protocols ospf
protocols {
ospf {
area 0.0.0.0 {
interface ge-0/0/0.0;
interface lo0.0;
}
}
}
user@router4# show routing-options
routing-options {
router-id 10.0.0.4;
}
Vérification
- Vérification de votre travail sur le routeur 1
- Vérification de votre travail sur le routeur 2
- Vérification de votre travail sur le routeur 3
- Vérification de votre travail sur le routeur 4
Vérification de votre travail sur le routeur 1
Objet
Sur le routeur 1, vérifiez la commande ping sur l’interface so-0/0/0 du routeur 4 pour envoyer le trafic sur le tunnel IPsec.
Mesures à prendre
En mode opérationnel, entrez ping 10.1.56.2.
user@router1>ping 10.1.56.2 PING 10.1.56.2 (10.1.56.2): 56 data bytes 64 bytes from 10.1.56.2: icmp_seq=0 ttl=254 time=1.351 ms 64 bytes from 10.1.56.2: icmp_seq=1 ttl=254 time=1.187 ms 64 bytes from 10.1.56.2: icmp_seq=2 ttl=254 time=1.172 ms 64 bytes from 10.1.56.2: icmp_seq=3 ttl=254 time=1.154 ms 64 bytes from 10.1.56.2: icmp_seq=4 ttl=254 time=1.156 ms ^C --- 10.1.56.2 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 1.154/1.204/1.351/0.074 ms
Si vous envoyez une requête ping à l’adresse de bouclage du routeur 4, l’opération réussit car l’adresse fait partie du réseau OSPF configuré sur le routeur 4.
user@router1>ping 10.0.0.4 PING 10.0.0.4 (10.0.0.4): 56 data bytes 64 bytes from 10.0.0.4: icmp_seq=0 ttl=62 time=1.318 ms 64 bytes from 10.0.0.4: icmp_seq=1 ttl=62 time=1.084 ms 64 bytes from 10.0.0.4: icmp_seq=2 ttl=62 time=3.260 ms ^C --- 10.0.0.4 ping statistics --- 3 packets transmitted, 3 packets received, 0% packet loss round-trip min/avg/max/stddev = 1.084/1.887/3.260/0.975 ms
Vérification de votre travail sur le routeur 2
Objet
Pour vérifier que le trafic correspondant est dévié vers le tunnel IPsec bidirectionnel, consultez les statistiques IPsec :
Mesures à prendre
En mode opérationnel, entrez le show services ipsec-vpn ipsec statisticsfichier .
user@router2>show services ipsec-vpn ipsec statistics PIC: sp-1/2/0, Service set: service-set-dynamic-demo-service-set ESP Statistics: Encrypted bytes: 162056 Decrypted bytes: 161896 Encrypted packets: 2215 Decrypted packets: 2216 AH Statistics: Input bytes: 0 Output bytes: 0 Input packets: 0 Output packets: 0 Errors: AH authentication failures: 0, Replay errors: 0 ESP authentication failures: 0, ESP decryption failures: 0 Bad headers: 0, Bad trailers: 0
Pour vérifier que la négociation de la SA IKE est réussie, exécutez la show services ipsec-vpn ike security-associations commande :
En mode opérationnel, entrez le bouton show services ipsec-vpn ike security-associations
user@router2> show services ipsec-vpn ike security-associations Remote Address State Initiator cookie Responder cookie Exchange type 10.1.15.2 Matured d82610c59114fd37 ec4391f76783ef28 Main
Pour vérifier que l’association de sécurité IPsec est active, exécutez la show services ipsec-vpn ipsec security-associations detail commande. Notez que la SA contient les paramètres par défaut inhérents au PIC de services, tels que ESP pour le protocole et HMAC-SHA1-96 pour l’algorithme d’authentification.
En mode opérationnel, entrez le bouton show services ipsec-vpn ipsec security-associations detail
user@router2> show services ipsec-vpn ipsec security-associations detail Service set: service-set-dynamic-demo-service-set Rule: rule-ike, Term: term-ike, Tunnel index: 1 Local gateway: 10.1.15.1, Remote gateway: 10.1.15.2 IPsec inside interface: sp-1/2/0.1 Local identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0) Remote identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0) Direction: inbound, SPI: 857451461, AUX-SPI: 0 Mode: tunnel, Type: dynamic, State: Installed Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc Soft lifetime: Expires in 9052 seconds Hard lifetime: Expires in 9187 seconds Anti-replay service: Enabled, Replay window size: 64 Direction: outbound, SPI: 1272330309, AUX-SPI: 0 Mode: tunnel, Type: dynamic, State: Installed Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc Soft lifetime: Expires in 9052 seconds Hard lifetime: Expires in 9187 seconds Anti-replay service: Enabled, Replay window size: 64
Pour afficher les certificats numériques utilisés pour établir le tunnel IPsec, exécutez la commande show services ipsec-vpn certificates :
En mode opérationnel, entrez le bouton show services ipsec-vpn certificates
user@router2> show services ipsec-vpn certificates Service set: service-set-dynamic-demo-service-set, Total entries: 3 Certificate cache entry: 3 Flags: Non-root Trusted Issued to: router3.example.com, Issued by: juniper Alternate subject: router3.example.com Validity: Not before: 2005 Nov 21st, 23:33:58 GMT Not after: 2008 Nov 22nd, 00:03:58 GMT Certificate cache entry: 2 Flags: Non-root Trusted Issued to: router2.example.com, Issued by: juniper Alternate subject: router2.example.com Validity: Not before: 2005 Nov 21st, 23:28:22 GMT Not after: 2008 Nov 21st, 23:58:22 GMT Certificate cache entry: 1 Flags: Root Trusted Issued to: juniper, Issued by: juniper Validity: Not before: 2005 Oct 18th, 23:54:22 GMT Not after: 2025 Oct 19th, 00:24:22 GMT
Pour afficher le certificat d’AC, exécutez la commande show security pki ca-certificate detail. Notez qu’il existe trois certificats distincts : un pour la signature de certificat, un pour le chiffrement des clés et un pour la signature numérique de l’AC.
En mode opérationnel, entrez le bouton show security pki ca-certificate detail
user@router2> show security pki ca-certificate detail Certificate identifier: entrust Certificate version: 3 Serial number: 4355 9235 Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us Validity: Not before: 2005 Oct 18th, 23:54:22 GMT Not after: 2025 Oct 19th, 00:24:22 GMT Public key algorithm: rsaEncryption(1024 bits) cb:9e:2d:c0:70:f8:ea:3c:f2:b5:f0:02:48:87:dc:68:99:a3:57:4f 0e:b9:98:0b:95:47:0d:1f:97:7c:53:17:dd:1a:f8:da:e5:08:d1:1c 78:68:1f:2f:72:9f:a2:cf:81:e3:ce:c5:56:89:ce:f0:97:93:fa:36 19:3e:18:7d:8c:9d:21:fe:1f:c3:87:8d:b3:5d:f3:03:66:9d:16:a7 bf:18:3f:f0:7a:80:f0:62:50:43:83:4f:0e:d7:c6:42:48:c0:8a:b2 c7:46:30:38:df:9b:dc:bc:b5:08:7a:f3:cd:64:db:2b:71:67:fe:d8 04:47:08:07:de:17:23:13 Signature algorithm: sha1WithRSAEncryption Fingerprint: 00:8e:6f:58:dd:68:bf:25:0a:e3:f9:17:70:d6:61:f3:53:a7:79:10 (sha1) 71:6f:6a:76:17:9b:d6:2a:e7:5a:72:97:82:6d:26:86 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: CRL signing, Certificate signing Certificate identifier: entrust Certificate version: 3 Serial number: 4355 925c Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us, Common name: First Officer Validity: Not before: 2005 Oct 18th, 23:55:59 GMT Not after: 2008 Oct 19th, 00:25:59 GMT Public key algorithm: rsaEncryption(1024 bits) c0:a4:21:32:95:0a:cd:ec:12:03:d1:a2:89:71:8e:ce:4e:a6:f9:2f 1a:9a:13:8c:f6:a0:3d:c9:bd:9d:c2:a0:41:77:99:1b:1e:ed:5b:80 34:46:f8:5b:28:34:38:2e:91:7d:4e:ad:14:86:78:67:e7:02:1d:2e 19:11:b7:fa:0d:ba:64:20:e1:28:4e:3e:bb:6e:64:dc:cd:b1:b4:7a ca:8f:47:dd:40:69:c2:35:95:ce:b8:85:56:d7:0f:2d:04:4d:5d:d8 42:e1:4f:6b:bf:38:c0:45:1e:9e:f0:b4:7f:74:6f:e9:70:fd:4a:78 da:eb:10:27:bd:46:34:33 Signature algorithm: sha1WithRSAEncryption Fingerprint: bc:78:87:9b:a7:91:13:20:71:db:ac:b5:56:71:42:ad:1a:b6:46:17 (sha1) 23:79:40:c9:6d:a6:f0:ca:e0:13:30:d4:29:6f:86:79 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: Key encipherment Certificate identifier: entrust Certificate version: 3 Serial number: 4355 925b Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us, Common name: First Officer Validity: Not before: 2005 Oct 18th, 23:55:59 GMT Not after: 2008 Oct 19th, 00:25:59 GMT Public key algorithm: rsaEncryption(1024 bits) ea:75:c4:f3:58:08:ea:65:5c:7e:b3:de:63:0a:cf:cf:ec:9a:82:e2 d7:e8:b9:2f:bd:4b:cd:86:2f:f1:dd:d8:a2:95:af:ab:51:a5:49:4e 00:10:c6:25:ff:b5:49:6a:99:64:74:69:e5:8c:23:5b:b4:70:62:8e e4:f9:a2:28:d4:54:e2:0b:1f:50:a2:92:cf:6c:8f:ae:10:d4:69:3c 90:e2:1f:04:ea:ac:05:9b:3a:93:74:d0:59:24:e9:d2:9d:c2:ef:22 b9:32:c7:2c:29:4f:91:cb:5a:26:fe:1d:c0:36:dc:f4:9c:8b:f5:26 af:44:bf:53:aa:d4:5f:67 Signature algorithm: sha1WithRSAEncryption Fingerprint: 46:71:15:34:f0:a6:41:76:65:81:33:4f:68:47:c4:df:78:b8:e3:3f (sha1) ee:cc:c7:f4:5d:ac:65:33:0a:55:db:59:72:2c:dd:16 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: Digital signature
Pour afficher la demande de certificat local, exécutez la commande show security pki certificate-request :
En mode opérationnel, entrez le bouton show security pki certificate-request
user@router2> show security pki certificate-request Certificate identifier: local-entrust2 Issued to: router2.example.com Public key algorithm: rsaEncryption(1024 bits) Public key verification status: Passed
Pour afficher le certificat local, exécutez la commande show security pki local-certificate :
En mode opérationnel, entrez le bouton show security pki local-certificate
user@router2> show security pki local-certificate Certificate identifier: local-entrust2 Issued to: router2.example.com, Issued by: juniper Validity: Not before: 2005 Nov 21st, 23:28:22 GMT Not after: 2008 Nov 21st, 23:58:22 GMT Public key algorithm: rsaEncryption(1024 bits) Public key verification status: Passed
Vérification de votre travail sur le routeur 3
Objet
Pour vérifier que le trafic correspondant est dévié vers le tunnel IPsec bidirectionnel, consultez les statistiques IPsec :
Mesures à prendre
En mode opérationnel, entrez le show services ipsec-vpn ipsec statisticsfichier .
user@router3>show services ipsec-vpn ipsec statistics PIC: sp-1/2/0, Service set: service-set-dynamic-demo-service-set ESP Statistics: Encrypted bytes: 161896 Decrypted bytes: 162056 Encrypted packets: 2216 Decrypted packets: 2215 AH Statistics: Input bytes: 0 Output bytes: 0 Input packets: 0 Output packets: 0 Errors: AH authentication failures: 0, Replay errors: 0 ESP authentication failures: 0, ESP decryption failures: 0 Bad headers: 0, Bad trailers: 0
Pour vérifier que la négociation de la SA IKE est réussie, exécutez la commande show services ipsec-vpn ike security-associations. Pour réussir, la SA sur le routeur 3 doit contenir les mêmes paramètres que ceux que vous avez spécifiés sur le routeur 2.
En mode opérationnel, entrez le show services ipsec-vpn ike security-associationsfichier .
user@router3>show services ipsec-vpn ike security-associations Remote Address State Initiator cookie Responder cookie Exchange type 10.1.15.1 Matured d82610c59114fd37 ec4391f76783ef28 Main
Pour vérifier que la SA IPsec est active, exécutez la commande show services ipsec-vpn ipsec security-associations detail. Pour réussir, la SA sur le routeur 3 doit contenir les mêmes paramètres que ceux que vous avez spécifiés sur le routeur 2.
En mode opérationnel, entrez le show services ipsec-vpn ipsec security-associations detailfichier .
user@router3>show services ipsec-vpn ipsec security-associations detail Service set: service-set-dynamic-demo-service-set Rule: rule-ike, Term: term-ike, Tunnel index: 1 Local gateway: 10.1.15.2, Remote gateway: 10.1.15.1 IPsec inside interface: sp-1/2/0.1 Local identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0) Remote identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0) Direction: inbound, SPI: 1272330309, AUX-SPI: 0 Mode: tunnel, Type: dynamic, State: Installed Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc Soft lifetime: Expires in 7219 seconds Hard lifetime: Expires in 7309 seconds Anti-replay service: Enabled, Replay window size: 64 Direction: outbound, SPI: 857451461, AUX-SPI: 0 Mode: tunnel, Type: dynamic, State: Installed Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc Soft lifetime: Expires in 7219 seconds Hard lifetime: Expires in 7309 seconds Anti-replay service: Enabled, Replay window size: 64
Pour afficher les certificats numériques utilisés pour établir le tunnel IPsec, exécutez la commande show services ipsec-vpn certificates :
En mode opérationnel, entrez le show services ipsec-vpn certificatesfichier .
user@router3>show services ipsec-vpn certificates Service set: service-set-dynamic-demo-service-set, Total entries: 3 Certificate cache entry: 3 Flags: Non-root Trusted Issued to: router3.example.com, Issued by: juniper Alternate subject: router3.example.com Validity: Not before: 2005 Nov 21st, 23:33:58 GMT Not after: 2008 Nov 22nd, 00:03:58 GMT Certificate cache entry: 2 Flags: Non-root Trusted Issued to: router2.example.com, Issued by: juniper Alternate subject: router2.example.com Validity: Not before: 2005 Nov 21st, 23:28:22 GMT Not after: 2008 Nov 21st, 23:58:22 GMT Certificate cache entry: 1 Flags: Root Trusted Issued to: juniper, Issued by: juniper Validity: Not before: 2005 Oct 18th, 23:54:22 GMT Not after: 2025 Oct 19th, 00:24:22 GMT
Pour afficher le certificat d’AC, exécutez la commande show security pki ca-certificate detail. Notez qu’il existe trois certificats distincts : un pour la signature de certificat, un pour le chiffrement des clés et un pour la signature numérique de l’AC.
En mode opérationnel, entrez le show security pki ca-certificate detailfichier .
user@router3>show security pki ca-certificate detail Certificate identifier: entrust Certificate version: 3 Serial number: 4355 9235 Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us Validity: Not before: 2005 Oct 18th, 23:54:22 GMT Not after: 2025 Oct 19th, 00:24:22 GMT Public key algorithm: rsaEncryption(1024 bits) cb:9e:2d:c0:70:f8:ea:3c:f2:b5:f0:02:48:87:dc:68:99:a3:57:4f 0e:b9:98:0b:95:47:0d:1f:97:7c:53:17:dd:1a:f8:da:e5:08:d1:1c 78:68:1f:2f:72:9f:a2:cf:81:e3:ce:c5:56:89:ce:f0:97:93:fa:36 19:3e:18:7d:8c:9d:21:fe:1f:c3:87:8d:b3:5d:f3:03:66:9d:16:a7 bf:18:3f:f0:7a:80:f0:62:50:43:83:4f:0e:d7:c6:42:48:c0:8a:b2 c7:46:30:38:df:9b:dc:bc:b5:08:7a:f3:cd:64:db:2b:71:67:fe:d8 04:47:08:07:de:17:23:13 Signature algorithm: sha1WithRSAEncryption Fingerprint: 00:8e:6f:58:dd:68:bf:25:0a:e3:f9:17:70:d6:61:f3:53:a7:79:10 (sha1) 71:6f:6a:76:17:9b:d6:2a:e7:5a:72:97:82:6d:26:86 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: CRL signing, Certificate signing Certificate identifier: entrust Certificate version: 3 Serial number: 4355 925c Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us, Common name: First Officer Validity: Not before: 2005 Oct 18th, 23:55:59 GMT Not after: 2008 Oct 19th, 00:25:59 GMT Public key algorithm: rsaEncryption(1024 bits) c0:a4:21:32:95:0a:cd:ec:12:03:d1:a2:89:71:8e:ce:4e:a6:f9:2f 1a:9a:13:8c:f6:a0:3d:c9:bd:9d:c2:a0:41:77:99:1b:1e:ed:5b:80 34:46:f8:5b:28:34:38:2e:91:7d:4e:ad:14:86:78:67:e7:02:1d:2e 19:11:b7:fa:0d:ba:64:20:e1:28:4e:3e:bb:6e:64:dc:cd:b1:b4:7a ca:8f:47:dd:40:69:c2:35:95:ce:b8:85:56:d7:0f:2d:04:4d:5d:d8 42:e1:4f:6b:bf:38:c0:45:1e:9e:f0:b4:7f:74:6f:e9:70:fd:4a:78 da:eb:10:27:bd:46:34:33 Signature algorithm: sha1WithRSAEncryption Fingerprint: bc:78:87:9b:a7:91:13:20:71:db:ac:b5:56:71:42:ad:1a:b6:46:17 (sha1) 23:79:40:c9:6d:a6:f0:ca:e0:13:30:d4:29:6f:86:79 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: Key encipherment Certificate identifier: entrust Certificate version: 3 Serial number: 4355 925b Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us, Common name: First Officer Validity: Not before: 2005 Oct 18th, 23:55:59 GMT Not after: 2008 Oct 19th, 00:25:59 GMT Public key algorithm: rsaEncryption(1024 bits) ea:75:c4:f3:58:08:ea:65:5c:7e:b3:de:63:0a:cf:cf:ec:9a:82:e2 d7:e8:b9:2f:bd:4b:cd:86:2f:f1:dd:d8:a2:95:af:ab:51:a5:49:4e 00:10:c6:25:ff:b5:49:6a:99:64:74:69:e5:8c:23:5b:b4:70:62:8e e4:f9:a2:28:d4:54:e2:0b:1f:50:a2:92:cf:6c:8f:ae:10:d4:69:3c 90:e2:1f:04:ea:ac:05:9b:3a:93:74:d0:59:24:e9:d2:9d:c2:ef:22 b9:32:c7:2c:29:4f:91:cb:5a:26:fe:1d:c0:36:dc:f4:9c:8b:f5:26 af:44:bf:53:aa:d4:5f:67 Signature algorithm: sha1WithRSAEncryption Fingerprint: 46:71:15:34:f0:a6:41:76:65:81:33:4f:68:47:c4:df:78:b8:e3:3f (sha1) ee:cc:c7:f4:5d:ac:65:33:0a:55:db:59:72:2c:dd:16 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: Digital signature
Pour afficher la demande de certificat local, exécutez la commande show security pki certificate-request :
En mode opérationnel, entrez le show security pki certificate-requestfichier .
user@router3>show security pki certificate-request Certificate identifier: local-entrust3 Issued to: router3.example.com Public key algorithm: rsaEncryption(1024 bits) Public key verification status: Passed
Pour afficher le certificat local, exécutez la commande show security pki local-certificate :
En mode opérationnel, entrez le show security pki local-certificatefichier .
user@router3>show security pki local-certificate Certificate identifier: local-entrust3 Issued to: router3.example.com, Issued by: juniper Validity: Not before: 2005 Nov 21st, 23:33:58 GMT Not after: 2008 Nov 22nd, 00:03:58 GMT Public key algorithm: rsaEncryption(1024 bits) Public key verification status: Passed
Vérification de votre travail sur le routeur 4
Objet
Sur le routeur 4, exécutez une commande ping sur l’interface so-0/0/0 du routeur 1 pour envoyer le trafic sur le tunnel IPsec.
Mesures à prendre
En mode opérationnel, entrez ping 10.1.12.2.
user@router4>ping 10.1.12.2 PING 10.1.12.2 (10.1.12.2): 56 data bytes 64 bytes from 10.1.12.2: icmp_seq=0 ttl=254 time=1.350 ms 64 bytes from 10.1.12.2: icmp_seq=1 ttl=254 time=1.161 ms 64 bytes from 10.1.12.2: icmp_seq=2 ttl=254 time=1.124 ms 64 bytes from 10.1.12.2: icmp_seq=5 ttl=254 time=1.116 ms ^C --- 10.1.12.2 ping statistics --- 4 packets transmitted, 4 packets received, 0% packet loss round-trip min/avg/max/stddev = 1.116/1.172/1.350/0.081 ms
Pour vérifier que le trafic transite par le tunnel IPsec, vous pouvez enfin envoyer la commande traceroute à l’interface so-0/0/0 du routeur 1. Notez que l’interface physique entre les routeurs 2 et 3 n’est pas référencée dans le chemin ; Le trafic entre dans le tunnel IPsec par le biais de l’interface IPsec Inside des services adaptatifs du routeur 3, passe par l’interface de bouclage du routeur 2 et se termine à l’interface so-0/0/0 du routeur 1.
En mode opérationnel, entrez le traceroute 10.1.12.2fichier .
user@router4>traceroute 10.1.12.2 traceroute to 10.1.12.2 (10.1.12.2), 30 hops max, 40 byte packets 1 10.1.15.2 (10.1.15.2) 0.987 ms 0.630 ms 0.563 ms 2 10.0.0.2 (10.0.0.2) 1.194 ms 1.058 ms 1.033 ms 3 10.1.12.2 (10.1.12.2) 1.073 ms 0.949 ms 0.932 ms
Configuration de Junos VPN Site Secure ou VPN IPSec
Le VPN IPsec est pris en charge sur tous les routeurs MX Series avec MS-MIC, MS-MPC ou MS-DPC.
Sur les routeurs M Series et T Series, le VPN IPsec est pris en charge avec les PIC Multiservices 100, Multiservices 400 PIC et Multiservices 500.
MS-MIC et MS-MPC sont pris en charge à partir de Junos OS version 13.2 et ultérieure. Les MS-MIC et MS-MPC prennent en charge toutes les fonctionnalités prises en charge par les MS-DPC et MS-PIC, à l’exception du protocole d’en-tête d’authentification (AH), du protocole ESP (Encapsulating Security Payload Protocol) et du protocole bundle (protocole AH et ESP) pour une association de sécurité dynamique ou manuelle et un service IPsec sans flux.
La traversée NAT (NAT-T) est prise en charge pour IKEv1 et IKEv2 à partir de la version 17.4R1 de Junos OS. NAT-T est activé par défaut. Vous pouvez spécifier l’encapsulation et la décapsulation UDP pour les paquets IKE et ESP à l’aide de la configuration disable-natt au niveau de la [edit services ipsec-vpn] hiérarchie.
Voir aussi
Exemple : configuration de Junos VPN Site Secure sur MS-MIC et MS-MPC
Vous pouvez suivre la même procédure et utiliser la même configuration que celle donnée dans cet exemple pour configurer Junos VPN Site Secure (anciennement connu sous le nom de fonctionnalités IPsec) sur les MS-MPC.
Cet exemple contient les sections suivantes :
Exigences
Cet exemple utilise les composants matériels et logiciels suivants :
Deux routeurs MX Series avec MS-MIC
Junos OS version 13.2 ou ultérieure
Vue d’ensemble
La version 13.2 de Junos OS étend la prise en charge de Junos VPN Site Secure (anciennement connu sous le nom de fonctionnalités IPsec) aux nouveaux MIC et MPC MULTISERVICES (MS-MIC et MS-MPC) sur les routeurs MX Series. Les packages de fournisseurs d’extensions Junos OS sont préinstallés et préconfigurés sur les MS-MIC et MS-MPC.
Les fonctionnalités Junos VPN Site Secure suivantes sont prises en charge sur MS-MIC et MS-MPC dans la version 13.2 :
Points de terminaison dynamiques (DEP)
Encapsulation du protocole de charge utile de sécurité (ESP)
Messages de déclenchement DPD (Dead Peer Detection)
Notifications de substitution de numéro de séquence
Tunnels IPsec statiques avec ensembles de services de type saut suivant et interface
Toutefois, dans Junos OS version 13.2, la prise en charge de Junos VPN Site Secure sur les MS-MIC et MS-MPC est limitée au trafic IPv4. La tunnelisation passive des modules n’est pas prise en charge sur les MS-MIC et les MS-MPC.
La figure 2 montre la topologie du tunnel VPN IPsec.
du tunnel VPN IPsec
Cet exemple montre la configuration de deux routeurs, le routeur 1 et le routeur 2, reliés par un tunnel VPN IPsec.
Lors de la configuration des routeurs, notez les points suivants :
L’adresse IP que vous configurez
source-addressau niveau de la hiérarchie sur le[edit services ipsec-vpn rule name term term from]routeur 1 doit être la même que l’adresse IP quedestination-addressvous configurez sous la même hiérarchie sur le routeur 2, et vice versa.L’adresse IP de la
remote-gatewaypersonne que vous configurez au niveau de la[edit services ipsec-vpn rule name term term then]hiérarchie doit correspondre à l’adresse IP de lalocal-gatewaypersonne que vous configurez au niveau de la[edit services service-set name ipsec-vpn-options]hiérarchie du routeur 2, et vice versa.
La configuration
Cette section contient :
Configuration rapide de la CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, puis copiez-collez les commandes dans la CLI au niveau de la hiérarchie [modifier].
Configuration des interfaces sur le routeur 1
set interfaces ms-4/0/0 unit 0 family inet set interfaces ms-4/0/0 unit 1 family inet set interfaces ms-4/0/0 unit 1 family inet6 set interfaces ms-4/0/0 unit 1 service-domain inside set interfaces ms-4/0/0 unit 2 family inet set interfaces ms-4/0/0 unit 2 family inet6 set interfaces ms-4/0/0 unit 2 service-domain outside set interfaces xe-0/2/0 unit 0 family inet address 10.0.1.1/30
Configuration du service VPN IPsec sur le routeur 1
set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 from source-address 172.16.0.0/16 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 from destination-address 192.168.0.0/16 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then remote-gateway 10.0.1.2 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then dynamic ike-policy ike_policy_ms_4_0_0 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then dynamic ipsec-policy ipsec_policy_ms_4_0_0 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then anti-replay-window-size 4096 set services ipsec-vpn rule vpn_rule_ms_4_0_01 match-direction input set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 protocol esp set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy ipsec_policy_ms_4_0_0 perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec policy ipsec_policy_ms_4_0_0 proposals ipsec_proposal_ms_4_0_0 set services ipsec-vpn ike proposal ike_proposal_ms_4_0_0 authentication-method pre-shared-keys set services ipsec-vpn ike proposal ike_proposal_ms_4_0_0 dh-group group2 set services ipsec-vpn ike policy ike_policy_ms_4_0_0 version 2 set services ipsec-vpn ike policy ike_policy_ms_4_0_0 proposals ike_proposal_ms_4_0_0 set services ipsec-vpn ike policy ike_policy_ms_4_0_0 pre-shared-key ascii-text secret-data
Configuration d’un ensemble de services sur le routeur 1
set services service-set ipsec_ss_ms_4_0_01 next-hop-service inside-service-interface ms-4/0/0.1 set services service-set ipsec_ss_ms_4_0_01 next-hop-service outside-service-interface ms-4/0/0.2 set services service-set ipsec_ss_ms_4_0_01 ipsec-vpn-options local-gateway 10.0.1.1 set services service-set ipsec_ss_ms_4_0_01 ipsec-vpn-rules vpn_rule_ms_4_0_01
Configuration des options de routage sur le routeur 1
set routing-options static route 192.168.0.0/16 next-hop ms-4/0/0.1
Configuration des interfaces sur le routeur 2
set interfaces ms-1/0/0 unit 0 family inet set interfaces ms-1/0/0 unit 1 family inet set interfaces ms-1/0/0 unit 1 family inet6 set interfaces ms-1/0/0 unit 1 service-domain inside set interfaces ms-1/0/0 unit 2 family inet set interfaces ms-1/0/0 unit 2 family inet6 set interfaces ms-1/0/0 unit 2 service-domain outside set interfaces ge-2/0/0 unit 0 family inet address 10.0.1.2/30
Configuration du service VPN IPsec sur le routeur 2
set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 from source-address 192.168.0.0/16 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 from destination-address 172.16.0.0/16 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then remote-gateway 10.0.1.1 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then dynamic ike-policy ike_policy_ms_5_2_0 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then dynamic ipsec-policy ipsec_policy_ms_5_2_0 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then anti-replay-window-size 4096 set services ipsec-vpn rule vpn_rule_ms_5_2_01 match-direction input set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 protocol esp set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy ipsec_policy_ms_5_2_0 perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec policy ipsec_policy_ms_5_2_0 proposals ipsec_proposal_ms_5_2_0 set services ipsec-vpn ike proposal ike_proposal_ms_5_2_0 authentication-method pre-shared-keys set services ipsec-vpn ike proposal ike_proposal_ms_5_2_0 dh-group group2 set services ipsec-vpn ike policy ike_policy_ms_5_2_0 version 2 set services ipsec-vpn ike policy ike_policy_ms_5_2_0 proposals ike_proposal_ms_5_2_0 set services ipsec-vpn ike policy ike_policy_ms_5_2_0 pre-shared-key ascii-text secret-data set services ipsec-vpn establish-tunnels immediately
Configuration d’un ensemble de services sur le routeur 2
set services service-set ipsec_ss_ms_5_2_01 next-hop-service inside-service-interface ms-1/0/0.1 set services service-set ipsec_ss_ms_5_2_01 next-hop-service outside-service-interface ms-1/0/0.2 set services service-set ipsec_ss_ms_5_2_01 ipsec-vpn-options local-gateway 10.0.1.2 set services service-set ipsec_ss_ms_5_2_01 ipsec-vpn-rules vpn_rule_ms_5_2_01
Configuration des options de routage sur le routeur 2
set routing-options static route 172.16.0.0/16 next-hop ms-1/0/0.1
Configuration du routeur 1
Procédure étape par étape
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans la CLI, consultez Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de la CLI.
À partir de la version 13.2, les packages de fournisseurs d’extensions de Junos OS sont préinstallés sur les MIC et MPC multiservices (MS-MICs et MS-MPC). La adaptive-services configuration au niveau de la [edit chassis fpc number pic number] hiérarchie est préconfigurée sur ces cartes.
Configurez les propriétés de l’interface telles que la famille, le domaine de service et l’unité.
user@router1# set interfaces ms-4/0/0 unit 0 family inet user@router1# set interfaces ms-4/0/0 unit 1 family inet user@router1# set interfaces ms-4/0/0 unit 1 family inet6 user@router1# set interfaces ms-4/0/0 unit 1 service-domain inside user@router1# set interfaces ms-4/0/0 unit 2 family inet user@router1# set interfaces ms-4/0/0 unit 2 family inet6 user@router1# set interfaces ms-4/0/0 unit 2 service-domain outside user@router1# set interfaces xe-0/2/0 unit 0 family inet address 10.0.1.1/30
Configurez les propriétés IPsec telles que l’adresse, la passerelle distante, les stratégies, la direction de correspondance, le protocole, la taille de la fenêtre de relecture, les détails de l’algorithme, les clés secrètes, la proposition, la méthode d’authentification, les groupes et la version.
user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 from source-address 172.16.0.0/16 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 from destination-address 192.168.0.0/16 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then remote-gateway 10.0.1.2 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then dynamic ike-policy ike_policy_ms_4_0_0 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then dynamic ipsec-policy ipsec_policy_ms_4_0_0 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then anti-replay-window-size 4096 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 match-direction input user@router1# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 protocol esp user@router1# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 authentication-algorithm hmac-sha1-96 user@router1# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 encryption-algorithm 3des-cbc user@router1# set services ipsec-vpn ipsec policy ipsec_policy_ms_4_0_0 perfect-forward-secrecy keys group2 user@router1# set services ipsec-vpn ipsec policy ipsec_policy_ms_4_0_0 proposals ipsec_proposal_ms_4_0_0 user@router1# set services ipsec-vpn ike proposal ike_proposal_ms_4_0_0 authentication-method pre-shared-keys user@router1# set services ipsec-vpn ike proposal ike_proposal_ms_4_0_0 dh-group group2 user@router1# set services ipsec-vpn ike policy ike_policy_ms_4_0_0 version 2 user@router1# set services ipsec-vpn ike policy ike_policy_ms_4_0_0 proposals ike_proposal_ms_4_0_0 user@router1# set services ipsec-vpn ike policy ike_policy_ms_4_0_0 pre-shared-key ascii-text secret-key
Configurez un ensemble de services, les options ipsec-vpn et les règles.
user@router1# set services service-set ipsec_ss_ms_4_0_01 next-hop-service inside-service-interface ms-4/0/0.1 user@router1# set services service-set ipsec_ss_ms_4_0_01 next-hop-service outside-service-interface ms-4/0/0.2 user@router1# set services service-set ipsec_ss_ms_4_0_01 ipsec-vpn-options local-gateway 10.0.1.1 user@router1# set services service-set ipsec_ss_ms_4_0_01 ipsec-vpn-rules vpn_rule_ms_4_0_01
Configurez les options de routage, la route statique et le saut suivant.
user@router1# set routing-options static route 192.168.0.0/16 next-hop ms-4/0/0.1
Résultats
Dans le mode de configuration du routeur 1, confirmez votre configuration en entrant les show interfacescommandes , show services ipsec-vpnet show services service-set . Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.
user@router1# show interfaces
ms-4/0/0{
unit 0 {
family inet;
}
unit 1 {
family inet;
family inet6;
service-domain inside;
}
unit 2 {
family inet;
family inet6;
service-domain outside;
}
}
xe-0/2/0 {
unit 0 {
family inet {
address 10.0.1.1/30;
}
}
}
user@router1# show services ipsec-vpn
rule vpn_rule_ms_4_0_01 {
term term11 {
from {
source-address {
172.16.0.0/16;
}
destination-address {
192.168.0.0/16;
}
}
then {
remote-gateway 10.0.1.2;
dynamic {
ike-policy ike_policy_ms_4_0_0;
ipsec-policy ipsec_policy_ms_4_0_0;
}
anti-replay-window-size 4096;
}
}
match-direction input;
}
ipsec {
proposal ipsec_proposal_ms_4_0_0 {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy ipsec_policy_ms_4_0_0 {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec_proposal_ms_4_0_0;
}
}
ike {
proposal ike_proposal_ms_4_0_0 {
authentication-method pre-shared-keys;
dh-group group2;
}
policy ike_policy_ms_4_0_0 {
version 2;
proposals ike_proposal_ms_4_0_0;
pre-shared-key ascii-text "$9ABC123"; ## SECRET-DATA
}
}
user@router1# show services service-set
ipsec_ss_ms_4_0_01 {
next-hop-service {
inside-service-interface ms-4/0/0.1;
outside-service-interface ms-4/0/0.2;
}
ipsec-vpn-options {
local-gateway 10.0.1.1;
}
ipsec-vpn-rules vpn_rule_ms_4_0_01;
}
Configuration du routeur 2
Procédure étape par étape
Configurez les propriétés de l’interface telles que la famille, le domaine de service et l’unité.
user@router2# set interfaces ms-1/0/0 services-options inactivity-non-tcp-timeout 600 user@router2# set interfaces ms-1/0/0 unit 0 family inet user@router2# set interfaces ms-1/0/0 unit 1 family inet user@router2# set interfaces ms-1/0/0 unit 1 family inet6 user@router2# set interfaces ms-1/0/0 unit 1 service-domain inside user@router2# set interfaces ms-1/0/0 unit 2 family inet user@router2# set interfaces ms-1/0/0 unit 2 family inet6 user@router2# set interfaces ms-1/0/0 unit 2 service-domain outside user@router2# set interfaces ge-2/0/0 unit 0 family inet adddress 10.0.1.2/30
Configurez les propriétés IPsec telles que l’adresse, la passerelle distante, les stratégies, la direction de correspondance, le protocole, la taille de la fenêtre de relecture, les détails de l’algorithme, les clés secrètes, la proposition, la méthode d’authentification, les groupes et la version.
user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 from source-address 192.168.0.0/16 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 from destination-address 172.16.0.0/16 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then remote-gateway 10.0.1.1 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then dynamic ike-policy ike_policy_ms_5_2_0 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then dynamic ipsec-policy ipsec_policy_ms_5_2_0 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then anti-replay-window-size 4096 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 match-direction input user@router2# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 protocol esp user@router2# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 authentication-algorithm hmac-sha1-96 user@router2# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 encryption-algorithm 3des-cbc user@router2# set services ipsec-vpn ipsec policy ipsec_policy_ms_5_2_0 perfect-forward-secrecy keys group2 user@router2# set services ipsec-vpn ipsec policy ipsec_policy_ms_5_2_0 proposals ipsec_proposal_ms_5_2_0 user@router2# set services ipsec-vpn ike proposal ike_proposal_ms_5_2_0 authentication-method pre-shared-keys user@router2# set services ipsec-vpn ike proposal ike_proposal_ms_5_2_0 dh-group group2 user@router2# set services ipsec-vpn ike policy ike_policy_ms_5_2_0 version 2 user@router2# set services ipsec-vpn ike policy ike_policy_ms_5_2_0 proposals ike_proposal_ms_5_2_0 user@router2# set services ipsec-vpn ike policy ike_policy_ms_5_2_0 pre-shared-key ascii-text "$ABC123" user@router2# set services ipsec-vpn establish-tunnels immediately
Configurez un ensemble de services tel que next-hop-service et ipsec-vpn-options.
user@router2# set services service-set ipsec_ss_ms_5_2_01 next-hop-service inside-service-interface ms-1/0/0.1 user@router2# set services service-set ipsec_ss_ms_5_2_01 next-hop-service outside-service-interface ms-1/0/0.2 user@router2# set services service-set ipsec_ss_ms_5_2_01 ipsec-vpn-options local-gateway 10.0.1.2 user@router2# set services service-set ipsec_ss_ms_5_2_01 ipsec-vpn-rules vpn_rule_ms_5_2_01
Configurez les options de routage, la route statique et le saut suivant.
user@router2# set routing-options static route 172.16.0.0/16 next-hop ms-1/0/0.1
Résultats
Dans le mode de configuration du routeur 2, confirmez votre configuration en entrant les show interfacescommandes , show services ipsec-vpnet show services service-set . Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.
user@router2# show interfaces
ms-1/0/0 {
unit 0 {
family inet;
}
unit 1 {
family inet;
family inet6;
service-domain inside;
}
unit 2 {
family inet;
family inet6;
service-domain outside;
}
}
ge-2/0/0 {
unit 0 {
family inet {
address 10.0.1.2/30;
}
}
}
user@router2# show services ipsec-vpn
rule vpn_rule_ms_5_2_01 {
term term11 {
from {
source-address {
192.168.0.0/16;
}
destination-address {
172.16.0.0/16;
}
}
then {
remote-gateway 10.0.1.1;
dynamic {
ike-policy ike_policy_ms_5_2_0;
ipsec-policy ipsec_policy_ms_5_2_0;
}
anti-replay-window-size 4096;
}
}
match-direction input;
}
ipsec {
proposal ipsec_proposal_ms_5_2_0 {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy ipsec_policy_ms_5_2_0 {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec_proposal_ms_5_2_0;
}
}
ike {
proposal ike_proposal_ms_5_2_0 {
authentication-method pre-shared-keys;
dh-group group2;
}
policy ike_policy_ms_5_2_0 {
version 2;
proposals ike_proposal_ms_5_2_0;
pre-shared-key ascii-text "$9ABC123"; ## SECRET-DATA
}
}
establish-tunnels immediately;
user@router2# show services service-set
ipsec_ss_ms_5_2_01 {
next-hop-service {
inside-service-interface ms-1/0/0.1;
outside-service-interface ms-1/0/0.2;
}
ipsec-vpn-options {
local-gateway 10.0.1.2;
}
ipsec-vpn-rules vpn_rule_ms_5_2_01;
}
user@router2 #show routing-options
static {
route 172.16.0.0/16 next-hop ms-1/0/0.1;
}
Vérification
- Vérification de la création d’un tunnel
- Vérification du flux de trafic dans le tunnel DEP
- Vérification des associations de sécurité IPsec pour l’ensemble de services
Vérification de la création d’un tunnel
Objet
Vérifiez que les points de terminaison dynamiques sont créés.
Mesures à prendre
Exécutez la commande suivante sur le routeur 1 :
user@router1 >show services ipsec-vpn ipsec security-associations detail
Service set: ipsec_ss_ms_4_0_01, IKE Routing-instance: default
Rule: vpn_rule_ms_4_0_01, Term: term11, Tunnel index: 1
Local gateway: 10.0.1.1, Remote gateway: 10.0.1.2
IPSec inside interface: ms-4/0/0.1, Tunnel MTU: 1500
Local identity: ipv4_subnet(any:0,[0..7]=172.16.0.0/16)
Remote identity: ipv4_subnet(any:0,[0..7]=192.168.0.0/16)
Direction: inbound, SPI: 112014862, AUX-SPI: 0
Mode: tunnel, Type: dynamic, State: Installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Soft lifetime: Expires in 24556 seconds
Hard lifetime: Expires in 25130 seconds
Anti-replay service: Enabled, Replay window size: 4096
Direction: outbound, SPI: 1469281276, AUX-SPI: 0
Mode: tunnel, Type: dynamic, State: Installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Soft lifetime: Expires in 24556 seconds
Hard lifetime: Expires in 25130 seconds
Anti-replay service: Enabled, Replay window size: 4096
Signification
La sortie indique que les SA IPSec sont actives sur le routeur avec l’état Installé. Le tunnel IPSec est opérationnel et prêt à envoyer du trafic sur le tunnel.
Vérification du flux de trafic dans le tunnel DEP
Objet
Vérifiez le flux de trafic sur le nouveau tunnel DEP.
Mesures à prendre
Exécutez la commande suivante sur le routeur 2 :
user@router2> show services ipsec-vpn ipsec statistics PIC: ms-1/0/0, Service set: ipsec_ss_ms_5_2_01 ESP Statistics: Encrypted bytes: 153328 Decrypted bytes: 131424 Encrypted packets: 2738 Decrypted packets: 2738 AH Statistics: Input bytes: 0 Output bytes: 0 Input packets: 0 Output packets: 0 Errors: AH authentication failures: 0 ESP authentication failures: 0 ESP decryption failures: 0 Bad headers: 0, Bad trailers: 0 Replay before window drops: 0, Replayed pkts: 0 IP integrity errors: 0, Exceeds tunnel MTU: 0 Rule lookup failures: 0, No SA errors: 0 Flow errors: 0, Misc errors: 0
Vérification des associations de sécurité IPsec pour l’ensemble de services
Objet
Vérifiez que les associations de sécurité configurées pour l’ensemble de services fonctionnent correctement.
Mesures à prendre
Exécutez la commande suivante sur le routeur 2 :
user@router2> show services ipsec-vpn ipsec security-associations ipsec_ss_ms_5_2_01
Service set: ipsec_ss_ms_5_2_01, IKE Routing-instance: default
Rule: vpn_rule_ms_5_2_01, Term: term11, Tunnel index: 1
Local gateway: 10.0.1.2., Remote gateway: 10.0.1.1
IPSec inside interface: ms-1/0/0.1, Tunnel MTU: 1500
Direction SPI AUX-SPI Mode Type Protocol
inbound 1612447024 0 tunnel dynamic ESP
outbound 1824720964 0 tunnel dynamic ESP
Exemple : configuration de tunnels IPsec affectés de façon statique sur une instance VRF
Cet exemple montre comment configurer un tunnel IPsec affecté de manière statique sur une instance VRF et contient les sections suivantes :
Exigences
Cet exemple utilise les composants matériels et logiciels suivants :
Routeur M Series, MX Series ou T Series configuré en tant que routeur Provider Edge.
Junos OS version 9.4 et ultérieures.
Aucune configuration spéciale au-delà de l’initialisation de l’appareil n’est requise avant de pouvoir configurer cette fonctionnalité.
Vue d’ensemble
Junos OS vous permet de configurer des tunnels IPsec affectés de manière statique sur les instances VRF (Virtual Routing and Forwarding). La possibilité de configurer des tunnels IPsec sur des instances VRF améliore la segmentation et la sécurité du réseau. Vous pouvez avoir plusieurs tunnels client configurés sur le même routeur PE sur des instances VRF. Chaque instance VRF agit comme un routeur logique avec une table de routage exclusive.
La configuration
Cet exemple illustre la configuration d’un tunnel IPsec sur une instance VRF sur un routeur Provider Edge, et fournit des instructions étape par étape pour effectuer la configuration requise.
Cette section contient :
Configuration du routeur Provider Edge
Configuration rapide de la CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, puis copiez-collez les commandes dans la CLI au niveau de la hiérarchie [modifier].
set interfaces ge-0/3/0 unit 0 family inet address 10.6.6.6/32 set interfaces ge-1/1/0 description "teller ge-0/1/0" set interfaces ge-1/1/0 unit 0 family inet address 10.21.1.1/16 set interfaces ms-1/2/0 unit 0 family inet address 10.7.7.7/32 set interfaces ms-1/2/0 unit 1 family inet set interfaces ms-1/2/0 unit 1 service-domain inside set interfaces ms-1/2/0 unit 2 family inet set interfaces ms-1/2/0 unit 2 service-domain outside set policy-options policy-statement vpn-export then community add vpn-community set policy-options policy-statement vpn-export then accept set policy-options policy-statement vpn-import term a from community vpn-community set policy-options policy-statement vpn-import term a then accept set policy-options community vpn-community members target:100:20 set routing-instances vrf instance-type vrf set routing-instances vrf interface ge-0/3/0.0 set routing-instances vrf interface ms-1/2/0.1 set routing-instances vrf route-distinguisher 192.168.0.1:1 set routing-instances vrf vrf-import vpn-import set routing-instances vrf vrf-export vpn-export set routing-instances vrf routing-options static route 10.0.0.0/0 next-hop ge-0/3/0.0 set routing-instances vrf routing-options static route 10.11.11.1/32 next-hop ge-0/3/0.0 set routing-instances vrf routing-options static route 10.8.8.1/32 next-hop ms-1/2/0.1 set services ipsec-vpn ipsec proposal demo_ipsec_proposal protocol esp set services ipsec-vpn ipsec proposal demo_ipsec_proposal authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal demo_ipsec_proposal encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy demo_ipsec_policy perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec policy demo_ipsec_policy proposals demo_ipsec_proposal set services ipsec-vpn ike proposal demo_ike_proposal authentication-method pre-shared-keys set services ipsec-vpn ike proposal demo_ike_proposal dh-group group2 set services ipsec-vpn ike policy demo_ike_policy proposals demo_ike_proposal set services ipsec-vpn ike policy demo_ike_policy pre-shared-key ascii-text juniperkey set services ipsec-vpn rule demo-rule term demo-term then remote-gateway 10.21.2.1 set services ipsec-vpn rule demo-rule term demo-term then dynamic ike-policy demo_ike_policy set services ipsec-vpn rule demo-rule match-direction input set services service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 set services service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 set services service-set demo-service-set ipsec-vpn-options local-gateway 10.21.1.1 set services service-set demo-service-set ipsec-vpn-rules demo-rule
Procédure étape par étape
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans la CLI, consultez Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de la CLI.
Pour configurer un tunnel IPsec affecté de manière statique sur une instance VRF :
Configurez les interfaces. Dans cette étape, vous configurez deux interfaces Ethernet (
ge), une interface de services (ms-), ainsi que les propriétés de domaine de service pour les interfaces logiques de l’interface de services. Notez que l’interface logique marquée comme interface interne applique le service configuré sur le trafic, tandis que celle marquée comme interface externe agit comme point de sortie pour le trafic sur lequel l’interface interne a appliqué le service.[edit interfaces] user@PE1# set ge-0/3/0 unit 0 family inet address 10.6.6.6/32 user@PE1# set ge-1/1/0 description "teller ge-0/1/0" user@PE1# set ge-1/1/0 unit 0 family inet address 10.21.1.1/16 user@PE1# set ms-1/2/0 unit 0 family inet address 10.7.7.7/32 user@PE1# set ms-1/2/0 unit 1 family inet user@PE1# set ms-1/2/0 unit 1 service-domain inside user@PE1# set ms-1/2/0 unit 2 family inet user@PE1# set ms-1/2/0 unit 2 service-domain outside
Configurez une politique de routage pour spécifier les critères d’importation et d’exportation de route pour l’instance VRF. Les stratégies d’importation et d’exportation définies à l’étape suivante sont référencées à partir de la configuration de l’instance de routage.
[edit policy-options] user@PE1# set policy-statement vpn-export then community add vpn-community user@PE1# set policy-statement vpn-export then accept user@PE1# set policy-statement vpn-import term a from community vpn-community user@PE1# set policy-statement vpn-import term a then accept user@PE1# set community vpn-community members target:100:20
Configurez une instance de routage et spécifiez le type d’instance de routage comme
vrf. Appliquez les politiques d’importation et d’exportation définies à l’étape précédente à l’instance de routage et spécifiez une route statique pour envoyer le trafic IPsec vers l’interface interne (ms-1/2/0.1) configurée à la première étape.[edit routing-instance] user@PE1# set vrf instance-type vrf user@PE1# set vrf interface ge-0/3/0.0 user@PE1# set vrf interface ms-1/2/0.1 user@PE1# set vrf route-distinguisher 192.168.0.1:1 user@PE1# set vrf vrf-import vpn-import user@PE1# set vrf vrf-export vpn-export user@PE1# set vrf routing-options static route 10.0.0.0/0 next-hop ge-0/3/0.0 user@PE1# set vrf routing-options static route 10.11.11.1/32 next-hop ge-0/3/0.0 user@PE1# set vrf routing-options static route 10.8.8.1/32 next-hop ms-1/2/0.1
Configurez les propositions et les stratégies IKE et IPsec, ainsi qu’une règle pour appliquer la stratégie IKE au trafic entrant.
Remarque :Par défaut, Junos OS utilise la stratégie IKE version 1.0. Junos OS version 11.4 et ultérieure prend également en charge la stratégie IKE version 2.0, que vous devez configurer à l’adresse
[edit services ipsec-vpn ike policy policy-name pre-shared].[edit services] user@PE1# set ipsec-vpn ipsec proposal demo_ipsec_proposal protocol esp user@PE1# set ipsec-vpn ipsec proposal demo_ipsec_proposal authentication-algorithm hmac-sha1-96 user@PE1# set ipsec-vpn ipsec proposal demo_ipsec_proposal encryption-algorithm 3des-cbc user@PE1# set ipsec-vpn ipsec policy demo_ipsec_policy perfect-forward-secrecy keys group2 user@PE1# set ipsec-vpn ipsec policy demo_ipsec_policy proposals demo_ipsec_proposal user@PE1# set ipsec-vpn ike proposal demo_ike_proposal authentication-method pre-shared-keys user@PE1# set ipsec-vpn ike proposal demo_ike_proposal dh-group group2 user@PE1# set ipsec-vpn ike policy demo_ike_policy proposals demo_ike_proposal user@PE1# set ipsec-vpn ike policy demo_ike_policy pre-shared-key ascii-text juniperkey user@PE1# set ipsec-vpn rule demo-rule term demo-term then remote-gateway 10.21.2.1 user@PE1# set ipsec-vpn rule demo-rule term demo-term then dynamic ike-policy demo_ike_policy user@PE1# set ipsec-vpn rule demo-rule match-direction input
Configurez un ensemble de services de style saut suivant. Notez que vous devez configurer les interfaces interne et externe que vous avez configurées à la première étape en tant que
inside-service-interfaceetoutside-service-interfacerespectivement.[edit services] user@PE1# set service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 user@PE1# set service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 user@PE1# set service-set demo-service-set ipsec-vpn-options local-gateway 10.21.1.1 user@PE1# set service-set demo-service-set ipsec-vpn-rules demo-rule
Validez la configuration.
[edit] user@PE1# commit
Résultats
Dans le mode de configuration du routeur 1, confirmez votre configuration en entrant les show interfacescommandes , , show services ipsec-vpnshow policy-optionsshow routing-instances, , et .show services service-set Si la sortie n’affiche pas la configuration prévue, répétez les instructions de cet exemple pour corriger la configuration.
user@PE1# show interfaces
...
ms-1/2/0 {
unit 0 {
family inet {
address 10.7.7.7/32;
}
}
unit 1 {
family inet;
service-domain inside;
}
unit 2 {
family inet;
service-domain outside;
}
}
ge-0/3/0 {
unit 0 {
family inet {
address 10.6.6.6/32;
}
}
}
ge-1/1/0 {
description "teller ge-0/1/0";
unit 0 {
family inet {
address 10.21.1.1/16;
}
}
}
...
user@PE1# show policy-options
policy-statement vpn-export {
then {
community add vpn-community;
accept;
}
}
policy-statement vpn-import {
term a {
from community vpn-community;
then accept;
}
}
community vpn-community members target:100:20;
user@PE1# show routing-instances
vrf {
instance-type vrf;
interface ge-0/3/0.0;
interface ms-1/2/0.1;
route-distinguisher 192.168.0.1:1;
vrf-import vpn-import;
vrf-export vpn-export;
routing-options {
static {
route 10.0.0.0/0 next-hop ge-0/3/0.0;
route 10.11.11.1/32 next-hop ge-0/3/0.0;
route 10.8.8.1/32 next-hop ms-1/2/0.1;
}
}
}
user@PE1# show services ipsec-vpn
ipsec-vpn {
rule demo-rule {
term demo-term {
then {
remote-gateway 10.21.2.1;
dynamic {
ike-policy demo_ike_policy;
}
}
}
match-direction input;
}
ipsec {
proposal demo_ipsec_proposal {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy demo_ipsec_policy {
perfect-forward-secrecy {
keys group2;
}
proposals demo_ipsec_proposal;
}
}
ike {
proposal demo_ike_proposal {
authentication-method pre-shared-keys;
dh-group group2;
}
policy demo_ike_policy {
proposals demo_ike_proposal;
pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
}
}
user@PE1# show services service-set demo-service-set
next-hop-service {
inside-service-interface ms-1/2/0.1;
outside-service-interface ms-1/2/0.2;
}
ipsec-vpn-options {
local-gateway 10.21.1.1;
}
ipsec-vpn-rules demo-rule;
Exemple multitâche : configuration des services IPsec
Les instructions suivantes basées sur des exemples montrent comment configurer les services IPsec. La configuration implique la définition d’une stratégie IKE, d’une politique IPsec, de règles IPsec, d’options de traçage et d’ensembles de services.
Cette rubrique comprend les tâches suivantes :
- Configuration de la proposition IKE
- Configuration de la stratégie IKE (et référencement de la proposition IKE)
- Configuration de la proposition IPsec
- Configuration de la stratégie IPsec (et référencement de la proposition IPsec)
- Configuration de la règle IPsec (et référencement des stratégies IKE et IPsec)
- Configuration des options de trace IPsec
- Configuration du profil d’accès (et référencement des stratégies IKE et IPsec)
- Configuration de l’ensemble de services (et référencement du profil IKE et de la règle IPsec)
Configuration de la proposition IKE
La configuration de la proposition IKE définit les algorithmes et les clés utilisés pour établir la connexion sécurisée IKE avec la passerelle de sécurité homologue. Pour plus d’informations sur les propositions IKE, consultez Configuration des propositions IKE.
Pour définir l’IKE propose :
L’exemple de sortie suivant montre la configuration de la proposition IKE :
[edit services ipsec-vpn]
user@host# show ike
proposal test-IKE-proposal {
authentication-method pre-shared-keys;
dh-group group1;
authentication-algorithm sha1;
encryption-algorithm aes-256-cbc;
}
Voir aussi
Configuration de la stratégie IKE (et référencement de la proposition IKE)
La configuration de la stratégie IKE définit la proposition, le mode, les adresses et les autres paramètres de sécurité utilisés lors de la négociation IKE. Pour plus d’informations sur les stratégies IKE, consultez Configuration des stratégies IKE.
Pour définir la politique d’IKE et faire référence à la proposition d’IKE :
L’exemple de sortie suivant montre la configuration de la stratégie IKE :
[edit services ipsec-vpn]
user@host# show ike
policy test-IKE-policy {
mode main;
proposals test-IKE-proposal;
local-id ipv4_addr 192.168.255.2;
pre-shared-key ascii-text TEST;
}
Configuration de la proposition IPsec
La configuration de la proposition IPsec définit les protocoles et les algorithmes (services de sécurité) nécessaires pour négocier avec l’homologue IPsec distant. Pour plus d’informations sur les propositions IPsec, consultez Configuration des propositions IPsec.
Pour définir la proposition IPsec :
L’exemple de sortie suivant montre la configuration de la proposition IPsec :
[edit services ipsec-vpn]
user@host# show ike
proposal test-IPsec-proposal {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm aes-256-cbc;
}
Voir aussi
Configuration de la stratégie IPsec (et référencement de la proposition IPsec)
La configuration de la stratégie IPsec définit une combinaison de paramètres de sécurité (propositions IPsec) utilisés lors de la négociation IPsec. Il définit les PFS et les propositions nécessaires à la connexion. Pour plus d’informations sur les stratégies IPsec, consultez Configuration des stratégies IPsec.
Pour définir la politique IPsec et référencer la proposition IPsec :
L’exemple de sortie suivant montre la configuration de la stratégie IPsec :
[edit services ipsec-vpn]
user@host# show ipsec policy test-IPsec-policy
perfect-forward-secrecy {
keys group1;
}
proposals test-IPsec-proposal;
Voir aussi
Configuration de la règle IPsec (et référencement des stratégies IKE et IPsec)
La configuration de la règle IPsec définit la direction qui spécifie si la correspondance est appliquée du côté entrée ou de la sortie de l’interface. La configuration se compose également d’un ensemble de termes qui spécifient les conditions de correspondance et les applications incluses et exclues, ainsi que les actions et les modificateurs d’action à effectuer par le logiciel du routeur. Pour plus d’informations sur les règles IPsec, consultez Configuration des règles IPsec.
Pour définir la règle IPsec et référencer les stratégies IKE et IPsec :
L’exemple de sortie suivant montre la configuration de la règle IPsec :
[edit services ipsec-vpn]
user@host# show rule test-IPsec-rule
term 10 {
from {
destination-address {
192.168.255.2/32;
}
}
then {
remote-gateway 0.0.0.0;
dynamic {
ike-policy test-IKE-policy;
ipsec-policy test-IPsec-policy;
}
}
}
match-direction input;
Configuration des options de trace IPsec
La configuration des options de traçage IPsec suit les événements IPsec et les enregistre dans un fichier journal dans le répertoire /var/log . Par défaut, ce fichier est nommé /var/log/kmd. Pour plus d’informations sur les règles IPsec, reportez-vous à la section Traçabilité des opérations Junos VPN Site Secure.
Pour définir les options de trace IPsec :
L’exemple de sortie suivant montre la configuration des options de trace IPsec :
[edit services ipsec-vpn] user@host# show traceoptions file ipsec.log; flag all;
Configuration du profil d’accès (et référencement des stratégies IKE et IPsec)
La configuration du profil d’accès définit le profil d’accès et fait référence aux stratégies IKE et IPsec. Pour plus d’informations sur le profil d’accès, consultez Configuration d’un profil d’accès IKE.
Pour définir le profil d’accès et référencer les politiques IKE et IPsec :
L’exemple de sortie suivant montre la configuration du profil d’accès :
[edit access]
user@host# show
profile IKE-profile-TEST {
client * {
ike {
allowed-proxy-pair local 10.0.0.0/24 remote 10.0.1.0/24;
ike-policy test-IKE-policy;
ipsec-policy test-IPsec-policy; # new statement
interface-id TEST-intf;
}
}
}
Voir aussi
Configuration de l’ensemble de services (et référencement du profil IKE et de la règle IPsec)
La configuration de l’ensemble de services définit les ensembles de services IPsec qui nécessitent des spécifications supplémentaires et fait référence au profil IKE et à la règle IPsec. Pour plus d’informations sur les ensembles de services IPsec, consultez Configuration des ensembles de services IPsec.
Pour définir la configuration de l’ensemble de services avec les ensembles de services du saut suivant et les options VPN IPsec :
L’exemple de sortie suivant montre la configuration de la configuration de l’ensemble de services en faisant référence au profil IKE et à la règle IPsec :
[edit services]user@host# show service-set TEST
next-hop-service {
inside-service-interface sp-1/2/0.1;
outside-service-interface sp-1/2/0.2;
}
ipsec-vpn-options {
local-gateway 192.168.255.2;
ike-access-profile IKE-profile-TEST;
}
ipsec-vpn-rules test-IPsec-rule;
Voir aussi
Désactivation du NAT-T sur les routeurs MX Series pour la gestion du NAT avec des paquets protégés IPsec
Avant la version 17.4R1 de Junos OS, la traduction d’adresses réseau (NAT-Traversal) n’était pas prise en charge pour la suite de fonctionnalités IPsec de Junos VPN Site Secure sur les routeurs MX Series. Par défaut, Junos OS détecte si l’un des tunnels IPsec se trouve derrière un équipement NAT et bascule automatiquement vers l’utilisation de NAT-T pour le trafic protégé. Pour éviter d’exécuter NAT-T non pris en charge dans les versions de Junos OS antérieures à 17.4R1, vous devez désactiver NAT-T en incluant l’instruction disable-natt au niveau de la [edit services ipsec-vpn] hiérarchie. Lorsque vous désactivez le NAT-T, la fonctionnalité NAT-T est désactivée globalement. Lorsque vous désactivez le NAT-T et qu’un périphérique NAT est présent entre les deux passerelles IPsec, les messages ISAKMP sont négociés à l’aide du port UDP 500 et les paquets de données sont encapsulés avec la charge utile de sécurité (ESP) d’encapsulation.
La traduction d’adresses réseau (NAT-T) est une méthode permettant de contourner les problèmes de traduction d’adresses IP rencontrés lorsque des données protégées par IPsec passent par un périphérique NAT pour la traduction d’adresses. Toute modification de l’adressage IP, qui est la fonction du NAT, entraîne la suppression de paquets par IKE. Après avoir détecté un ou plusieurs appareils NAT le long du chemin de données lors des échanges de phase 1, le NAT-T ajoute une couche d’encapsulation UDP (User Datagram Protocol) aux paquets IPsec afin qu’ils ne soient pas ignorés après la traduction de l’adresse. NAT-T encapsule le trafic IKE et ESP dans UDP avec le port 4500 utilisé comme port source et de destination. Étant donné que les périphériques NAT ont un âge obsolète des traductions UDP obsolètes, des messages keepalive sont nécessaires entre les pairs.
L’emplacement d’un appareil NAT peut être tel que :
Seul l’initiateur IKEv1 ou IKEv2 se trouve derrière un périphérique NAT. Plusieurs initiateurs peuvent se trouver derrière des périphériques NAT distincts. Les initiateurs peuvent également se connecter au répondeur via plusieurs appareils NAT.
Seul le répondeur IKEv1 ou IKEv2 se trouve derrière un périphérique NAT.
L’initiateur IKEv1 ou IKEv2 et le répondeur se trouvent tous deux derrière un dispositif NAT.
Le VPN de point de terminaison dynamique couvre la situation dans laquelle l'adresse externe IKE de l'initiateur n'est pas fixe et n'est donc pas connue du répondeur. Cela peut se produire lorsque l'adresse de l'initiateur est affectée dynamiquement par un FAI ou lorsque la connexion de l'initiateur croise un périphérique NAT dynamique qui alloue des adresses à partir d'un pool d'adresses dynamiques.
Des exemples de configuration pour NAT-T sont fournis pour la topologie dans laquelle seul le répondeur se trouve derrière un périphérique NAT et la topologie dans laquelle l’initiateur et le répondeur se trouvent derrière un périphérique NAT. La configuration de passerelle IKE site à site pour NAT-T est prise en charge à la fois sur l’initiateur et sur le répondeur. Un ID IKE distant est utilisé pour valider l’ID IKE local d’un pair lors de la phase 1 de la négociation du tunnel IKE. L’initiateur et le répondeur ont tous deux besoin d’une identification locale et d’une chaîne d’identité distante.
Voir aussi
Traçage des opérations Junos VPN Site Secure
Junos VPN Site Secure est une suite de fonctionnalités IPsec prises en charge sur les cartes de ligne multiservices (MS-DPC, MS-MPC et MS-MIC) et auparavant appelée services IPsec.
Les opérations de suivi suivent les événements IPsec et les enregistrent dans un fichier journal du /var/log répertoire. Par défaut, ce fichier est nommé /var/log/kmd.
Pour tracer les opérations IPsec, incluez l’instruction traceoptions au niveau de la [edit services ipsec-vpn] hiérarchie :
[edit services ipsec-vpn] traceoptions { file <filename> <files number> <match regular-expression> <size bytes> <world-readable | no-world-readable>; flag flag; level level; no-remote-trace; }
Vous pouvez spécifier les indicateurs de suivi IPsec suivants :
all—Tracez tout.certificates: suit les événements de certificats.database: trace les événements de base de données d’associations de sécurité.general—Retracer les événements généraux.ike: traçage du traitement du module IKE.parse: trace le traitement de la configuration.policy-manager: suivi du traitement par le gestionnaire de stratégies.routing-socket: tracez les messages de socket de routage.snmp: traçage des opérations SNMP.timer: trace des événements du minuteur interne.
L’instruction level définit le niveau de suivi du processus de gestion des clés (kmd). Les valeurs suivantes sont prises en charge :
all: correspond à tous les niveaux.error: correspond aux conditions d’erreur.info–Faites correspondre les messages d’information.notice: conditions de correspondance qui doivent être traitées spécialement.verbose: fait correspondre les messages verbeux.warning: correspond aux messages d’avertissement.
Cette section comprend les rubriques suivantes :
- Désactivation du point de terminaison de tunnel IPsec dans Traceroute
- Traçage des opérations PKI IPsec
Désactivation du point de terminaison de tunnel IPsec dans Traceroute
Si vous incluez l’instruction no-ipsec-tunnel-in-traceroute au niveau de la [edit services ipsec-vpn] hiérarchie, le tunnel IPsec n’est pas traité comme un saut suivant et la durée de vie (TTL) n’est pas décrémentée. De plus, si la durée de vie atteint zéro, un message de dépassement de temps ICMP n’est pas généré.
[edit services ipsec-vpn] no-ipsec-tunnel-in-traceroute;
Cette fonctionnalité est également fournie par l’instruction passive-mode-tunneling . Vous pouvez utiliser l’instruction no-ipsec-tunnel-in-traceroute dans des scénarios spécifiques dans lesquels le tunnel IPsec ne doit pas être traité comme un saut suivant et où le mode passif n’est pas souhaité.
Traçage des opérations PKI IPsec
Les opérations de suivi suivent les événements PKI IPsec et les enregistrent dans un fichier journal du /var/log répertoire. Par défaut, ce fichier est nommé /var/log/pkid.
Pour retracer les opérations PKI IPsec, incluez l’instruction traceoptions au niveau de la [edit security pki] hiérarchie :
[edit security pki] traceoptions { file filename <files number> <match regular-expression> <size maximum-file-size> <world-readable | no-world-readable>; flag flag (all | certificate-verification | enrollment | online-crl-check); }
Vous pouvez spécifier les indicateurs de suivi PKI suivants :
all—Tracez tout.certificates: suit les événements de certificats.database: trace les événements de base de données d’associations de sécurité.general—Retracer les événements généraux.ike: traçage du traitement du module IKE.parse: trace le traitement de la configuration.policy-manager: suivi du traitement par le gestionnaire de stratégies.routing-socket: tracez les messages de socket de routage.snmp: traçage des opérations SNMP.timer: trace des événements du minuteur interne.
Tableau de l’historique des modifications
La prise en charge des fonctionnalités est déterminée par la plateforme et la version que vous utilisez. Utilisez l’explorateur de fonctionnalités pour déterminer si une fonctionnalité est prise en charge sur votre plateforme.
gw-interface pour activer le nettoyage des déclencheurs IKE et des SA IKE et IPsec lorsque l’adresse IP de la passerelle locale d’un tunnel IPsec tombe en panne ou que le MS-MIC ou MS-MPC utilisé dans l’ensemble de services du tunnel tombe en panne.
ipsec-inside-interface interface-name au niveau de la
[edit services ipsec-vpn rule rule-name term term-name from] hiérarchie.
header-integrity-check prise en charge sur les MS-MIC et MS-MPC permettant de vérifier l’en-tête du paquet pour détecter les anomalies dans les informations IP, TCP, UDP et ICMP et de signaler ces anomalies et erreurs a une fonctionnalité opposée à la fonctionnalité causée par la tunnelisation en mode passif.