1re partie : Configuration initiale de la connectivité Internet

Cet exemple de configuration montre comment déployer une filiale de petite à moyenne taille avec une passerelle de services SRX, des commutateurs EX Series et des points d’accès Mist. L’exemple utilise deux liaisons WAN en mode actif/actif avec une liaison de sauvegarde LTE. En outre, Juniper Mist Cloud est utilisé pour configurer respectivement le commutateur EX et le point d’accès Mist dans le cadre de Wired Assurance et Wireless Assurance.

L’exemple montre également comment utiliser la surveillance des performances et le routage basé sur les stratégies pour fournir une qualité de l’expérience applicative (AppQoE). AppQoE hiérarchise intelligemment le trafic stratégique de l’entreprise en cas de défaillance d’une ou plusieurs liaisons.

Vous aurez besoin du matériel et des logiciels suivants pour configurer cet exemple :

• Un équipement SRX300 Series (SRX320, SRX340, SRX345, SRX380) ou un équipement SRX5000 Series (SRX550M) : Version logicielle : Junos OS version 19.4R1 ou supérieure.

  • Cet exemple nécessite l’installation d’une licence d’identification des applications, ainsi que le téléchargement et l’installation du package d’identification de l’application. Voir Licences pour SRX Series pour plus d’informations. Utilisez les show system license commandes.show services application-identification status

    Note:

    Les mises à jour du package de signatures d’application Junos OS sont autorisées par un service d’abonnement sous licence séparé. Vous devez installer la clé de licence de mise à jour de signature de l’application d’identification de l’application pour télécharger et installer les mises à jour de la base de données de signatures fournies par Juniper Networks. Lorsque votre clé de licence expire, vous pouvez continuer à utiliser le contenu du package de signatures d’application stocké localement, mais vous ne pouvez pas mettre à jour le package.

• Un commutateur Ethernet EX Series (EX2300, EX3400 ou EX4300) : version logicielle : Junos OS 19.4R1 ou supérieure.

• Un ou plusieurs points d’accès MIST (AP12, AP41, AP43, AP61 ou AP32).

• Un mini-PIM LTE pour la passerelle de services SRX.

• Une carte SIM avec un abonnement aux services de données.

• Une connexion Mist Cloud de Juniper. Créez votre compte à l’adresse : Juniper Mist Cloud .

Dans cet exemple, nous configurons un SRX550 pour fournir des fonctionnalités DHCP et SNAT. Le SRX fournit un accès Internet sortant sécurisé pour le commutateur EX, le point d’accès Mist et les équipements clients sur site. La liaison principale se connecte à un réseau WAN privé (par exemple, un service DEN privé virtuel (VPLS), la liaison secondaire utilise l’accès Internet haut débit via Ethernet. La liaison de secours utilise un réseau cellulaire LTE.

Les liaisons principales et secondaires fonctionnent en mode actif/actif. Le modem LTE n’est pas utilisé sauf si les liaisons primaires et secondaires tombent en panne.

Le commutateur EX4300-24P utilisé dans cet exemple se connecte à l’équipement SRX et fournit la fonctionnalité de pontage de couche 2 filaire pour la filiale. Un châssis virtuel (VC) de plusieurs commutateurs EX2300, EX3400 et EX4300 prend en charge une densité de ports plus élevée pour les filiales plus importantes. Pour un accès sans fil, nous connectons un point d’accès Juniper Mist AP61 au commutateur EX.

Le Mist Cloud de Juniper provisionne rapidement le commutateur EX Series et le point d’accès Mist pour la connectivité de filiale souhaitée une fois que la filiale dispose de l’accès Internet requis.

Note:

Plusieurs passerelles de services SRX sont prises en charge dans cet exemple. Nous commençons par une configuration par défaut modifiée en usine pour un SRX550. La configuration par défaut définie en usine peut varier d’un modèle SRX à l’autre. Le lecteur doit s’assurer que sa configuration SRX correspond aux spécificités de sa topologie.

L’exemple comprend trois sections principales :

• Tout d’abord, vous effectuez la configuration initiale sur les modèles SRX et EX. Cette configuration fournit un accès Internet au site de la filiale (avec S-NAT) pour l’EX, le point d’accès Mist et les VLAN des filiales.

• Ensuite, vous utilisez Juniper Mist Cloud pour provisionner le commutateur EX et le point d’accès Mist afin de provisionner la connectivité sans fil des réseaux VLAN des filiales.

• Dans la dernière partie, vous configurez la passerelle de services SRX afin de fournir un routage avancé basé sur des stratégies (APBR) afin de prendre en charge la qualité de l’expérience applicative (AppQoE). Cette configuration mappe le trafic professionnel au lien souhaité et implémente des sondes SLA pour déterminer quand le trafic doit tomber sur une liaison de secours. Cette stratégie active également le modem LTE lorsque les liaisons primaires et secondaires ne respectent pas les SLA associés.

La figure 1 illustre la topologie des filiales.

La figure 2 illustre l’exemple de réseau de gestion pour les filiales. Dans cet exemple, nous nous appuyons sur l’accès à la console. Les équipements SRX et EX prennent en charge un réseau de gestion basé sur Ethernet. Le point d’accès Mist ne peut être géré que via le cloud.

Notre topologie présente la disposition matérielle suivante sur l’équipement SRX Series :

• Une configuration de base minimale est chargée sur le SRX. Une section ultérieure fournit la base de départ.

• L’emplacement 1 de l’équipement SRX Series contient un mini-PIM LTE.

• Le logement 1 du mini-PIM LTE est doté d’une carte SIM.

• L’interface ge-0/0/3 se connecte à la liaison WAN principale.

• L’interface ge-0/0/2 se fixe à la liaison Internet haut débit.

• L’interface cl-1/0/0 identifie l’emplacement du mini-PIM de modem.

• La liaison sur le réseau cellulaire se termine sur l’interface dl0.0.

• L’interface ge-0/0/2 reçoit son adresse IP, son masque réseau et sa passerelle par défaut via DHCP. Vous configurez une adresse IP statique et un routage par défaut sur l’interface WAN privée (ge-0/0/3) compatible avec le fournisseur WAN.

• Le fournisseur de services cellulaires attribue l’adresse IP, le masque réseau et la passerelle par défaut à l’interface LTE (cl-1/0/0).

Sur le commutateur EX, nous avons la disposition suivante :

• Une configuration par défaut définie en usine est chargée et modifiée avec un mot de passe racine pour permettre à la configuration par défaut de valider.

• L’interface ge-0/0/1 du commutateur EX se connecte à l’interface ge-0/0/4 du SRX.

• L’interface ETH0 du point d’accès Mist se connecte à ge-0/0/5 du commutateur EX.

Le point d’accès Mist présente la disposition suivante :

• L’interface du point d’accès ETH0 se connecte à ge-0/0/5 du commutateur EX.

Note:

Vous devez configurer et gérer le point d’accès Mist via Juniper Mist Cloud. Vous configurez le point d’accès Mist à l’aide de Juniper Mist Cloud dans la deuxième partie de cet exemple.

Nous configurons deux zones de sécurité sur l’équipement SRX, une zone de sécurité sécurisée nommée trust et une zone de sécurité non sécurisée nommée untrust. En disposant d’interfaces dans différentes zones de sécurité, nous dissocions le trafic et atténuons les risques pour l’intranet de l’entreprise. Les zones de sécurité sont utilisées pour mettre en œuvre des stratégies de sécurité claires et simplifiées. Nous hébergeons des interfaces avec accès à Internet dans la untrust zone. La liaison WAN privée et les autres interfaces internes de l’Intranet d’entreprise sont dans la trust zone. Alors qu’il existe cinq VLAN, seuls trois peuvent être acheminés hors du site distant. Vous configurez également un VLAN restreint et par défaut. Les VLAN sont les suivants :

• Le VLAN 1 est le VLAN par défaut sur l’équipement SRX. Ce paramètre établit un correspondance entre le SRX et le VLAN par défaut en usine sur le commutateur EX.

• Les appareils IoT utilisent le VLAN 20. Les équipements IoT sont couramment utilisés pour l’éclairage et les contrôleurs CVC.

• Les caméras de surveillance utilisent le VLAN 30.

• Les équipements filaires d’entreprise utilisent le VLAN 40.

• Le VLAN 99 fonctionne comme un VLAN restreint pour tous les ports filaires inutilisés et pour les ports utilisant le profilage dynamique. Ce VLAN n’est pas configuré sur l’équipement SRX. Il en résulte un VLAN non routable avec une portée locale uniquement sur le site.

  Le profilage dynamique est utilisé dans cet exemple. Les ports non configurés commencent dans le VLAN 99. Le port du commutateur est reconfiguré pour le VLAN associé lorsque Juniper Mist Cloud reconnaît l’équipement.

Pour plus d’informations sur les interfaces, les zones de sécurité et les stratégies de sécurité configurées sur le SRX, reportez-vous aux figures 3 et 1 .

Le tableau 1 détaille la stratégie de sécurité SRX et le comportement attendu des flux de trafic entre les zones sécurisées et non sécurisées.

Tableau 1 : Stratégies de sécurité pour les zones

Depuis la zone	Vers la zone	Comportement des stratégies de sécurité pour autoriser le trafic
Confiance	Confiance	Non
Untrust	Untrust	Non
Confiance	Untrust	Oui
Untrust	Confiance	Initié par la confiance uniquement.

Le tableau 2 répertorie le VLAN et les informations d’adresse IP pour les interfaces sur le SRX.

Tableau 2 : VLAN d’interface et leur adressage IP

Interface	VLAN ID	Adresse IP	Masque de réseau
cl-1/0/0	—	Attribué par le fournisseur de services	—
ge-0/0/2	—	172.16.1.10 (DHCP)	255.255.255.0
ge-0/0/3	—	192.168.220.2	255.255.255.0
ge-0/0/4.0	1	192.168.1.1	255.255.255.0
ge-0/0/4.20	20	10.10.20.1	255.255.255.0
ge-0/0/4.30	30	10.10.30.1	255.255.255.0
ge-0/0/4.40	40	10.10.40.1	255.255.255.0

Le tableau 3 répertorie les VLAN, l’utilisation et le type de port utilisés dans cet exemple. Tous les autres ports de l’équipement SRX Series et du commutateur EX sont des ports VLAN non marqués.

Tableau 3 : Utilisation du VLAN

VLAN	VLAN ID	Nom	Type de port SRX vers EX	Utilisation
vlan1	1	Par défaut	non marqué/natif	Utilisé par l’équipement SRX, le commutateur EX et les points d’accès pour la gestion.
vlan20	20	IoT	Tag	Utilisé par les appareils IoT.
vlan30	30	Sécurité	Tag	Utilisé par les caméras de surveillance.
vlan40	40	Entreprise	Tag	Utilisé par les employés.
vlan99	99	Restreint	Tag	Par défaut pour tous les autres ports. Prend en charge le profilage dynamique pour réaffecter les équipements reconnus à un VLAN routable.

Assurez-vous que votre passerelle de services SRX dispose d’une base fonctionnelle compatible avec la topologie de l’exemple. Les paramètres par défaut définis en usine peuvent varier en fonction du modèle SRX. Un certain nombre d’équipements SRX prennent en charge cet exemple. Compte tenu de ces variances, il est plus facile de documenter la solution en supposant la base fonctionnelle indiquée ci-dessous.

Suivez ces étapes pour charger votre configuration de base SRX.

1. Après avoir enregistré votre configuration existante, supprimez-la pour la relancer. Voici un exemple :

2. Attribuez un mot de passe racine solide. Celui ci-dessous est disponible uniquement à des fins de documentation.

3. Copiez et collez les commandes de configuration de base ci-dessous dans un éditeur de texte et modifiez-les selon les besoins pour s’adapter à votre environnement. Chargez vos commandes modifiées dans l’interface de ligne de commande à l’aide de la commande mode load set terminal de configuration.

4. Validez la configuration de base :

Pointe:

Lorsque vous apportez des modifications à l’authentification système ou à l’accès à la gestion, envisagez d’utiliser commit confirmed. La configuration restaurera automatiquement l’accès distant, ce qui entraînera une isolation de l’équipement.

La base de base fournit cette fonctionnalité :

• Un nom d’hôte système et une authentification de l’utilisateur racine.

• Nous conservons les paramètres par défaut définis en usine pour le mini-PIM LTE (cl-1/0/0) et les interfaces commuteurs dl0.0.

• Vous configurez un nom de domaine publiquement accessible et un serveur NTP, ainsi que le fuseau horaire local.

• Vous modifiez l’aubaine de journalisation du système par défaut pour inclure des informations relatives aux sessions. Les détails sur les sessions bloquées et acceptées sont utiles si vous devez déboguer les problèmes de connectivité sur une passerelle de services SRX.

• Paramètres de base de la zone de sécurité avec définition des zones de confiance et de non-confiance. Nous utilisons la règle NAT source dans cet exemple. La règle NAT par défaut définie en usine est laissée dans la ligne de base pour enregistrer quelques saisies plus tard.

1. Créez des VLAN pour les quatre types d’équipements de filiale qui se connectent à l’intranet de l’entreprise. Vous créez également un VLAN d’infrastructure utilisé pour prendre en charge l’attribution d’adresses DHCP au commutateur EX et au point d’accès Mist. L’interface ge-0/0/4 est attribuée au VLAN d’infrastructure. Voir tableau 3.

2. Configurez l’interface ge-0/0/4 utilisée pour fournir des services DHCP au commutateur EX et au point d’accès Mist. Cette configuration définit l’interface comme un tronc avec un balisage VLAN flexible pour prendre en charge un mélange de trafic non marqué et balisé. Dans cet exemple, le VLAN 1 est utilisé comme un VLAN natif qui ne porte pas de balise VLAN.

3. Configurez un sous-réseau IP pour chaque VLAN sur l’interface d’agrégation SRX conformément au tableau 2.

4. Configurez un pool d’adresses DHCP utilisé pour attribuer des adresses IP au commutateur EX et au point d’accès Mist. Configurez l’interface ge-0/0/4.0 comme serveur DHCP

5. Créez un serveur DHCP et un pool d’adresses IP pour l’affectation aux équipements sur vlan20. Configurer l’interface ge-0/0/4.20 comme adresse serveur DHCP

6. Créez un serveur DHCP et un pool d’adresses IP pour l’affectation aux équipements sur vlan30. Configurer l’interface ge-0/0/4.30 comme adresse serveur DHCP

7. Créez un serveur DHCP et un pool d’adresses IP pour l’affectation aux équipements sur vlan40. Configurer l’interface ge-0/0/4.40 comme adresse de serveur DHCP

8. Placez les interfaces ge-0/0/3 et ge-0/0/4 dans la zone de confiance. L’interface ge-0/0/4 fonctionne comme un tronc. Assurez-vous d’inclure toutes les unités logiques configurées.

   Note:

   Rappelez-vous dans cet exemple que la configuration de base de SRX comporte un ensemble de zones de confiance permettant d’autoriser tous les protocoles et services entrants de l’hôte. Si vous le souhaitez, vous pouvez restreindre les services entrants de l’hôte à dhcp et ICMP uniquement. Cela permet l’attribution d’adresses DHCP et les tests ping suivants entre le commutateur EX et la passerelle de services SRX.

9. Placez l’interface ge-0/0/2 utilisée pour accéder à Internet haut débit dans la zone non sécurisée.

10. Configurez l’interface ge-0/0/3 qui se connecte au fournisseur WAN privé. Incluez une description pour indiquer son rôle comme lien vers le WAN privé utilisé principalement pour le trafic stratégique de l’entreprise.

11. Vous configurez une route statique par défaut pour la liaison WAN privée qui pointe vers le WAN privé pour le trafic non local. Cette route a une préférence modifiée pour s’assurer qu’elle est moins privilégiée que la route par défaut apprise via DHCP sur la liaison Internet haut débit. La préférence modifiée permet au SRX de router le trafic non classifié sur la liaison Internet haut débit lorsqu’il est opérationnel. Si vous le souhaitez, vous pouvez définir une préférence de 12 pour que les deux routes par défaut équivauent aux coûts, puis équilibrer la charge du trafic non classifié.

12. Placez l’interface ge-0/0/2 dans la zone non sécurisée.

13. Configurez l’interface ge-0/0/2 qui se connecte au fournisseur d’accès Internet haut débit. Inclure une description pour indiquer son rôle en tant que lien Internet haut débit et configurer l’interface comme client DHCP. Cette interface reçoit à la fois une adresse IP et un routage par défaut via le serveur DHCP du fournisseur Internet.

14. Configurez la zone non fiable pour prendre en charge DHCP et ping. L’attribution d’adresse basée sur DHCP est utilisée sur la liaison Internet haut débit.

    Note:

    Les interfaces non fiables reçoivent un routage par défaut via DHCP ou via le fournisseur de services cellulaires pour la liaison LTE.

15. Vous configurez une stratégie NAT pour le trafic circulant entre les interfaces dans la zone de confiance. La stratégie prend en charge le trafic VLAN sur la liaison WAN privée. La base de départ SRX inclut une règle NAT par défaut définie en usine pour le trafic entre la confiance et les zones non fiables. Cette stratégie par défaut prend en charge le trafic VLAN envoyé à l’Internet haut débit ou aux interfaces LTE.

16. Créez un carnet d’adresses et une stratégie de sécurité pour autoriser le trafic entre les zones sécurisées et non sécurisées. Assurez-vous d’inclure les sous-réseaux réseau des quatre VLAN et d’inclure les applications prises en charge dans la stratégie. Vous autorisez toutes les applications tant que le trafic provient d’un des VLAN de la filiale.

17. Configurez l’interface du modem (LTE-MPIM) et activez l’emplacement à l’aide de la carte SIM insérée.

    Note:

    La base SRX a conservé certains paramètres d’interface du modem à partir d’une configuration par défaut définie en usine.

18. Configurez l’interface commuter. Assurez-vous de supprimer l’option d’appel par défaut définie en always-on usine de la configuration. Nous nous attendons à ce que la liaison LTE soit activée à la demande uniquement lorsque le WAN privé et les liaisons Internet haut débit sont en panne.

    Note:

    Nous conservons certains des paramètres d’appel par défaut définis en usine dans la configuration de base de départ SRX. Vous assurez-vous de supprimer l’option always-on d’appel de la ligne de base de départ. Il n’y a aucun mal à essayer de supprimer une instruction de configuration qui n’existe pas. La suppression explicite de cette option empêche toute activation indésirable de la liaison de modem LTE. L’activation du modem LTE a souvent un impact sur la facturation.

19. Validez la configuration sur l’équipement SRX.

20. Définissez le nom du point d’accès (APN) pour la carte SIM dans le modem (LTE-MPIM).

Dans cette section, vous chargez et validez une configuration par défaut définie en usine sur le commutateur EX. Cette configuration se traduit par une interface IRB configurée en tant que client DHCP avec tous les ports de commutation appartenant au VLAN par défaut (ID VLAN 1). Grâce à cette configuration, le commutateur EX et le point d’accès Mist peuvent obtenir une adresse DHCP attribuée par le SRX. L’adresse IP provient du pool d’adresses 192.168.1.2-254/24.

Note:

Si vous le souhaitez, vous pouvez zeroiser le commutateur EX plutôt que de charger une charge par défaut définie en usine. Un mot de passe racine n’est pas requis lorsque vous zeroizez l’équipement. Si vous optez pour la méthode de zeroize, vous verrez des messages de provisionnement sans intervention (ZTP) sur la console. Vous pouvez entrer dans le mode de configuration et émettre le delete chassis auto-image-upgrade problème suivi par un commit pour empêcher ces messages.

Quelle que soit la méthode utilisée, une fois sous le contrôle de Juniper Mist Cloud, un mot de passe racine sera (reconfiguré).

1. Accédez au commutateur EX à l’aide de la console et chargez la configuration par défaut définie en usine.

2. Attribuez un mot de passe racine solide. Celui ci-dessous est disponible uniquement à des fins de documentation.

3. Valider la configuration par défaut modifiée en usine :

   Note:

   Après le chargement d’une fonction par défaut définie en usine, le nom de l’hôte précédemment assigné reste en vigueur jusqu’au redémarrage du commutateur EX.

À ce stade, le SRX doit disposer d’une connectivité à la fois sur le WAN privé et sur les fournisseurs d’Internet haut débit. En outre, il aurait dû attribuer des adresses IP au commutateur EX et au point d’accès Mist du pool d’adresses 192.168.1.0/24. La configuration DCHP fournie aux points d’accès et ex comprend un serveur de noms de domaine et un routage par défaut.

Vous configurez le SNAT pour le trafic entre les zones de confiance et de non-confiance, ainsi que pour le trafic entre les interfaces de la zone de confiance.

• But
• Action
• Sens

• But
• Action
• Sens

• But
• Action
• Sens