NAT-T를 사용하는 경로 기반 및 정책 기반 VPN
NAT-T(네트워크 주소 변환 Traversal)는 IPsec에 의해 보호되는 데이터가 주소 변환을 위해 네트워크 주소 변환(NAT)을 사용해 구성된 디바이스를 통과할 때 발생하는 IP 주소 변환 관련 문제를 관리하는 데 사용되는 방법입니다.
NAT-T 이해하기
NAT-T(네트워크 주소 변환-Traversal)는 IPsec에 의해 보호되는 데이터가 주소 변환을 위해 네트워크 주소 변환(NAT) 디바이스를 통과할 때 발생하는 IP 주소 변환 문제를 해결하는 방법입니다. NAT의 기능인 네트워크 주소 변경으로 IKE(Internet Key Exchange)는 패킷을 삭제합니다. 1단계 교환 중 데이터 경로를 따라 하나 이상의 네트워크 주소 변환(NAT) 디바이스를 감지한 후, NAT-T는 IPsec 패킷에 UDP(User Datagram Protocol) 캡슐화의 레이어를 추가하므로 해당 패킷은 주소 변환 후 삭제되지 않습니다. NAT-T는 소스 및 대상 포트 모두로 사용되는 포트 4500과 함께 UDP 내에서 IKE와 ESP 트래픽 모두를 캡슐화합니다. 네트워크 주소 변환(NAT) 디바이스가 교착 UDP 변환을 만료시키므로 피어 간 keepalive 메시지가 필요합니다.
NAT-T가 기본적으로 활성화되므로, NAT-T를 비활성화하기 위해 서는 [edit security ike gateway gateway-name계층 수준에서 no-nat-traversal문을 사용해야 합니다.
두 가지 광범위한 네트워크 주소 변환(NAT) 범주가 있습니다.
정적 네트워크 주소 변환(NAT), 프라이빗 주소와 퍼블릭 주소 사이에 일대일 관계가 있습니다. 정적 NAT는 인바운드 및 아웃바운드 방향에서 모두 작동합니다.
동적 네트워크 주소 변환(NAT), 프라이빗 주소와 퍼블릭 주소 사이에 다대일 또는 다대다 관계가 있습니다. 동적 NAT는 아웃바운드 방향으로만 작동합니다.
네트워크 주소 변환(NAT) 디바이스의 위치는 다음과 같을 수 있습니다.
IKEv1 또는 IKEv2 개시자만이 네트워크 주소 변환(NAT) 디바이스 뒤에 있습니다. 여러 개시자가 분리된 네트워크 주소 변환(NAT) 디바이스 뒤에 있을 수 있습니다. 개시자는 또한 여러 네트워크 주소 변환(NAT) 디바이스를 통해 응답자와 연결할 수 있습니다.
IKEv1 또는 IKEv2 응답자만이 네트워크 주소 변환(NAT) 디바이스 뒤에 있습니다.
IKEv1 또는 IKEv2 개시자와 응답자가 모두 네트워크 주소 변환(NAT) 디바이스 뒤에 있습니다.
동적 엔드포인트 VPN은 개시자의 IKE 외부 주소가 고정되지 않아서 응답자가 알 수 없는 상황을 다룹니다. 이것은 개시자의 주소가 ISP에 의해 동적으로 할당되거나 개시자의 연결이 동적 주소 풀에서 주소를 할당하는 동적 네트워크 주소 변환(NAT) 디바이스를 교차할 때 발생할 수 있습니다.
NAT-T의 구성 예는 응답자만 네트워크 주소 변환(NAT) 디바이스의 뒤에 있는 토폴로지와 개시자와 응답자 모두 NAT 디바이스 뒤에 있는 토폴로지에 제공됩니다. NAT-T에 대한 사이트 간 IKE(Internet Key Exchange) 게이트웨이 구성은 개시자 및 응답자 모두에게 지원됩니다. 원격 IKE(Internet Key Exchange) ID는 IKE(Internet Key Exchange) 터널 협상의 1단계 동안 피어의 로컬 IKE ID를 검증하는 데 사용됩니다. 개시자 및 응답자 모두에게 local-identity 및 remote-identity 설정이 필요합니다.
SRX5400, SRX5600 및 SRX5800 디바이스에서 IPsec NAT-T 터널 크기 조정 및 지속 문제는 다음과 같습니다.
주어진 프라이빗 IP 주소에 대해 네트워크 주소 변환(NAT) 디바이스는 500 및 4500 프라이빗 포트를 모두 동일한 퍼블릭 IP 주소로 변환해야 합니다.
주어진 퍼블릭 변환 IP의 터널 수는 1000개를 초과할 수 없습니다.
Junos OS 릴리스 19.2R1부터 NAT-T에 대한 PMI(PowerMode IPSec)는 SRX5K-SPC3 SPC(Services Processing Card)를 탑재한 SRX5400, SRX5600 및 SRX5800 디바이스와 vSRX 가상 방화벽에서 지원됩니다.
참조
예: 네트워크 주소 변환(NAT) 디바이스 뒤에 있는 응답자를 사용하여 경로 기반 VPN 구성
이 예제에는 지사와 기업 본사 간의 네트워크 주소 변환(NAT) 디바이스 뒤에 있는 응답자를 사용하여 경로 기반 VPN을 구성하는 방법이 제시되어 있습니다.
요구 사항
시작하기 전에 IPsec 개요을(를) 읽으십시오.
개요
이 예제에서 경로 기반 VPN을 구성합니다. Host1은 VPN을 사용하여 SRX2에 기업 본사를 연결합니다.
그림 1에는 네트워크 주소 변환(NAT) 디바이스 뒤에 응답자만 있는 루트 기반 VPN의 토폴로지에 대한 예가 제시되어 있습니다.
이 예제에서, SRX1의 개시자와 SRX2의 응답자 모두에 대한 인터페이스, IPSec 및 보안 정책을 구성합니다. 그런 다음 IKE(Internet Key Exchange) 1단계 및 IPSec 2단계 매개 변수를 구성합니다.
SRX1은 대상 주소가 172.16.21.1인 패킷을 전송하여 VPN을 수립합니다.네트워크 주소 변환(NAT) 디바이스는 대상 주소를 10.1.31.1로 변환합니다.
예제에서 개시자에 사용하는 특정 구성 매개 변수는 표 1~표 3을(를) 참조하십시오.
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
|
인터페이스 |
ge-0/0/1 |
172.16.11.1/24 |
|
ge-0/0/0 |
10.1.11.1/24 |
|
|
st0.0(터널 인터페이스) |
10.1.100.1/24 |
|
|
정적 라우팅 |
10.1.21.0/24 |
다음 홉은 st0.0입니다. |
|
172.16.21.1/32 |
다음 홉은 172.16.11.2입니다. |
|
|
보안 존 |
untrust |
|
|
신뢰 |
|
|
|
보안 정책 |
SRX2로 |
트러스트 영역의 10.1.11.0/24에서 언트러스트 영역의 10.1.21.0/24까지 트래픽을 허용합니다. |
|
-SRX2에서 |
언트러스트의 10.1.21.0/24에서 트러스트 영역의 10.1.11.0/24까지 트래픽을 허용합니다. |
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
|
제안 |
ike_prop |
|
|
정책 |
ike_pol |
|
|
게이트웨이 |
gw1 |
|
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
|
제안 |
ipsec_prop |
|
|
정책 |
ipsec_pol |
|
|
VPN |
vpn1 |
|
예제에서 응답자에 사용하는 특정 구성 매개 변수는 표 4~표 6을(를) 참조하십시오.
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
|
인터페이스 |
ge-0/0/1 |
10.1.31.1/24 |
|
ge-0/0/0 |
10.1.21.1/24 |
|
|
st0.0(터널 인터페이스) |
10.1.100.2/24 |
|
|
정적 라우팅 |
172.16.11.1/32 |
다음 홉은 10.1.31.2입니다. |
|
10.1.11.0/24 |
다음 홉은 st0.0입니다. |
|
|
보안 존 |
untrust |
|
|
신뢰 |
|
|
|
보안 정책 |
SRX1로 |
트러스트 영역의 10.1.21.0/24에서 언트러스트 영역의 10.1.11.0/24까지 트래픽을 허용합니다. |
|
-SRX1에서 |
트러스트 영역의 10.1.11.0/24에서 언트러스트 영역의 10.1.21.0/24까지 트래픽을 허용합니다. |
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
|
제안 |
ike_prop |
|
|
정책 |
ike_pol |
|
|
게이트웨이 |
gw1 |
|
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
|
제안 |
ipsec_prop |
|
|
정책 |
ipsec_pol |
|
|
VPN |
vpn1 |
|
구성
- SRX1에 대한 인터페이스, 라우팅 옵션 및 보안 매개 변수 구성
- SRX1에 대한 IKE(Internet Key Exchange) 구성
- SRX1에 대한 IPsec 구성
- SRX2에 대한 인터페이스, 라우팅 옵션 및 보안 매개 변수
- SRX2에 대한 IKE(Internet Key Exchange) 구성
- SRX2에 대한 IPsec 구성
- 네트워크 주소 변환(NAT) 디바이스 구성
SRX1에 대한 인터페이스, 라우팅 옵션 및 보안 매개 변수 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security address-book book1 address Host1 10.1.11.0/24 set security address-book book1 attach zone trust set security address-book book2 address Host2 10.1.21.0/24 set security address-book book2 attach zone untrust set security policies from-zone trust to-zone untrust policy to-SRX2 match source-address Host1 set security policies from-zone trust to-zone untrust policy to-SRX2 match destination-address Host2 set security policies from-zone trust to-zone untrust policy to-SRX2 match application any set security policies from-zone trust to-zone untrust policy to-SRX2 then permit set security policies from-zone untrust to-zone trust policy from-SRX2 match source-address Host2 set security policies from-zone untrust to-zone trust policy from-SRX2 match destination-address Host1 set security policies from-zone untrust to-zone trust policy from-SRX2 match application any set security policies from-zone untrust to-zone trust policy from-SRX2 then permit set security zones security-zone untrust host-inbound-traffic system-services ike set security zones security-zone untrust host-inbound-traffic system-services ping set security zones security-zone untrust interfaces st0.0 set security zones security-zone untrust interfaces ge-0/0/1.0 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/0.0 set interfaces ge-0/0/0 unit 0 family inet address 10.1.11.1/24 set interfaces ge-0/0/1 unit 0 family inet address 172.16.11.1/24 set interfaces st0 unit 0 family inet address 10.1.100.1/24 set routing-options static route 10.1.21.0/24 next-hop st0.0 set routing-options static route 172.16.21.1/32 next-hop 172.16.11.2
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
인터페이스, 고정 라우트 및 보안 매개 변수 구성 방법:
-
VPN에 사용하는 인터넷, Host1 및 인터페이스에 연결된 인터페이스를 구성합니다.
[edit] user@SRX1# set interfaces ge-0/0/0 unit 0 family inet address 10.1.11.1/24 user@SRX1# set interfaces ge-0/0/1 unit 0 family inet address 172.16.11.1/24 user@SRX1# set interfaces st0 unit 0 family inet address 10.1.100.1/24
-
VPN을 사용할 트래픽과 SRX1이 네트워크 주소 변환(NAT) 디바이스에 연결할 정적 경로를 구성합니다.
[edit] user@SRX1# set routing-options static route 10.1.21.0/24 next-hop st0.0 user@SRX1# set routing-options static route 172.16.21.1/32 next-hop 172.16.11.2
-
언트러스트(untrust) 보안 영역을 구성합니다.
[edit] user@SRX1# set security zones security-zone untrust host-inbound-traffic system-services ike user@SRX1# set security zones security-zone untrust host-inbound-traffic system-services ping user@SRX1# set security zones security-zone untrust interfaces st0.0 user@SRX1# set security zones security-zone untrust interfaces ge-0/0/1.0
-
트러스트 보안 영역을 구성합니다.
[edit] user@SRX1# set security zones security-zone trust host-inbound-traffic system-services all user@SRX1# set security zones security-zone trust host-inbound-traffic protocols all user@SRX1# set security zones security-zone trust interfaces ge-0/0/0.0
-
보안 정책에 사용하는 네트워크에 대한 주소록을 구성합니다.
[edit] user@SRX1# set security address-book book1 address Host1 10.1.11.0/24 user@SRX1# set security address-book book1 attach zone trust user@SRX1# set security address-book book2 address Host2 10.1.21.0/24 user@SRX1# set security address-book book2 attach zone untrust
-
호스트 간의 트래픽을 허용하는 보안 정책을 만듭니다.
[edit] user@SRX1# set security policies from-zone trust to-zone untrust policy to-SRX2 match source-address Host1 user@SRX1# set security policies from-zone trust to-zone untrust policy to-SRX2 match destination-address Host2 user@SRX1# set security policies from-zone trust to-zone untrust policy to-SRX2 match application any user@SRX1# set security policies from-zone trust to-zone untrust policy to-SRX2 then permit user@SRX1# set security policies from-zone untrust to-zone trust policy from-SRX2 match source-address Host2 user@SRX1# set security policies from-zone untrust to-zone trust policy from-SRX2 match destination-address Host1 user@SRX1# set security policies from-zone untrust to-zone trust policy from-SRX2 match application any user@SRX1# set security policies from-zone untrust to-zone trust policy from-SRX2 then permit
결과
구성 모드에서 show interfaces, show routing-options및 show security명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@SRX1# show interfaces
ge-0/0/0 {
unit 0 {
family inet {
address 10.1.11.1/24;
}
}
}
ge-0/0/1 {
unit 0 {
family inet {
address 172.16.11.1/24;
}
}
}
st0 {
unit 0 {
family inet {
address 10.1.100.1/24;
}
}
}[edit]
user@SRX1# show routing-options
static {
route 10.1.21.0/24 next-hop st0.0;
route 172.16.21.1/32 next-hop 172.16.11.2;
}[edit]
user@SRX1# show security
address-book {
book1 {
address Host1 10.1.11.0/24;
attach {
zone trust;
}
}
book2 {
address Host2 10.1.21.0/24;
attach {
zone untrust;
}
}
}
policies {
from-zone trust to-zone untrust {
policy to-SRX2 {
match {
source-address Host1;
destination-address Host2;
application any;
}
then {
permit;
}
}
}
from-zone untrust to-zone trust {
policy from-SRX2 {
match {
source-address Host2;
destination-address Host1;
application any;
}
then {
permit;
}
}
}
}
zones {
security-zone untrust {
host-inbound-traffic {
system-services {
ike;
ping;
}
}
interfaces {
st0.0;
ge-0/0/1.0;
}
}
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/0.0;
}
}
}디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
SRX1에 대한 IKE(Internet Key Exchange) 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security ike proposal ike_prop authentication-method pre-shared-keys set security ike proposal ike_prop dh-group group2 set security ike proposal ike_prop authentication-algorithm sha1 set security ike proposal ike_prop encryption-algorithm 3des-cbc set security ike policy ike_pol mode main set security ike policy ike_pol proposals ike_prop set security ike policy ike_pol pre-shared-key ascii-text “$ABC123” set security ike gateway gw1 ike-policy ike_pol set security ike gateway gw1 address 172.16.21.1 set security ike gateway gw1 local-identity user-at-hostname "srx1@example.com" set security ike gateway gw1 remote-identity user-at-hostname "srx2@example.com" set security ike gateway gw1 external-interface ge-0/0/1.0
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
IKE(Internet Key Exchange) 구성:
-
IKE(Internet Key Exchange) 1단계 제안을 만듭니다.
[edit] user@SRX1# set security ike proposal ike_prop authentication-method pre-shared-keys user@SRX1# set security ike proposal ike_prop dh-group group2 user@SRX1# set security ike proposal ike_prop authentication-algorithm sha1 user@SRX1# set security ike proposal ike_prop encryption-algorithm 3des-cbc
-
IKE(Internet Key Exchange) 1단계 정책을 생성합니다.
[edit] user@SRX1# set security ike policy ike_pol mode main user@SRX1# set security ike policy ike_pol proposals ike_prop user@SRX1# set security ike policy ike_pol pre-shared-key ascii-text “$ABC123”
-
IKE(Internet Key Exchange) 1단계 게이트웨이 매개 변수를 구성합니다. 게이트웨이 주소는 네트워크 주소 변환(NAT) 디바이스 IP이어야 합니다.
[edit security ike gateway gw1] user@SRX1# set security ike gateway gw1 ike-policy ike_pol user@SRX1# set security ike gateway gw1 address 172.16.21.1 user@SRX1# set security ike gateway gw1 local-identity user-at-hostname "srx1@example.com" user@SRX1# set security ike gateway gw1 remote-identity user-at-hostname "srx2@example.com" user@SRX1# set security ike gateway gw1 external-interface ge-0/0/1.0
결과
구성 모드에서 show security ike 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@SRX1# show security ike
proposal ike_prop {
authentication-method pre-shared-keys;
dh-group group2;
authentication-algorithm sha1;
encryption-algorithm 3des-cbc;
}
policy ike_pol {
mode main;
proposals ike_prop;
pre-shared-key ascii-text “$9$xPn7-VwsgaJUHqp01IcSs2g”; ## SECRET-DATA
}
gateway gw1 {
ike-policy ike_pol;
address 172.16.21.1;
local-identity user-at-hostname "srx1@example.com";
remote-identity user-at-hostname "srx2@example.com";
external-interface ge-0/0/1.0;
}디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
SRX1에 대한 IPsec 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security ipsec proposal ipsec_prop protocol esp set security ipsec proposal ipsec_prop authentication-algorithm hmac-sha1-96 set security ipsec proposal ipsec_prop encryption-algorithm 3des-cbc set security ipsec policy ipsec_pol perfect-forward-secrecy keys group2 set security ipsec policy ipsec_pol proposals ipsec_prop set security ipsec vpn vpn1 bind-interface st0.0 set security ipsec vpn vpn1 ike gateway gw1 set security ipsec vpn vpn1 ike ipsec-policy ipsec_pol set security ipsec vpn vpn1 establish-tunnels immediately
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
IPsec 구성:
-
IPsec 2단계 제안을 만듭니다.
[edit] user@SRX1# set security ipsec proposal ipsec_prop protocol esp user@SRX1# set security ipsec proposal ipsec_prop authentication-algorithm hmac-sha1-96 user@SRX1# set security ipsec proposal ipsec_prop encryption-algorithm 3des-cbc
-
IPsec 2단계 정책을 생성합니다.
[edit] user@SRX1# set security ipsec policy ipsec_pol perfect-forward-secrecy keys group2 user@SRX1# set security ipsec policy ipsec_pol proposals ipsec_prop
-
IPSec VPN 매개 변수를 구성합니다.
[edit] user@SRX1# set security ipsec vpn vpn1 bind-interface st0.0 user@SRX1# set security ipsec vpn vpn1 ike gateway gw1 user@SRX1# set security ipsec vpn vpn1 ike ipsec-policy ipsec_pol user@SRX1# set security ipsec vpn vpn1 establish-tunnels immediately
결과
구성 모드에서 show security ipsec 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@SRX1# show security ipsec
proposal ipsec_prop {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy ipsec_pol {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec_prop;
}
vpn vpn1 {
bind-interface st0.0;
ike {
gateway gw1;
ipsec-policy ipsec_pol;
}
establish-tunnels immediately;
}디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
SRX2에 대한 인터페이스, 라우팅 옵션 및 보안 매개 변수
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security address-book book1 address Host2 10.1.21.0/24 set security address-book book1 attach zone trust set security address-book book2 address Host1 10.1.11.0/24 set security address-book book2 attach zone untrust set security policies from-zone trust to-zone untrust policy to-SRX1 match source-address Host2 set security policies from-zone trust to-zone untrust policy to-SRX1 match destination-address Host1 set security policies from-zone trust to-zone untrust policy to-SRX1 match application any set security policies from-zone trust to-zone untrust policy to-SRX1 then permit set security policies from-zone untrust to-zone trust policy from-SRX1 match source-address Host1 set security policies from-zone untrust to-zone trust policy from-SRX1 match destination-address Host2 set security policies from-zone untrust to-zone trust policy from-SRX1 match application any set security policies from-zone untrust to-zone trust policy from-SRX1 then permit set security zones security-zone untrust host-inbound-traffic system-services ike set security zones security-zone untrust host-inbound-traffic system-services ping set security zones security-zone untrust interfaces ge-0/0/1.0 set security zones security-zone untrust interfaces st0.0 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/0.0 set interfaces ge-0/0/0 unit 0 family inet address 10.1.21.1/24 set interfaces ge-0/0/1 unit 0 family inet address 10.1.31.1/24 set interfaces st0 unit 0 family inet address 10.1.100.2/24 set routing-options static route 172.16.11.1/32 next-hop 10.1.31.2 set routing-options static route 10.1.11.0/24 next-hop st0.0
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
인터페이스, 고정 라우트 및 보안 매개 변수 구성 방법:
-
VPN에 사용하는 인터넷, Host2 및 인터페이스에 연결된 인터페이스를 구성합니다.
[edit] user@SRX2# set interfaces ge-0/0/0 unit 0 family inet address 10.1.21.1/24 user@SRX2# set interfaces ge-0/0/1 unit 0 family inet address 10.1.31.1/24 user@SRX2# set interfaces st0 unit 0 family inet address 10.1.100.2/24
-
VPN을 사용할 트래픽과 SRX2이 SRX1에 연결할 정적 경로를 구성합니다.
[edit] user@SRX2# set routing-options static route 172.16.11.1/32 next-hop 10.1.31.2 user@SRX2# set routing-options static route 10.1.11.0/24 next-hop st0.0
-
언트러스트(untrust) 보안 영역을 구성합니다.
[edit] user@SRX2# set security zones security-zone untrust host-inbound-traffic system-services ike user@SRX2# set security zones security-zone untrust host-inbound-traffic system-services ping user@SRX2# set security zones security-zone untrust interfaces ge-0/0/1.0 user@SRX2# set security zones security-zone untrust interfaces st0.0
-
트러스트 보안 영역을 구성합니다.
[edit] user@SRX2# set security zones security-zone trust host-inbound-traffic system-services all user@SRX2# set security zones security-zone trust host-inbound-traffic protocols all user@SRX2# set security zones security-zone trust interfaces ge-0/0/0.0
-
보안 정책에 사용하는 네트워크에 대한 주소록을 구성합니다.
[edit] user@SRX2# set security address-book book1 address Host2 10.1.21.0/24 user@SRX2# set security address-book book1 attach zone trust user@SRX2# set security address-book book2 address Host1 10.1.11.0/24 user@SRX2# set security address-book book2 attach zone untrust
-
호스트 간의 트래픽을 허용하는 보안 정책을 만듭니다.
[edit] user@SRX2# set security policies from-zone trust to-zone untrust policy to-SRX1 match source-address Host2 user@SRX2# set security policies from-zone trust to-zone untrust policy to-SRX1 match destination-address Host1 user@SRX2# set security policies from-zone trust to-zone untrust policy to-SRX1 match application any user@SRX2# set security policies from-zone trust to-zone untrust policy to-SRX1 then permit user@SRX2# set security policies from-zone untrust to-zone trust policy from-SRX1 match source-address Host1 user@SRX2# set security policies from-zone untrust to-zone trust policy from-SRX1 match destination-address Host2 user@SRX2# set security policies from-zone untrust to-zone trust policy from-SRX1 match application any user@SRX2# set security policies from-zone untrust to-zone trust policy from-SRX1 then permit
결과
구성 모드에서 show interfaces, show routing-options, 및 show security 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@SRX2# show interfaces
ge-0/0/0 {
unit 0 {
family inet {
address 10.1.21.1/24;
}
}
}
ge-0/0/1 {
unit 0 {
family inet {
address 10.1.31.1/24;
}
}
}
st0 {
unit 0 {
family inet {
address 10.1.100.2/24;
}
}
}[edit]
user@SRX2# show routing-options
static {
route 172.16.11.1/32 next-hop 10.1.31.2;
route 10.1.11.0/24 next-hop st0.0;
}[edit]
user@SRX2# show security
address-book {
book1 {
address Host2 10.1.21.0/24;
attach {
zone trust;
}
}
book2 {
address Host1 10.1.11.0/24;
attach {
zone untrust;
}
}
}
policies {
from-zone trust to-zone untrust {
policy to-SRX1 {
match {
source-address Host2;
destination-address Host1;
application any;
}
then {
permit;
}
}
}
from-zone untrust to-zone trust {
policy from-SRX1 {
match {
source-address Host1;
destination-address Host2;
application any;
}
then {
permit;
}
}
}
}
zones {
security-zone untrust {
host-inbound-traffic {
system-services {
ike;
ping;
}
}
interfaces {
ge-0/0/1.0;
st0.0;
}
}
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/0.0;
}
}
}디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
SRX2에 대한 IKE(Internet Key Exchange) 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security ike proposal ike_prop authentication-method pre-shared-keys set security ike proposal ike_prop dh-group group2 set security ike proposal ike_prop authentication-algorithm sha1 set security ike proposal ike_prop encryption-algorithm 3des-cbc set security ike policy ike_pol mode main set security ike policy ike_pol proposals ike_prop set security ike policy ike_pol pre-shared-key ascii-text “$ABC123” set security ike gateway gw1 ike-policy ike_pol set security ike gateway gw1 address 172.16.11.1 set security ike gateway gw1 local-identity user-at-hostname "srx2@example.com" set security ike gateway gw1 remote-identity user-at-hostname "srx1@example.com" set security ike gateway gw1 external-interface ge-0/0/1.0
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
IKE(Internet Key Exchange) 구성:
-
IKE(Internet Key Exchange) 1단계 제안을 만듭니다.
[edit] user@SRX2# set security ike proposal ike_prop authentication-method pre-shared-keys user@SRX2# set security ike proposal ike_prop dh-group group2 user@SRX2# set security ike proposal ike_prop authentication-algorithm sha1 user@SRX2# set security ike proposal ike_prop encryption-algorithm 3des-cbc
-
IKE(Internet Key Exchange) 1단계 정책을 생성합니다.
[edit] user@SRX2# set security ike policy ike_pol mode main user@SRX2# set security ike policy ike_pol proposals ike_prop user@SRX2# set security ike policy ike_pol pre-shared-key ascii-text “$ABC123”
-
IKE(Internet Key Exchange) 1단계 게이트웨이 매개 변수를 구성합니다. 게이트웨이 주소는 SRX1에 대한 IP여야 합니다.
[edit] user@SRX2# set security ike gateway gw1 ike-policy ike_pol user@SRX2# set security ike gateway gw1 address 172.16.11.1 user@SRX2# set security ike gateway gw1 local-identity user-at-hostname "srx2@example.com" user@SRX2# set security ike gateway gw1 remote-identity user-at-hostname "srx1@example.com" user@SRX2# set security ike gateway gw1 external-interface ge-0/0/1.0
결과
구성 모드에서 show security ike 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@SRX2# show security ike
proposal ike_prop {
authentication-method pre-shared-keys;
dh-group group2;
authentication-algorithm sha1;
encryption-algorithm 3des-cbc;
}
policy ike_pol {
mode main;
proposals ike_prop;
pre-shared-key ascii-text "$9$mP5QF3/At0IE-VsYoa36/"; ## SECRET-DATA
}
gateway gw1 {
ike-policy ike_pol;
address 172.16.11.1;
local-identity user-at-hostname "srx2@example.com";
remote-identity user-at-hostname "srx1@example.com";
external-interface ge-0/0/1.0;
}디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
SRX2에 대한 IPsec 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security ipsec proposal ipsec_prop protocol esp set security ipsec proposal ipsec_prop authentication-algorithm hmac-sha1-96 set security ipsec proposal ipsec_prop encryption-algorithm 3des-cbc set security ipsec policy ipsec_pol perfect-forward-secrecy keys group2 set security ipsec policy ipsec_pol proposals ipsec_prop set security ipsec vpn vpn1 bind-interface st0.0 set security ipsec vpn vpn1 ike gateway gw1 set security ipsec vpn vpn1 ike ipsec-policy ipsec_pol set security ipsec vpn vpn1 establish-tunnels immediately
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
IPsec 구성:
-
IPsec 2단계 제안을 만듭니다.
[edit] user@SRX2# set security ipsec proposal ipsec_prop protocol esp user@SRX2# set security ipsec proposal ipsec_prop authentication-algorithm hmac-sha1-96 user@SRX2# set security ipsec proposal ipsec_prop encryption-algorithm 3des-cbc
-
IPsec 2단계 정책을 생성합니다.
[edit] user@SRX2# set security ipsec policy ipsec_pol perfect-forward-secrecy keys group2 user@SRX2# set security ipsec policy ipsec_pol proposals ipsec_prop
-
IPSec VPN 매개 변수를 구성합니다.
[edit] user@SRX2# set security ipsec vpn vpn1 bind-interface st0.0 user@SRX2# set security ipsec vpn vpn1 ike gateway gw1 user@SRX2# set security ipsec vpn vpn1 ike ipsec-policy ipsec_pol user@SRX2# set security ipsec vpn vpn1 establish-tunnels immediately
결과
구성 모드에서 show security ipsec 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@SRX2# show security ipsec
proposal ipsec_prop {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy ipsec_pol {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec_prop;
}
vpn vpn1 {
bind-interface st0.0;
ike {
gateway gw1;
ipsec-policy ipsec_pol;
}
establish-tunnels immediately;
}디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
네트워크 주소 변환(NAT) 디바이스 구성
CLI 빠른 구성
예제에서 정적 네트워크 주소 변환(NAT)을 사용합니다. 정적 네트워크 주소 변환(NAT)은 양방향으로 이루어집니다. 즉, 10.1.31.1에서 172.16.11.1까지 트래픽이 동일한 네트워크 주소 변환(NAT) 구성을 사용합니다.
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security nat static rule-set rule1 from zone untrust set security nat static rule-set rule1 rule ipsec match source-address 172.16.11.1/32 set security nat static rule-set rule1 rule ipsec match destination-address 172.16.21.1/32 set security nat static rule-set rule1 rule ipsec then static-nat prefix 10.1.31.1/32 set security policies from-zone trust to-zone untrust policy allow-out match source-address any set security policies from-zone trust to-zone untrust policy allow-out match destination-address any set security policies from-zone trust to-zone untrust policy allow-out match application any set security policies from-zone trust to-zone untrust policy allow-out then permit set security policies from-zone untrust to-zone trust policy allow-out-in match source-address any set security policies from-zone untrust to-zone trust policy allow-out-in match destination-address any set security policies from-zone untrust to-zone trust policy allow-out-in match application any set security policies from-zone untrust to-zone trust policy allow-out-in then permit set security zones security-zone trust host-inbound-traffic system-services ping set security zones security-zone trust interfaces ge-0/0/1.0 set security zones security-zone untrust host-inbound-traffic system-services ping set security zones security-zone untrust interfaces ge-0/0/0.0 set interfaces ge-0/0/0 unit 0 family inet address 172.16.21.1/24 set interfaces ge-0/0/1 unit 0 family inet address 10.1.31.2/24 set routing-options static route 172.16.11.0/24 next-hop 172.16.21.2
검증
구성이 제대로 작동하는지 확인하려면 다음의 작업을 수행하십시오:
- SRX1에서 IKE(Internet Key Exchange) 1단계 상태 확인
- SRX1에서 IPsec 보안 연결 확인
- SRX2에서 IKE(Internet Key Exchange) 1단계 상태 확인
- SRX2에 대한 IPsec 보안 연결 확인
- 호스트-호스트 연결성 확인
SRX1에서 IKE(Internet Key Exchange) 1단계 상태 확인
목적
IKE(Internet Key Exchange) 1단계 상태를 확인합니다.
작업
운영 모드에서 show security ike security-associations 명령을 입력합니다. 더 자세한 출력을 위해 show security ike security-associations detail 명령을 사용해야 합니다.
user@SRX1> show security ike security-associations Index State Initiator cookie Responder cookie Mode Remote Address 302301 UP 84e8fc61d0750278 ea9a07ef032805b6 Main 172.16.21.1
user@SRX1> show security ike security-associations detail
IKE peer 172.16.21.1, Index 302301, Gateway Name: gw1
Role: Initiator, State: UP
Initiator cookie: 84e8fc61d0750278, Responder cookie: ea9a07ef032805b6
Exchange type: Main, Authentication method: Pre-shared-keys
Local: 172.16.11.1:4500, Remote: 172.16.21.1:4500
Lifetime: Expires in 19657 seconds
Reauth Lifetime: Disabled
IKE Fragmentation: Disabled, Size: 0
Remote Access Client Info: Unknown Client
Peer ike-id: srx2@example.com
AAA assigned IP: 0.0.0.0
Algorithms:
Authentication : hmac-sha1-96
Encryption : 3des-cbc
Pseudo random function: hmac-sha1
Diffie-Hellman group : DH-group-2
Traffic statistics:
Input bytes : 1780
Output bytes : 2352
Input packets: 7
Output packets: 14
Input fragmentated packets: 0
Output fragmentated packets: 0
IPSec security associations: 4 created, 0 deleted
Phase 2 negotiations in progress: 1
Negotiation type: Quick mode, Role: Initiator, Message ID: 0
Local: 172.16.11.1:4500, Remote: 172.16.21.1:4500
Local identity: srx1@example.com
Remote identity: srx2@example.com
Flags: IKE SA is created의미
show security ike security-associations 명령은 모든 활성 IKE(Internet Key Exchange) 1단계 SA를 나열합니다. SA가 나열되어 있지 않은 경우, 1단계 설정에 문제가 있는 것입니다. 구성에서 IKE(Internet Key Exchange) 정책 매개 변수 및 외부 인터페이스 설정을 확인합니다.
SA가 나열되어 있는 경우 다음 정보를 검토합니다.
-
인덱스 - 이 값은 각 IKE(Internet Key Exchange)에 대해 고유한 값이며 SA에 대한 자세한 정보를 얻기 위해
show security ike security-associations index detail명령을 사용할 수 있습니다. -
원격 주소 - 원격 IP 주소가 올바르고 포트 4500이 피어 투 피어의 통신에 사용되고 있는지 확인합니다.NAT-T는 포트 4500이 있는 UDP 내에 IKE(Internet Key Exchange) 및 ESP 트래픽을 모두 캡슐화합니다.
-
역할 개시자 상태
-
Up - 1단계 SA 가 수립됩니다.
-
다운 - 1단계 SA를 설정하는 데 문제가 있었습니다.
-
IPsec SA 페어의 두 피어는 포트 4500을 사용하고 있습니다.
-
피어 IKE(Internet Key Exchange) ID - 원격 주소가 올바른지 확인합니다.
-
로컬 ID 및 원격 ID - 적합한지 확인합니다.
-
-
모드 - 올바른 모드가 사용되고 있는지 확인합니다.
구성에서 다음 사항이 올바른지 확인합니다.
-
외부 인터페이스(인터페이스는 IKE 패킷을 수신해야 합니다)
-
IKE(Internet Key Exchange) 정책 매개 변수
-
사전 공유 키 정보
-
1단계 제안 매개 변수(두 피어 모두에서 일치해야 합니다)
show security ike security-associations 명령은 보안 연관(SA)에 대한 추가 정보를 나열합니다.
-
사용된 인증 및 암호화 알고리즘
-
1단계 수명
-
트래픽 통계(트래픽이 양방향으로 올바르게 흐르고 있는지 확인하는 데 사용할 수 있습니다)
-
역할 정보
문제 해결은 응답자 역할을 사용하여 피어에서 가장 잘 수행됩니다.
-
개시자 및 응답자 정보
-
생성된 IPsec SA의 수
-
진행 중인 2단계 협상 수
SRX1에서 IPsec 보안 연결 확인
목적
IPsec 상태를 확인합니다.
작업
운영 모드에서 show security ipsec security-associations 명령을 입력합니다. 더 자세한 출력을 위해 show security ipsec security-associations detail 명령을 사용해야 합니다.
user@SRX1> show security ipsec security-associations Total active tunnels: 1 Total Ipsec sas: 1 ID Algorithm SPI Life:sec/kb Mon lsys Port Gateway <131073 ESP:3des/sha1 fc5dbac4 2160/ unlim - root 4500 172.16.21.1 >131073 ESP:3des/sha1 45fed9d8 2160/ unlim - root 4500 172.16.21.1
user@SRX1> show security ipsec security-associations detail
ID: 131073 Virtual-system: root, VPN Name: vpn1
Local Gateway: 172.16.11.1, Remote Gateway: 172.16.21.1
Local Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Remote Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Version: IKEv1
DF-bit: clear, Copy-Outer-DSCP Disabled, Bind-interface: st0.0
Port: 4500, Nego#: 7, Fail#: 0, Def-Del#: 0 Flag: 0x600a29
Multi-sa, Configured SAs# 1, Negotiated SAs#: 1
Tunnel events:
Fri Jul 22 2022 11:07:40 -0700: IPSec SA rekey successfully completed (3 times)
Fri Jul 22 2022 08:38:41 -0700: IPSec SA negotiation successfully completed (1 times)
Fri Jul 22 2022 08:38:41 -0700: User cleared IPSec SA from CLI (1 times)
Fri Jul 22 2022 08:38:41 -0700: IKE SA negotiation successfully completed (3 times)
Fri Jul 22 2022 08:38:26 -0700: IPSec SA negotiation successfully completed (1 times)
Fri Jul 22 2022 08:38:26 -0700: User cleared IPSec SA from CLI (1 times)
Fri Jul 22 2022 08:38:25 -0700: IPSec SA negotiation successfully completed (1 times)
Fri Jul 22 2022 08:38:24 -0700: User cleared IPSec SA from CLI (1 times)
Fri Jul 22 2022 08:37:37 -0700: IPSec SA negotiation successfully completed (1 times)
Direction: inbound, SPI: fc5dbac4, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 2153 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 1532 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64
Direction: outbound, SPI: 45fed9d8, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 2153 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 1532 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64의미
show security ipsec security-associations 명령의 출력은 다음 정보를 나열합니다.
-
원격 게이트웨이는 172.16.21.1 주소를 갖습니다.
-
IPsec SA 페어의 두 피어는 포트 4500을 사용하고 있습니다.
-
SPI, 수명(초 단위) 및 사용 제한(또는 KB의 실물 크기)이 양방향으로 표시됩니다. 2160/unlim 값은 2160초 만에 2단계 수명이 만료되고 수명 크기가 지정되지 않았음을 나타냅니다. 이는 무제한을 나타냅니다. 2단계 수명은 VPN이 up된 후 1단계에 종속되지 않기 때문에 1단계 수명과 다를 수 있습니다.
-
VPN 모니터링은 Mon 열에서 하이픈으로 표시되므로, 이 SA에서 가능하지 않습니다. VPN 모니터링이 활성화된 경우, U는 모니터링이 up 상태이고 D는 모니터링이 down 상태임을 나타냅니다.
-
가상 시스템(vsys)은 루트 시스템으로 항상 0을 나열합니다.
SRX2에서 IKE(Internet Key Exchange) 1단계 상태 확인
목적
IKE(Internet Key Exchange) 1단계 상태를 확인합니다.
작업
운영 모드에서 show security ike security-associations 명령을 입력합니다. 더 자세한 출력을 위해 show security ike security-associations detail 명령을 사용해야 합니다.
user@SRX2> show security ike security-associations Index State Initiator cookie Responder cookie Mode Remote Address 5567091 UP 84e8fc61d0750278 ea9a07ef032805b6 Main 172.16.11.1
user@SRX2> show security ike security-associations detail
IKE peer 172.16.11.1, Index 5567091, Gateway Name: gw1
Role: Responder, State: UP
Initiator cookie: 84e8fc61d0750278, Responder cookie: ea9a07ef032805b6
Exchange type: Main, Authentication method: Pre-shared-keys
Local: 10.1.31.1:4500, Remote: 172.16.11.1:4500
Lifetime: Expires in 18028 seconds
Reauth Lifetime: Disabled
IKE Fragmentation: Disabled, Size: 0
Remote Access Client Info: Unknown Client
Peer ike-id: srx1@example.com
AAA assigned IP: 0.0.0.0
Algorithms:
Authentication : hmac-sha1-96
Encryption : 3des-cbc
Pseudo random function: hmac-sha1
Diffie-Hellman group : DH-group-2
Traffic statistics:
Input bytes : 2352
Output bytes : 1780
Input packets: 14
Output packets: 7
Input fragmentated packets: 0
Output fragmentated packets: 0
IPSec security associations: 4 created, 3 deleted
Phase 2 negotiations in progress: 1
Negotiation type: Quick mode, Role: Responder, Message ID: 0
Local: 10.1.31.1:4500, Remote: 172.16.11.1:4500
Local identity: srx2@example.com
Remote identity: srx1@example.com
Flags: IKE SA is created의미
show security ike security-associations 명령은 모든 활성 IKE(Internet Key Exchange) 1단계 SA를 나열합니다. SA가 나열되어 있지 않은 경우, 1단계 설정에 문제가 있는 것입니다. 구성에서 IKE(Internet Key Exchange) 정책 매개 변수 및 외부 인터페이스 설정을 확인합니다.
SA가 나열되어 있는 경우 다음 정보를 검토합니다.
-
인덱스 - 이 값은 각 IKE(Internet Key Exchange)에 대해 고유한 값이며 SA에 대한 자세한 정보를 얻기 위해
show security ike security-associations detail명령을 사용할 수 있습니다. -
원격 주소 - 원격 IP 주소가 올바르고 포트 4500이 피어 투 피어의 통신에 사용되고 있는지 확인합니다.
-
역할 응답자 상태
-
업 - 1단계 SA가 설정되었습니다.
-
다운 - 1단계 SA를 설정하는 데 문제가 있었습니다.
-
피어 IKE(Internet Key Exchange) ID - 주소가 올바른지 확인합니다.
-
로컬 ID 및 원격 ID - 이러한 주소가 올바른지 확인합니다.
-
-
모드 - 올바른 모드가 사용되고 있는지 확인합니다.
구성에서 다음 사항이 올바른지 확인합니다.
-
외부 인터페이스(인터페이스는 IKE 패킷을 수신해야 합니다)
-
IKE(Internet Key Exchange) 정책 매개 변수
-
사전 공유 키 정보
-
1단계 제안 매개 변수(두 피어 모두에서 일치해야 합니다)
show security ike security-associations 명령은 보안 연관(SA)에 대한 추가 정보를 나열합니다.
-
사용된 인증 및 암호화 알고리즘
-
1단계 수명
-
트래픽 통계(트래픽이 양방향으로 올바르게 흐르고 있는지 확인하는 데 사용할 수 있습니다)
-
역할 정보
문제 해결은 응답자 역할을 사용하여 피어에서 가장 잘 수행됩니다.
-
개시자 및 응답자 정보
-
생성된 IPsec SA의 수
-
진행 중인 2단계 협상 수
SRX2에 대한 IPsec 보안 연결 확인
목적
IPsec 상태를 확인합니다.
작업
운영 모드에서 show security ipsec security-associations 명령을 입력합니다. 더 자세한 출력을 위해 show security ipsec security-associations detail 명령을 사용해야 합니다.
user@SRX2> show security ipsec security-associations Total active tunnels: 1 Total Ipsec sas: 1 ID Algorithm SPI Life:sec/kb Mon lsys Port Gateway <131073 ESP:3des/sha1 45fed9d8 1526/ unlim - root 4500 172.16.11.1 >131073 ESP:3des/sha1 fc5dbac4 1526/ unlim - root 4500 172.16.11.1
user@SRX2> show security ipsec security-associations detail
ID: 131073 Virtual-system: root, VPN Name: vpn1
Local Gateway: 10.1.31.1, Remote Gateway: 172.16.11.1
Local Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Remote Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Version: IKEv1
DF-bit: clear, Copy-Outer-DSCP Disabled, Bind-interface: st0.0
Port: 4500, Nego#: 25, Fail#: 0, Def-Del#: 0 Flag: 0x600a29
Multi-sa, Configured SAs# 1, Negotiated SAs#: 1
Tunnel events:
Fri Jul 22 2022 11:07:40 -0700: IPSec SA negotiation successfully completed (4 times)
Fri Jul 22 2022 08:38:41 -0700: Initial-Contact received from peer. Stale IKE/IPSec SAs cleared (1 times)
Fri Jul 22 2022 08:38:41 -0700: IKE SA negotiation successfully completed (5 times)
Fri Jul 22 2022 08:38:26 -0700: IPSec SA negotiation successfully completed (1 times)
Fri Jul 22 2022 08:38:26 -0700: IPSec SA delete payload received from peer, corresponding IPSec SAs cleared (1 times)
Fri Jul 22 2022 08:38:25 -0700: IPSec SA negotiation successfully completed (1 times)
Fri Jul 22 2022 08:38:25 -0700: Initial-Contact received from peer. Stale IKE/IPSec SAs cleared (1 times)
Fri Jul 22 2022 08:37:37 -0700: IPSec SA negotiation successfully completed (1 times)
Fri Jul 22 2022 08:37:37 -0700: IPSec SA delete payload received from peer, corresponding IPSec SAs cleared (1 times)
Thu Jul 21 2022 17:57:09 -0700: Peer's IKE-ID validation failed during negotiation (1 times)
Thu Jul 21 2022 17:49:30 -0700: IKE SA negotiation successfully completed (4 times)
Direction: inbound, SPI: 45fed9d8, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 1461 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 885 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64
Direction: outbound, SPI: fc5dbac4, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 1461 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 885 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64의미
show security ipsec security-associations 명령의 출력은 다음 정보를 나열합니다.
-
원격 게이트웨이는 172.16.11.1 ip 주소를 갖습니다.
-
IPsec SA 페어의 두 피어는 포트 4500을 사용하고 있습니다.
-
SPI, 수명(초 단위) 및 사용 제한(또는 KB의 실물 크기)이 양방향으로 표시됩니다. 1562/unlim 값은 2단계 수명이 1562초 이내에 만료되고 수명 크기가 지정되지 않았음을 나타냅니다. 이는 무제한임을 나타냅니다. 2단계 수명은 VPN이 up된 후 1단계에 종속되지 않기 때문에 1단계 수명과 다를 수 있습니다.
-
VPN 모니터링은 Mon 열에서 하이픈으로 표시되므로, 이 SA에서 가능하지 않습니다. VPN 모니터링이 활성화된 경우, U는 모니터링이 up 상태이고 D는 모니터링이 down 상태임을 나타냅니다.
-
가상 시스템(vsys)은 루트 시스템으로 항상 0을 나열합니다.
show security ipsec security-associations index index_iddetail 명령의 출력은 다음 정보를 나열합니다.
-
로컬 ID 및 원격 ID는 SA의 프록시 ID를 구성합니다.
프록시 ID 불일치는 2단계 실패에 대한 가장 흔한 원인 중 하나입니다. IPsec SA가 나열되지 않은 경우 프록시 ID 설정을 포함한 2단계 제안이 두 피어에 대해 정확한지 확인합니다. 경로 기반 VPN의 경우, 기본 프록시 ID는 local=0.0.0.0/0, remote=0.0.0.0/0, 그리고 service=any입니다. 동일한 피어 IP의 다중 경로 기반 VPN에서 문제가 발생할 수 있습니다. 이 경우 각 IPsec SA에 대한 고유 프록시 ID를 지정해야 합니다. 일부 타사 밴더의 경우 프록시 ID는 수동으로 입력해 일치시켜야 합니다.
-
2단계 실패에 대한 또 다른 일반적인 이유는 ST 인터페이스 바인딩을 지정하지 않았기 때문입니다. IPsec 완료되지 않은 경우 kmd 로그 또는 추적 옵션을 확인합니다.
호스트-호스트 연결성 확인
목적
Host1을 Host2에 연결할 수 있습니다.
작업
Host1에서 Host2가 ping됩니다. 트래픽이 VPN을 사용하고 있는지 확인하려면 SRX1에서 명령 show security ipsec statistics을(를) 사용합니다. ping 명령을 실행하기 전에 명령 clear security ipsec statistics을(를) 사용하여 통계를 삭제합니다.
user@Host1> ping 10.1.21.2 count 10 rapid PING 10.1.21.2 (10.1.21.2): 56 data bytes !!!!!!!!!! --- 10.1.21.2 ping statistics --- 10 packets transmitted, 10 packets received, 0% packet loss round-trip min/avg/max/stddev = 3.437/4.270/7.637/1.158 ms
user@SRX1> show security ipsec statistics ESP Statistics: Encrypted bytes: 1360 Decrypted bytes: 840 Encrypted packets: 10 Decrypted packets: 10 AH Statistics: Input bytes: 0 Output bytes: 0 Input packets: 0 Output packets: 0 Errors: AH authentication failures: 0, Replay errors: 0 ESP authentication failures: 0, ESP decryption failures: 0 Bad headers: 0, Bad trailers: 0
의미
출력은 Host1이 Host2를 ping할 수 있으며 트래픽이 VPN을 사용하고 있음을 나타냅니다.
예: 네트워크 주소 변환(NAT) 디바이스 뒤에 개시자 및 응답자 모두 있는 정책 기반 VPN 구성
이 예는 데이터가 지점 사무실과 본사 간에 안전하게 전송될 수 있도록 네트워크 주소 변환(NAT) 디바이스 뒤에 개시자와 응답자가 모두 있는 정책 기반 VPN을 구성하는 방법을 보여줍니다.
요구 사항
시작하기 전에 IPsec 개요을(를) 읽으십시오.
개요
이 예시에서는 터널 리소스를 보존하면서 VPN 트래픽을 세분하게 제한하기 위해서 일리노이주 시카고에 있는 지점에 정책 기반 VPN을 구성합니다. 지점의 사용자는 VPN을 사용하여 캘리포니아 서니베일에 있는 본사와 연결합니다.
이 예시에서는 개시자 및 응답자 모두에 대해 인터페이스, 라우팅 옵션, 보안 영역, 보안 정책을 구성합니다.
그림 2은(는) 정적 네트워크 주소 변환(NAT) 디바이스 뒤에 개시자 및 응답자 모두 있는 VPN의 토폴로지 예를 보여줍니다.
이 예에서 인터페이스, IPv4 기본 경로 및 보안 영역을 구성합니다. 그런 다음, 로컬 및 원격 피어, IPsec 2단계, 보안 정책을 포함하여 IKE(Internet Key Exchange) 1단계를 구성합니다. 위의 예에서 응답자의 프라이빗 IP 주소 13.168.11.1은 정적 네트워크 주소 변환(NAT) 디바이스에 의해 숨겨지고 공용 IP 주소 1.1.100.1에 매핑됩니다.
예제에서 개시자에 사용하는 특정 구성 매개 변수는 표 7~표 10을(를) 참조하십시오.
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
인터페이스 |
ge-0/0/0 |
12.168.99.100/24 |
ge-0/0/1 |
10.1.99.1/24 |
|
정적 라우팅 |
10.2.99.0/24(기본 경로) |
next hop은 12.168.99.100입니다. |
1.1.100.0/24 |
12.168.99.100 |
|
보안 존 |
신뢰 |
|
untrust |
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
제안 |
ike_prop |
|
정책 |
ike_pol |
|
게이트웨이 |
gate |
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
제안 |
ipsec_prop |
|
정책 |
ipsec_pol |
|
VPN |
first_vpn |
|
목적 |
이름 |
구성 매개 변수 |
|---|---|---|
보안 정책은 트러스트 영역에서 언트러스트(untrust) 영역으로 터널 트래픽을 허용합니다. |
pol1 |
|
보안 정책은 언트러스트(untrust) 영역에서 트러스트 영역으로 터널 트래픽을 허용합니다. |
pol1 |
|
예제에서 응답자에 사용하는 특정 구성 매개 변수는 표 11~표 14을(를) 참조하십시오.
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
인터페이스 |
ge-0/0/0 |
13.168.11.100/24 |
ge-0/0/1 |
10.2.99.1/24 |
|
정적 라우팅 |
10.1.99.0/24(기본 경로) |
next hop은 13.168.11.100입니다. |
1.1.100.0/24 |
13.168.11.100 |
|
보안 존 |
신뢰 |
|
untrust |
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
제안 |
ike_prop |
|
정책 |
ike_pol |
|
게이트웨이 |
gate |
|
기능 |
이름 |
구성 매개 변수 |
|---|---|---|
제안 |
ipsec_prop |
|
정책 |
ipsec_pol |
|
VPN |
first_vpn |
|
목적 |
이름 |
구성 매개 변수 |
|---|---|---|
보안 정책은 트러스트 영역에서 언트러스트(untrust) 영역으로 터널 트래픽을 허용합니다. |
pol1 |
|
보안 정책은 언트러스트(untrust) 영역에서 트러스트 영역으로 터널 트래픽을 허용합니다. |
pol1 |
|
구성
- 개시자용 인터페이스, 라우팅 옵션 및 보안 영역 구성
- 개시자용 IKE(Internet Key Exchange) 구성
- 개시자에 대한 IPsec 구성
- 개시자에 대한 보안 정책 구성
- 개시자에 대한 네트워크 주소 변환(NAT) 구성
- 응답자용 인터페이스, 라우팅 옵션 및 보안 영역 구성
- 응답자용 IKE(Internet Key Exchange) 구성
- 응답자용 IPsec 구성
- 응답자에 대한 보안 정책 구성
- 응답자용 네트워크 주소 변환(NAT) 구성
개시자용 인터페이스, 라우팅 옵션 및 보안 영역 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
[edit] set interfaces ge-0/0/0 unit 0 family inet address 12.168.99.100/24 set interfaces ge-0/0/1 unit 0 family inet address 10.1.99.1/24 set routing-options static route 10.2.99.0/24 next-hop 12.168.99.1 set routing-options static route 1.1.100.0/24 next-hop 12.168.99.1 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/1.0 set security zones security-zone untrust interfaces ge-0/0/0.0
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
인터페이스, 고정 경로 및 보안 영역 구성 방법:
이더넷 인터페이스 정보를 구성합니다.
[edit] user@host# set interfaces ge-0/0/0 unit 0 family inet address 12.168.99.100/24 user@host# set interfaces ge-0/0/1 unit 0 family inet address 10.1.99.1/24
고정 경로 정보를 구성합니다.
[edit] user@host# set routing-options static route 10.2.99.0/24 next-hop 12.168.99.1 user@host# set routing-options static route 1.1.100.0/24 next-hop 12.168.99.1
트러스트 보안 영역을 구성합니다.
[edit ] user@host# set security zones security-zone trust host-inbound-traffic protocols all
인터페이스를 트러스트 보안 영역에 할당합니다.
[edit security zones security-zone trust] user@host# set interfaces ge-0/0/1.0
트러스트 보안 영역용 시스템 서비스를 지정합니다.
[edit security zones security-zone trust] user@host# set host-inbound-traffic system-services all
인터페이스를 언트러스트(untrust) 보안 영역에 할당합니다.
[edit security zones security-zone untrust] user@host# set interfaces ge-0/0/0.0
결과
구성 모드에서 show interfaces, show routing-options, show security zones 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예시의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show interfaces
ge-0/0/0 {
unit 0 {
family inet {
address 12.168.99.100/24;
}
}
}
ge-0/0/1 {
unit 0 {
family inet {
address 10.1.99.1/24;
}
}
}
[edit]
user@host# show routing-options
static {
route 10.2.99.0/24 next-hop 12.168.99.1;
route 1.1.100.0/24 next-hop 12.168.99.1;
}
[edit]
user@host# show security zones
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/1.0;
}
}
security-zone untrust {
host-inbound-traffic {
}
interfaces {
ge-0/0/0.0;
}
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
개시자용 IKE(Internet Key Exchange) 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security ike proposal ike_prop authentication-method pre-shared-keys set security ike proposal ike_prop dh-group group2 set security ike proposal ike_prop authentication-algorithm md5 set security ike proposal ike_prop encryption-algorithm 3des-cbc set security ike policy ike_pol mode aggressive set security ike policy ike_pol proposals ike_prop set security ike policy ike_pol pre-shared-key ascii-text "$ABC123” set security ike gateway gate ike-policy ike_pol set security ike gateway gate address 13.168.11.100 set security ike gateway gate external-interface ge-0/0/0.0 set security ike gateway gate local-identity hostname chicago
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
IKE(Internet Key Exchange) 구성:
IKE(Internet Key Exchange) 1단계 제안을 만듭니다.
[edit security ike] user@host# edit proposal ike_prop
IKE(Internet Key Exchange) 제안 인증 방법을 정의합니다.
[edit security ike proposal ike_prop] user@host# set authentication-method pre-shared-keys
IKE(Internet Key Exchange) 제안 Diffie-Hellman 그룹을 정의합니다.
[edit security ike proposal ike_prop] user@host# set dh-group group2
IKE(Internet Key Exchange) 제안 인증 알고리즘을 정의합니다.
[edit security ike proposal ike_prop] user@host# set authentication-algorithm md5
IKE(Internet Key Exchange) 제안 암호화 알고리즘을 정의합니다.
[edit security ike proposal ike_prop] user@host# set encryption-algorithm 3des-cbc
IKE(Internet Key Exchange) 1단계 정책을 생성합니다.
[edit security ike policy ] user@host# edit policy ike_pol
IKE(Internet Key Exchange) 1단계 정책 모드를 설정합니다.
[edit security ike policy ike_pol] user@host# set mode aggressive
IKE(Internet Key Exchange) 제안에 대한 참조를 지정합니다.
[edit security ike policy ike_pol] user@host# set proposals ike_prop
IKE(Internet Key Exchange) 1단계 정책 인증 방법을 정의합니다.
[edit security ike policy ike_pol pre-shared-key] user@host# set ascii-text "$ABC123”
IKE(Internet Key Exchange) 1단계 게이트웨이를 생성하고 외부 인터페이스를 정의합니다.
[edit security ike ] user@host# set gateway gate external-interface ge-0/0/0.0
IKE(Internet Key Exchange) 1단계 게이트웨이 주소를 생성합니다.
[edit security ike gateway gate] set address 13.168.11.100
IKE(Internet Key Exchange) 1단계 정책 참조를 정의합니다.
[edit security ike gateway gate] set ike-policy ike_pol
로컬 피어의 경우
local-identity을(를) 설정합니다.[edit security ike gateway gate] user@host# set local-identity hostname chicago
결과
구성 모드에서 show security ike 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show security ike
proposal ike_prop {
authentication-method pre-shared-keys;
dh-group group2;
authentication-algorithm md5;
encryption-algorithm 3des-cbc;
}
policy ike_pol {
mode aggressive;
proposals ike_prop;
pre-shared-key ascii-text "$ABC123”
}
gateway gate {
ike-policy ike_pol;
address 13.168.11.100;
local-identity hostname chicago;
external-interface ge-0/0/0.0;
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
개시자에 대한 IPsec 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security ipsec proposal ipsec_prop protocol esp set security ipsec proposal ipsec_prop authentication-algorithm hmac-md5-96 set security ipsec proposal ipsec_prop encryption-algorithm 3des-cbc set security ipsec policy ipsec_pol perfect-forward-secrecy keys group1 set security ipsec policy ipsec_pol proposals ipsec_prop set security ipsec vpn first_vpn ike gateway gate set security ipsec vpn first_vpn ike ipsec-policy ipsec_pol set security ipsec vpn first_vpn establish-tunnels immediately
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
IPsec 구성:
IPsec 2단계 제안을 만듭니다.
[edit] user@host# edit security ipsec proposal ipsec_prop
IPsec 2단계 제안 프로토콜을 지정합니다.
[edit security ipsec proposal ipsec_prop] user@host# set protocol esp
IPsec 2단계 제안 인증 알고리즘을 지정합니다.
[edit security ipsec proposal ipsec_prop] user@host# set authentication-algorithm hmac-md5-96
IPsec 2단계 제안 암호화 알고리즘을 지정합니다.
[edit security ipsec proposal ipsec_prop] user@host# set encryption-algorithm 3des-cbc
IPsec 2단계 제안 참조를 지정합니다.
[edit security ipsec policy ipsec_pol] user@host# set proposals ipsec_prop
PFS(Perfect Forward Secrecy) group1을 사용하려면 IPsec 2단계를 지정합니다.
[edit security ipsec policy ipsec_pol ] user@host# set perfect-forward-secrecy keys group1
IKE(Internet Key Exchange) 게이트웨이를 지정합니다.
[edit security ipsec] user@host# set vpn first_vpn ike gateway gate
IPsec 2단계 정책을 지정합니다.
[edit security ipsec] user@host# set vpn first_vpn ike ipsec-policy ipsec_pol
결과
구성 모드에서 show security ipsec 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show security ipsec
proposal ipsec_prop {
protocol esp;
authentication-algorithm hmac-md5-96;
encryption-algorithm 3des-cbc;
}
policy ipsec_pol {
perfect-forward-secrecy {
keys group1;
}
proposals ipsec_prop;
}
vpn first_vpn {
ike {
gateway gate;
ipsec-policy ipsec_pol;
}
establish-tunnels immediately;
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
개시자에 대한 보안 정책 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security policies from-zone trust to-zone untrust policy pol1 match source-address any set security policies from-zone trust to-zone untrust policy pol1 match destination-address any set security policies from-zone trust to-zone untrust policy pol1 match application any set security policies from-zone trust to-zone untrust policy pol1 then permit tunnel ipsec-vpn first_vpn set security policies from-zone untrust to-zone trust policy pol1 match application any set security policies from-zone untrust to-zone trust policy pol1 then permit tunnel ipsec-vpn first_vpn
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
보안 정책 구성:
트러스트 영역에서 언트러스트(untrust) 영역으로 트래픽을 허용하는 보안 정책을 구축합니다.
[edit security policies from-zone trust to-zone untrust] user@host# set policy pol1 match source-address any user@host# set policy pol1 match destination-address any user@host# set policy pol1 match application any user@host# set policy pol1 then permit tunnel ipsec-vpn first_vpn
언트러스트(untrust) 영역에서 트러스트 영역으로 트래픽을 허용하는 보안 정책을 구축합니다.
[edit security policies from-zone untrust to-zone trust] user@host# set policy pol1 match application any user@host# set policy pol1 then permit tunnel ipsec-vpn first_vpn
결과
구성 모드에서 show security policies 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show security policies
from-zone trust to-zone untrust {
policy pol1 {
match {
source-address any;
destination-address any;
application any;
}
then {
permit {
tunnel {
ipsec-vpn first_vpn;
}
}
}
}
}
from-zone untrust to-zone trust {
policy pol1 {
match {
application any;
}
then {
permit {
tunnel {
ipsec-vpn first_vpn;
}
}
}
}
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
개시자에 대한 네트워크 주소 변환(NAT) 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security nat source rule-set ipsec from zone trust set security nat source rule-set ipsec to zone untrust set security nat source rule-set ipsec rule 1 match source-address 0.0.0.0/0 set security nat source rule-set ipsec rule 1 then source-nat interface set security policies from-zone trust to-zone untrust policy allow-all match source-address any set security policies from-zone trust to-zone untrust policy allow-all match destination-address any set security policies from-zone trust to-zone untrust policy allow-all match application any set security policies from-zone trust to-zone untrust policy allow-all then permit set security policies from-zone untrust to-zone trust policy allow-all match application any set security policies from-zone untrust to-zone trust policy allow-all then permit set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/0.0 set security zones security-zone untrust interfaces ge-0/0/1.0 set interfaces ge-0/0/0 unit 0 family inet address 12.168.99.1/24 set interfaces ge-0/0/1 unit 0 family inet address 1.1.100.23/24 set routing-options static route 0.0.0.0/0 next-hop 1.1.100.22
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
네트워크 주소 변환(NAT)을 제공하는 개시자 구성 방법:
인터페이스를 구성합니다.
[edit interfaces] user@host# set ge-0/0/0 unit 0 family inet address 12.168.99.1/24 user@host# set ge-0/0/1 unit 0 family inet address 1.1.100.23/24
영역을 구성합니다.
[edit security zones security-zone trust] user@host# set host-inbound-traffic system-services all user@host# set host-inbound-traffic protocols all user@host# set interfaces ge-0/0/0.0
[edit security zones security-zone untrust] user@host# set interfaces ge-0/0/1.0
네트워크 주소 변환(NAT)을 구성합니다.
[edit security nat source rule-set ipsec] user@host# set from zone trust user@host# set to zone untrust user@host# set rule 1 match source-address 0.0.0.0/0 user@host# set rule 1 then source-nat interface
기본 보안 정책을 구성합니다.
[edit security policies] user@host# set from-zone trust to-zone untrust policy allow-all match source-address any user@host# set from-zone trust to-zone untrust policy allow-all match destination-address any user@host# set from-zone trust to-zone untrust policy allow-all match application any user@host# set from-zone trust to-zone untrust policy allow-all then permit user@host# set from-zone untrust to-zone trust policy allow-all match application any user@host# set from-zone untrust to-zone trust policy allow-all then permit
라우팅 옵션을 구성합니다.
[edit routing-options user@host# set static route 0.0.0.0/0 next-hop 1.1.100.22
결과
구성 모드에서 show security nat 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show security nat
source {
rule-set ipsec {
from zone trust;
to zone untrust;
rule 1 {
match {
source-address 0.0.0.0/0;
}
then {
source-nat {
interface;
}
}
}
}
}
}
policies {
from-zone trust to-zone untrust {
policy allow-all {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
}
from-zone untrust to-zone trust {
policy allow-all {
match {
application any;
}
then {
permit;
}
}
}
}
zones {
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/0.0;
}
}
security-zone untrust {
host-inbound-traffic {
}
interfaces {
ge-0/0/1.0;
}
}
}
}
interfaces {
ge-0/0/0 {
unit 0 {
family inet {
address 12.168.99.1/24;
}
}
}
ge-0/0/1 {
unit 0 {
family inet {
address 1.1.100.23/24;
}
}
}
}
routing-options {
static {
route 0.0.0.0/0 next-hop 1.1.100.22;
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
응답자용 인터페이스, 라우팅 옵션 및 보안 영역 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set interfaces ge-0/0/0 unit 0 family inet address 13.168.11.100/24 set interfaces ge-0/0/1 unit 0 family inet address 10.2.99.1/24 set routing-options static route 10.1.99.0/24 next-hop 13.168.11.1 set routing-options static route 1.1.100.0/24 next-hop 13.168.11.1 set security zones security-zone untrust interfaces ge-0/0/0.0 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/1.0
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
인터페이스, 고정 경로, 보안 영역 및 보안 정책 구성 방법:
이더넷 인터페이스 정보를 구성합니다.
[edit] user@host# set interfaces ge-0/0/0 unit 0 family inet address 13.168.11.100/24 user@host# set interfaces ge-0/0/1 unit 0 family inet address 10.2.99.1/24
고정 경로 정보를 구성합니다.
[edit] user@host# set routing-options static route 10.1.99.0/24 next-hop 13.168.11.1 user@host# set routing-options static route 1.1.100.0/24 next-hop 13.168.11.1
인터페이스를 언트러스트(untrust) 보안 영역에 할당합니다.
[edit security zones security-zone untrust] user@host# set interfaces ge-0/0/0.0
트러스트 보안 영역을 구성합니다.
[edit] user@host# set security zones security-zone trust host-inbound-traffic protocols all
인터페이스를 트러스트 보안 영역에 할당합니다.
[edit security zones security-zone trust] user@host# set interfaces ge-0/0/1.0
트러스트 보안 영역에 허용되는 시스템 서비스를 지정합니다.
[edit security zones security-zone trust] user@host# set host-inbound-traffic system-services all
결과
구성 모드에서 show interfaces, show routing-options 및 show security zones 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show interfaces
ge-0/0/0 {
unit 0 {
family inet {
address 13.168.11.100/24;
}
}
}
ge-0/0/1 {
unit 0 {
family inet {
address 10.2.99.1/24;
}
}
}
[edit]
user@host# show routing-options
static {
route 10.1.99.0/24 next-hop 13.168.11.1;
route 1.1.100.0/24 next-hop 13.168.11.1;
}
[edit]
user@host# show security zones
security-zone untrust {
host-inbound-traffic {
}
interfaces {
ge-0/0/0.0;
}
}
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/1.0;
}
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
응답자용 IKE(Internet Key Exchange) 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security ike proposal ike_prop authentication-method pre-shared-keys set security ike proposal ike_prop dh-group group2 set security ike proposal ike_prop authentication-algorithm md5 set security ike proposal ike_prop encryption-algorithm 3des-cbc set security ike policy ike_pol mode aggressive set security ike policy ike_pol proposals ike_prop set security ike policy ike_pol pre-shared-key ascii-text "$ABC123" set security ike gateway gate ike-policy ike_pol set security ike gateway gate dynamic hostname chicago set security ike gateway gate external-interface ge-0/0/0.0
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
IKE(Internet Key Exchange) 구성:
IKE(Internet Key Exchange) 제안 인증 방법을 정의합니다.
[edit security ike proposal ike_prop] user@host# set authentication-method pre-shared-key
IKE(Internet Key Exchange) 제안 Diffie-Hellman 그룹을 정의합니다.
[edit security ike proposal ike_prop] user@host# set dh-group group2
IKE(Internet Key Exchange) 제안 인증 알고리즘을 정의합니다.
[edit security ike proposal ike_prop] user@host# set authentication-algorithm md5
IKE(Internet Key Exchange) 제안 암호화 알고리즘을 정의합니다.
[edit security ike proposal ike_prop] user@host# set encryption-algorithm 3des-cbc
IKE(Internet Key Exchange) 1단계 정책을 생성합니다.
[edit security ike] user@host# edit policy ike_pol
IKE(Internet Key Exchange) 1단계 정책 모드를 설정합니다.
[edit security ike policy ike_pol] user@host# set mode aggressive
IKE(Internet Key Exchange) 제안에 대한 참조를 지정합니다.
[edit security ike policy ike_pol] user@host# set proposals ike_prop
IKE(Internet Key Exchange) 1단계 정책 인증 방법을 정의합니다.
[edit security ike policy ike_pol] user@host# set pre-shared-key ascii-text "$ABC123"
IKE(Internet Key Exchange) 1단계 게이트웨이를 생성하고 동적 호스트 이름을 정의합니다.
[edit security ike gateway gate] user@host# set dynamic hostname chicago
IKE(Internet Key Exchange) 1단계 게이트웨이를 생성하고 외부 인터페이스를 정의합니다.
[edit security ike gateway gate] user@host# set external-interface ge-0/0/0.0
IKE(Internet Key Exchange) 1단계 정책 참조를 정의합니다.
[edit security ike gateway gate] user@host# set ike-policy ike_pol
결과
구성 모드에서 show security ike 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show security ike
proposal ike_prop {
authentication-method pre-shared-keys;
dh-group group2;
authentication-algorithm md5;
encryption-algorithm 3des-cbc;
}
policy ike_pol {
mode aggressive;
proposals ike_prop;
pre-shared-key ascii-text "$ABC123";
}
gateway gate {
ike-policy ike_pol;
dynamic hostname chicago;
external-interface ge-0/0/0.0;
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
응답자용 IPsec 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security ipsec proposal ipsec_prop protocol esp set security ipsec proposal ipsec_prop authentication-algorithm hmac-md5-96 set security ipsec proposal ipsec_prop encryption-algorithm 3des-cbc set security ipsec policy ipsec_pol perfect-forward-secrecy keys group1 set security ipsec policy ipsec_pol proposals ipsec_prop set security ipsec vpn first_vpn ike gateway gate set security ipsec vpn first_vpn ike ipsec-policy ipsec_pol
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
IPsec 구성:
IPsec 2단계 제안을 만듭니다.
[edit] user@host# edit security ipsec proposal ipsec_prop
IPsec 2단계 제안 프로토콜을 지정합니다.
[edit security security ipsec proposal ipsec_prop] user@host# set protocol esp
IPsec 2단계 제안 인증 알고리즘을 지정합니다.
[edit security ipsec proposal ipsec_prop] user@host# set authentication-algorithm hmac-md5-96
IPsec 2단계 제안 암호화 알고리즘을 지정합니다.
[edit security ipsec proposal ipsec_prop] user@host# set encryption-algorithm 3des-cbc
IPsec 2단계 정책을 생성합니다.
[edit security ipsec] user@host# edit policy ipsec_pol
PFS(Perfect Forward Secrecy) group1을 사용하려면 IPsec 2단계를 설정합니다.
[edit security ipsec policy ipsec_pol] user@host# set perfect-forward-secrecy keys group1
IPsec 2단계 제안 참조를 지정합니다.
[edit security ipsec policy ipsec_pol] user@host# set proposals ipsec_prop
IKE(Internet Key Exchange) 게이트웨이를 지정합니다.
[edit security ipsec] user@host# set vpn first_vpn ike gateway gate
IPsec 2단계 정책을 지정합니다.
[edit security ipsec] user@host# set vpn first_vpn ike ipsec-policy ipsec_pol
결과
구성 모드에서 show security ipsec 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show security ipsec
proposal ipsec_prop {
protocol esp;
authentication-algorithm hmac-md5-96;
encryption-algorithm 3des-cbc;
}
policy ipsec_pol {
perfect-forward-secrecy {
keys group1;
}
proposals ipsec_prop;
}
vpn first_vpn {
ike {
gateway gate;
ipsec-policy ipsec_pol;
}
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
응답자에 대한 보안 정책 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security policies from-zone trust to-zone untrust policy pol1 match source-address any set security policies from-zone trust to-zone untrust policy pol1 match destination-address any set security policies from-zone trust to-zone untrust policy pol1 match application any set security policies from-zone trust to-zone untrust policy pol1 then permit tunnel ipsec-vpn first_vpn set security policies from-zone untrust to-zone trust policy pol1 match application any set security policies from-zone untrust to-zone trust policy pol1 then permit tunnel ipsec-vpn first_vpn
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
보안 정책 구성:
트러스트 영역에서 언트러스트(untrust) 영역으로 트래픽을 허용하는 보안 정책을 구축합니다.
[edit security policies from-zone trust to-zone untrust] user@host# set policy pol1 match source-address any user@host# set policy pol1 match destination-address any user@host# set policy pol1 match application any user@host# set policy pol1 then permit tunnel ipsec-vpn first_vpn
언트러스트(untrust) 영역에서 트러스트 영역으로 트래픽을 허용하는 보안 정책을 구축합니다.
[edit security policies from-zone untrust to-zone trust] user@host# set policy pol1 match application any user@host# set policy pol1 then permit tunnel ipsec-vpn first_vpn
결과
구성 모드에서 show security policies 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show security policies
from-zone trust to-zone untrust {
policy pol1 {
match {
source-address any;
destination-address any;
application any;
}
then {
permit {
tunnel {
ipsec-vpn first_vpn;
}
}
}
}
}
from-zone untrust to-zone trust {
policy pol1 {
match {
application any;
}
then {
permit {
tunnel {
ipsec-vpn first_vpn;
}
}
}
}
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
응답자용 네트워크 주소 변환(NAT) 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set security nat source rule-set ipsec from zone trust set security nat source rule-set ipsec to zone untrust set security nat source rule-set ipsec rule 1 match source-address 0.0.0.0/0 set security nat source rule-set ipsec rule 1 then source-nat interface set security policies from-zone trust to-zone untrust policy allow-all match source-address any set security policies from-zone trust to-zone untrust policy allow-all match destination-address any set security policies from-zone trust to-zone untrust policy allow-all match application any set security policies from-zone trust to-zone untrust policy allow-all then permit set security policies from-zone untrust to-zone trust policy allow-all match application any set security policies from-zone untrust to-zone trust policy allow-all then permit set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/0.0 set security zones security-zone untrust interfaces ge-0/0/1.0 set interfaces ge-0/0/0 unit 0 family inet address 13.168.11.1/24 set interfaces ge-0/0/1 unit 0 family inet address 1.1.100.22/24 set routing-options static route 0.0.0.0/0 next-hop 1.1.100.23
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
네트워크 주소 변환(NAT)을 제공하는 응답자 구성 방법:
인터페이스를 구성합니다.
[edit interfaces] user@host# set ge-0/0/0 unit 0 family inet address 13.168.11.1/24 user@host# set ge-0/0/1 unit 0 family inet address 1.1.100.22/24
영역을 구성합니다.
[edit security zones security-zone trust] user@host# set host-inbound-traffic system-services all user@host# set host-inbound-traffic protocols all user@host# set interfaces ge-0/0/0.0
[edit security zones security-zone untrust] user@host# set interfaces ge-0/0/1.0
네트워크 주소 변환(NAT)을 구성합니다.
[edit security nat source rule-set ipsec] user@host# set from zone trust user@host# set to zone untrust user@host# set rule 1 match source-address 0.0.0.0/0 user@host# set rule 1 then source-nat interface
기본 보안 정책을 구성합니다.
[edit security policies] user@host# set from-zone trust to-zone untrust policy allow-all match source-address any user@host# set from-zone trust to-zone untrust policy allow-all match destination-address any user@host# set from-zone trust to-zone untrust policy allow-all match application any user@host# set from-zone trust to-zone untrust policy allow-all then permit user@host# set from-zone untrust to-zone trust policy allow-all match application any user@host# set from-zone untrust to-zone trust policy allow-all then permit
라우팅 옵션을 구성합니다.
[edit routing-options user@host# set static route 0.0.0.0/0 next-hop 1.1.100.23
결과
구성 모드에서 show security nat 명령을 입력하여 구성을 확인합니다. 출력 결과가 의도한 구성대로 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show security nat
nat {
source {
rule-set ipsec {
from zone trust;
to zone untrust;
rule 1 {
match {
source-address 0.0.0.0/0;
}
then {
source-nat {
interface;
}
}
}
}
}
}
policies {
from-zone trust to-zone untrust {
policy allow-all {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
}
from-zone untrust to-zone trust {
policy allow-all {
match {
application any;
}
then {
permit;
}
}
}
}
zones {
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/0.0;
}
}
security-zone untrust {
host-inbound-traffic {
}
interfaces {
ge-0/0/1.0;
}
}
}
}
interfaces {
ge-0/0/0 {
unit 0 {
family inet {
address 13.168.11.1/24;
}
}
}
ge-0/0/1 {
unit 0 {
family inet {
address 1.1.100.22/24;
}
}
}
}
routing-options {
static {
route 0.0.0.0/0 next-hop 1.1.100.23;
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
검증
구성이 제대로 작동하는지 확인하려면 다음의 작업을 수행하십시오:
- 개시자에 대한 IKE(Internet Key Exchange) 1단계 상태 확인
- 개시자에 대한 IPsec 보안 연결 확인
- 응답자에 대한 IKE(Internet Key Exchange) 1단계 상태 확인
- 응답자에 대한 IPsec 보안 연관 확인
개시자에 대한 IKE(Internet Key Exchange) 1단계 상태 확인
목적
IKE(Internet Key Exchange) 1단계 상태를 확인합니다.
작업
확인 프로세스를 시작하기 전에 10.1.99.0 네트워크의 호스트에서 10.2.99.0 네트워크의 호스트로 트래픽을 전송합니다. 경로 기반 VPN의 경우, SRX 시리즈 방화벽이 터널을 통해 트래픽을 시작할 수 있습니다. IPsec 터널을 테스트할 때, VPN 한쪽에 있는 별도의 디바이스에서 VPN의 다른쪽에 있는 두 번째 디바이스로 테스트 트래픽을 전송하는 것이 좋습니다. 예를 들어, 10.1.99.2에서 10.2.99.2로 ping 작업을 시작합니다.
운영 모드에서 show security ike security-associations 명령을 입력합니다. 명령에서 인덱스 번호를 얻은 후 show security ike security-associations index index_number detail 명령을 사용하십시오.
user@host> show security ike security-associations Index State Initiator cookie Responder cookie Mode Remote Address 5649304 UP c3193077d38e426f 011f0ef28d928f4c Aggressive 13.168.11.
user@host> show security ike security-associations index 5649304 detail
IKE peer 13.168.11.100, Index 5649304, Gateway Name: gate
Role: Initiator, State: UP
Initiator cookie: c3193077d38e426f, Responder cookie: 011f0ef28d928f4c
Exchange type: Aggressive, Authentication method: Pre-shared-keys
Local: 12.168.99.100:4500, Remote: 13.168.11.100:4500
Lifetime: Expires in 26359 seconds
Reauth Lifetime: Disabled
IKE Fragmentation: Disabled, Size: 0
Remote Access Client Info: Unknown Client
Peer ike-id: 13.168.11.100
AAA assigned IP: 0.0.0.0
Algorithms:
Authentication : hmac-md5-96
Encryption : 3des-cbc
Pseudo random function: hmac-md5
Diffie-Hellman group : DH-group-2
Traffic statistics:
Input bytes : 1140
Output bytes : 1203
Input packets: 6
Output packets: 6
Input fragmentated packets: 0
Output fragmentated packets: 0
IPSec security associations: 2 created, 3 deleted
Phase 2 negotiations in progress: 1
Negotiation type: Quick mode, Role: Initiator, Message ID: 0
Local: 12.168.99.100:4500, Remote: 13.168.11.100:4500
Local identity: chicago
Remote identity: 13.168.11.100
Flags: IKE SA is created
의미
show security ike security-associations 명령은 모든 활성 IKE(Internet Key Exchange) 1단계 SA를 나열합니다. SA가 나열되어 있지 않은 경우, 1단계 설정에 문제가 있는 것입니다. 구성에서 IKE(Internet Key Exchange) 정책 매개 변수 및 외부 인터페이스 설정을 확인합니다.
SA가 나열되어 있는 경우 다음 정보를 검토합니다.
인덱스 - 이 값은 각 IKE(Internet Key Exchange)에 대해 고유한 값이며 SA에 대한 자세한 정보를 얻기 위해
show security ike security-associations index detail명령을 사용할 수 있습니다.Remote address - 원격 IP 주소가 올바르고 포트 4500이 피어 투 피어의 통신에 사용되고 있는지 확인합니다.
역할 개시자 상태
업 - 1단계 SA가 설정되었습니다.
다운 - 1단계 SA를 설정하는 데 문제가 있었습니다.
IPsec SA 페어의 두 피어 모두 포트 4500을 사용하고 있으며, 이는 NAT-T가 구현되었음을 나타냅니다. (NAT-T는 포트 4500 또는 다른 임의의 큰 수의 포트를 사용합니다.)
Peer IKE ID - 원격 주소가 올바른지 확인합니다. 이 예에서 호스트 이름은 sunnyvale입니다.
로컬 ID 및 원격 ID - 적합한지 확인합니다.
모드 - 올바른 모드가 사용되고 있는지 확인합니다.
구성에서 다음 사항이 올바른지 확인합니다.
외부 인터페이스(인터페이스는 IKE 패킷을 수신해야 합니다)
IKE(Internet Key Exchange) 정책 매개 변수
사전 공유 키 정보
1단계 제안 매개 변수(두 피어 모두에서 일치해야 합니다)
show security ike security-associations 명령은 보안 연관(SA)에 대한 추가 정보를 나열합니다.
사용된 인증 및 암호화 알고리즘
1단계 수명
트래픽 통계(트래픽이 양방향으로 올바르게 흐르고 있는지 확인하는 데 사용할 수 있습니다)
역할 정보
문제 해결은 응답자 역할을 사용하여 피어에서 가장 잘 수행됩니다.
개시자 및 응답자 정보
생성된 IPsec SA의 수
진행 중인 2단계 협상 수
개시자에 대한 IPsec 보안 연결 확인
목적
IPsec 상태를 확인합니다.
작업
운영 모드에서 show security ipsec security-associations 명령을 입력합니다. 명령에서 인덱스 번호를 얻은 후 show security ipsec security-associations index index_number detail 명령을 사용하십시오.
user@host> show security ipsec security-associations Total active tunnels: 1 Total Ipsec sas: 1 ID Algorithm SPI Life:sec/kb Mon lsys Port Gateway <2 ESP:3des/md5 aff3ac30 1103/ unlim - root 4500 13.168.11.100 >2 ESP:3des/md5 40539d12 1103/ unlim - root 4500 13.168.11.100
user@host> show security ipsec security-associations detail
ID: 2 Virtual-system: root, VPN Name: first_vpn
Local Gateway: 12.168.99.100, Remote Gateway: 13.168.11.100
Local Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Remote Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Version: IKEv1
DF-bit: clear, Copy-Outer-DSCP Disabled , Policy-name: pol1
Port: 4500, Nego#: 7, Fail#: 0, Def-Del#: 0 Flag: 0x600829
Multi-sa, Configured SAs# 1, Negotiated SAs#: 1
Tunnel events:
Wed Apr 08 2020 19:13:53: IPSec SA negotiation successfully completed (1 times)
Wed Apr 08 2020
: IPSec SA delete payload received from peer, corresponding IPSec SAs cleared (1 times)
Wed Apr 08 2020 19:13:09: IPSec SA negotiation successfully completed (1 times)
Wed Apr 08 2020 19:13:09: User cleared IPSec SA from CLI (1 times)
Wed Apr 08 2020 19:13:09: IKE SA negotiation successfully completed (5 times)
Wed Apr 08 2020 19:12:18: IPSec SA negotiation successfully completed (1 times)
Wed Apr 08 2020 19:12:18: User cleared IPSec SA from CLI (1 times)
Wed Apr 08 2020 19:12:12: IPSec SA negotiation successfully completed (1 times)
Wed Apr 08 2020 19:12:12: User cleared IPSec SA from CLI (1 times)
Wed Apr 08 2020 19:06:52: Peer's IKE-ID validation failed during negotiation (2 times)
Wed Apr 08 2020
: Negotiation failed with error code NO_PROPOSAL_CHOSEN received from peer (2 times)
Wed Apr 08 2020 19:05:26: Peer's IKE-ID validation failed during negotiation (1 times)
Wed Apr 08 2020
: Negotiation failed with error code NO_PROPOSAL_CHOSEN received from peer (1 times)
Wed Apr 08 2020 19:04:26: Peer's IKE-ID validation failed during negotiation (1 times)
Wed Apr 08 2020
: Negotiation failed with error code NO_PROPOSAL_CHOSEN received from peer (1 times)
Wed Apr 08 2020 19:03:26: Peer's IKE-ID validation failed during negotiation (1 times)
Direction: inbound, SPI: aff3ac30, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 1093 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 453 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-md5-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64
Direction: outbound, SPI: 40539d12, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 1093 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 453 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-md5-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64
의미
show security ipsec security-associations 명령의 출력은 다음 정보를 나열합니다.
원격 게이트웨이의 네트워크 주소 변환(NAT) 주소는 13.168.11.100입니다.
IPsec SA 페어의 두 피어 모두 포트 4500을 사용하고 있으며, 이는 NAT-T가 구현되었음을 나타냅니다. (NAT-T는 포트 4500 또는 다른 임의의 큰 수의 포트를 사용합니다.)
SPI, 수명(초 단위) 및 사용 제한(또는 KB의 실물 크기)이 양방향으로 표시됩니다. 3390/ 무제한 값은 2단계 수명이 3390초 후에 만료되며, 실물 크기가 지정되지 않아 무제한임을 나타냅니다. 2단계 수명은 VPN이 up된 후 1단계에 종속되지 않기 때문에 1단계 수명과 다를 수 있습니다.
VPN 모니터링은 Mon 열에서 하이픈으로 표시되므로, 이 SA에서 가능하지 않습니다. VPN 모니터링이 활성화된 경우, U는 모니터링이 up 상태이고 D는 모니터링이 down 상태임을 나타냅니다.
가상 시스템(vsys)은 루트 시스템으로 항상 0을 나열합니다.
응답자에 대한 IKE(Internet Key Exchange) 1단계 상태 확인
목적
IKE(Internet Key Exchange) 1단계 상태를 확인합니다.
작업
운영 모드에서 show security ike security-associations 명령을 입력합니다. 명령에서 인덱스 번호를 얻은 후 show security ike security-associations index index_number detail 명령을 사용하십시오.
user@host> show security ike security-associations Index State Initiator cookie Responder cookie Mode Remote Address 2914355 UP c3193077d38e426f 011f0ef28d928f4c Aggressive 1.1.100.23
user@host> show security ike security-associations index 2914355 detail
IKE peer 1.1.100.23, Index 2914355, Gateway Name: gate
Role: Responder, State: UP
Initiator cookie: c3193077d38e426f, Responder cookie: 011f0ef28d928f4c
Exchange type: Aggressive, Authentication method: Pre-shared-keys
Local: 13.168.11.100:4500, Remote: 1.1.100.23:23434
Lifetime: Expires in 26137 seconds
Reauth Lifetime: Disabled
IKE Fragmentation: Disabled, Size: 0
Remote Access Client Info: Unknown Client
Peer ike-id: chicago
AAA assigned IP: 0.0.0.0
Algorithms:
Authentication : hmac-md5-96
Encryption : 3des-cbc
Pseudo random function: hmac-md5
Diffie-Hellman group : DH-group-2
Traffic statistics:
Input bytes : 1203
Output bytes : 1140
Input packets: 6
Output packets: 6
Input fragmentated packets: 0
Output fragmentated packets: 0
IPSec security associations: 2 created, 0 deleted
Phase 2 negotiations in progress: 1
Negotiation type: Quick mode, Role: Responder, Message ID: 0
Local: 13.168.11.100:4500, Remote: 1.1.100.23:23434
Local identity: 13.168.11.100
Remote identity: chicago
Flags: IKE SA is created
의미
show security ike security-associations 명령은 모든 활성 IKE(Internet Key Exchange) 1단계 SA를 나열합니다. SA가 나열되어 있지 않은 경우, 1단계 설정에 문제가 있는 것입니다. 구성에서 IKE(Internet Key Exchange) 정책 매개 변수 및 외부 인터페이스 설정을 확인합니다.
SA가 나열되어 있는 경우 다음 정보를 검토합니다.
인덱스 - 이 값은 각 IKE(Internet Key Exchange)에 대해 고유한 값이며 SA에 대한 자세한 정보를 얻기 위해
show security ike security-associations index detail명령을 사용할 수 있습니다.Remote address - 원격 IP 주소가 올바르고 포트 4500이 피어 투 피어의 통신에 사용되고 있는지 확인합니다.
역할 응답자 상태
업 - 1단계 SA가 설정되었습니다.
다운 - 1단계 SA를 설정하는 데 문제가 있었습니다.
Peer IKE ID - 피어의 로컬 ID가 올바른지 확인합니다. 이 예에서 호스트 이름은 chicago입니다.
로컬 ID 및 원격 ID - 적합한지 확인합니다.
모드 - 올바른 모드가 사용되고 있는지 확인합니다.
구성에서 다음 사항이 올바른지 확인합니다.
외부 인터페이스(인터페이스는 IKE 패킷을 수신해야 합니다)
IKE(Internet Key Exchange) 정책 매개 변수
사전 공유 키 정보
1단계 제안 매개 변수(두 피어 모두에서 일치해야 합니다)
show security ike security-associations 명령은 보안 연관(SA)에 대한 추가 정보를 나열합니다.
사용된 인증 및 암호화 알고리즘
1단계 수명
트래픽 통계(트래픽이 양방향으로 올바르게 흐르고 있는지 확인하는 데 사용할 수 있습니다)
역할 정보
문제 해결은 응답자 역할을 사용하여 피어에서 가장 잘 수행됩니다.
개시자 및 응답자 정보
생성된 IPsec SA의 수
진행 중인 2단계 협상 수
응답자에 대한 IPsec 보안 연관 확인
목적
IPsec 상태를 확인합니다.
작업
운영 모드에서 show security ipsec security-associations 명령을 입력합니다. 명령에서 인덱스 번호를 얻은 후 show security ipsec security-associations index index_number detail 명령을 사용하십시오.
user@host> show security ipsec security-associations Total active tunnels: 1 Total Ipsec sas: 1 ID Algorithm SPI Life:sec/kb Mon lsys Port Gateway <67108878 ESP:3des/md5 40539d12 939/ unlim - root 23434 1.1.100.23 >67108878 ESP:3des/md5 aff3ac30 939/ unlim - root 23434 1.1.100.23
user@host> show security ipsec security-associations detail
ID: 67108878 Virtual-system: root, VPN Name: first_vpn
Local Gateway: 13.168.11.100, Remote Gateway: 1.1.100.23
Local Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Remote Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Version: IKEv1
DF-bit: clear, Copy-Outer-DSCP Disabled , Policy-name: pol1
Port: 23434, Nego#: 8, Fail#: 0, Def-Del#: 0 Flag: 0x608829
Multi-sa, Configured SAs# 1, Negotiated SAs#: 1
Tunnel events:
Wed Apr 08 2020 19:14:22: IPSec SA negotiation successfully completed (1 times)
Wed Apr 08 2020 19:14:15: User cleared IPSec SA from CLI (1 times)
Wed Apr 08 2020 19:13:39: IPSec SA negotiation successfully completed (3 times)
Wed Apr 08 2020 19:13:39: IKE SA negotiation successfully completed (4 times)
Wed Apr 08 2020
: IPSec SA delete payload received from peer, corresponding IPSec SAs cleared (1 times)
Wed Apr 08 2020 19:10:39: IPSec SA negotiation successfully completed (1 times)
Wed Apr 08 2020 19:10:20: User cleared IPSec SA from CLI (1 times)
Wed Apr 08 2020 19:10:08: IPSec SA negotiation successfully completed (1 times)
Wed Apr 08 2020
: Tunnel is ready. Waiting for trigger event or peer to trigger negotiation (1 times)
Direction: inbound, SPI: 40539d12, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 930 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 335 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-md5-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64
Direction: outbound, SPI: aff3ac30, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 930 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 335 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-md5-96, Encryption: 3des-cbc
Anti-replay service: counter-based enabled, Replay window size: 64
의미
show security ipsec security-associations 명령의 출력은 다음 정보를 나열합니다.
원격 게이트웨이의 네트워크 주소 변환(NAT) 주소는 1.1.100.23입니다.
IPsec SA 페어의 두 피어 모두 포트 4500을 사용하고 있으며, 이는 NAT-T가 구현되었음을 나타냅니다. (NAT-T는 포트 4500 또는 다른 임의의 큰 수의 포트를 사용합니다.)
SPI, 수명(초 단위) 및 사용 제한(또는 KB의 실물 크기)이 양방향으로 표시됩니다. 3571/ 무제한 값은 2단계 수명이 3571초 후에 만료되며, 실물 크기가 지정되지 않아 무제한임을 나타냅니다. 2단계 수명은 VPN이 up된 후 1단계에 종속되지 않기 때문에 1단계 수명과 다를 수 있습니다.
VPN 모니터링은 Mon 열에서 하이픈으로 표시되므로, 이 SA에서 가능하지 않습니다. VPN 모니터링이 활성화된 경우, U는 모니터링이 up 상태이고 D는 모니터링이 down 상태임을 나타냅니다.
가상 시스템(vsys)은 루트 시스템으로 항상 0을 나열합니다.
예: 동적 엔드포인트 VPN을 사용한 NAT-T 구성
이 예는 IKEv2 개시자가 네트워크 주소 변환(NAT) 디바이스 뒤에 있는 동적 엔드포인트 경로 기반 VPN을 구성하는 방법을 보여줍니다.
요구 사항
이 예에서 사용되는 하드웨어 및 소프트웨어 구성 요소는 다음과 같습니다.
섀시 클러스터에서 구성된 SRX 시리즈 방화벽 2개
네트워크 주소 변환(NAT)을 제공하는 SRX 시리즈 방화벽 1개
브랜치 오피스 네트워크 액세스를 제공하는 SRX 시리즈 방화벽 1개
IKEv2 NAT-T 지원을 위한 Junos OS 릴리스 12.1X46-D10 또는 그 이상
개요
이 예에서는 브랜치 오피스(IKEv2 개시자)와 본사(IKEv2 응답자) 사이에 IPSec VPN을 구성해 두 위치 간의 네트워크 트래픽을 보호합니다. 브랜치 오피스는 네트워크 주소 변환(NAT) 디바이스 뒤에 있습니다. 브랜치 오피스 주소는 동적으로 할당되며 응답자는 알 수 없습니다. 개시자는 터널 협상을 위한 응답자의 원격 ID로 구성됩니다. 이 구성은 네트워크 주소 변환(NAT) 디바이스 전체의 피어 간에 동적 엔드포인트 VPN을 설정합니다.
그림 3은(는) NAT-Traversal (NAT-T) 및 동적 엔드포인트 VPN이 있는 토폴로지의 예를 보여줍니다.
이 예에서는 디바이스에 동적으로 할당된 개시자의 IP 주소 192.179.100.50이 네트워크 주소 변환(NAT) 디바이스에 의해 숨겨져 있으며 100.10.1.253으로 변환됩니다.
이 예에서는 다음 구성 옵션이 적용됩니다.
개시자에 구성된 로컬 ID는 응답자에 구성된 원격 게이트웨이 ID와 일치해야 합니다.
개시자와 응답자 간에 1단계 및 2단계 옵션이 일치해야 합니다.
이 예에서는 모든 트래픽을 허용하는 기본 보안 정책이 모든 디바이스에 사용됩니다. 생산 환경에 대해 보다 더 제한적인 보안 정책을 구성해야 합니다. 보안 정책 개요를 참조하십시오.
Junos OS 릴리스 12.1X46-D10 및 Junos OS 릴리스 17.3R1부터는 [edit security ike gateway gateway-name]계층 수준에서 구성된 nat-keepalive옵션의 기본값이 5초에서 20초로 변경되었습니다.
SRX1400, SRX3400, SRX3600, SRX5600, 및 SRX5800 디바이스에서 IKE(Internet Key Exchange) 피어가 NAT 디바이스 뒤에 있는 경우 네트워크 주소 변환(NAT) traversal를 수반하는 IKE 협상이 작동하지 않습니다. 예를 들어 네트워크 주소 변환(NAT) 디바이스 DIP로 구성된 경우 IKE(Internet Key Exchange) 프로토콜이 UDP 포트를 500에서 4500으로 전환하기 때문에 소스 IP가 변경됩니다. (플랫폼 지원은 설치 시 Junos OS 릴리즈에 따라 다릅니다.)
구성
브랜치 오피스 디바이스(IKEv2 개시자) 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set interfaces ge-0/0/1 unit 0 family inet address 192.179.100.50/24 set interfaces ge-0/0/2 unit 0 family inet address 192.179.2.20/24 set interfaces st0 unit 0 family inet address 172.168.100.1/16 set routing-options static route 192.179.1.0/24 next-hop st0.0 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/2.0 set security zones security-zone untrust host-inbound-traffic system-services all set security zones security-zone untrust host-inbound-traffic protocols all set security zones security-zone untrust interfaces ge-0/0/1.0 set security zones security-zone untrust interfaces st0.0 set security ike proposal IKE_PROP authentication-method pre-shared-keys set security ike proposal IKE_PROP dh-group group5 set security ike proposal IKE_PROP authentication-algorithm sha1 set security ike proposal IKE_PROP encryption-algorithm aes-256-cbc set security ike policy IKE_POL proposals IKE_PROP set security ike policy IKE_POL pre-shared-key ascii-text "$ABC123" set security ike gateway HQ_GW ike-policy IKE_POL set security ike gateway HQ_GW address 100.10.1.50 set security ike gateway HQ_GW local-identity hostname branch.example.net set security ike gateway HQ_GW external-interface ge-0/0/1.0 set security ike gateway HQ_GW version v2-only set security ipsec proposal IPSEC_PROP protocol esp set security ipsec proposal IPSEC_PROP authentication-algorithm hmac-sha1-96 set security ipsec proposal IPSEC_PROP encryption-algorithm aes-256-cbc set security ipsec policy IPSEC_POL perfect-forward-secrecy keys group5 set security ipsec policy IPSEC_POL proposals IPSEC_PROP set security ipsec vpn HQ_VPN bind-interface st0.0 set security ipsec vpn HQ_VPN ike gateway HQ_GW set security ipsec vpn HQ_VPN ike ipsec-policy IPSEC_POL set security ipsec vpn HQ_VPN establish-tunnels immediately set security policies default-policy permit-all
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
브랜치 오피스 디바이스를 구성하려면 다음을 수행합니다.
인터페이스를 구성합니다.
[edit interfaces] user@host# set ge-0/0/1 unit 0 family inet address 192.179.100.50/24 user@host# set ge-0/0/2 unit 0 family inet address 192.179.2.20/24 user@host# set st0 unit 0 family inet address 172.168.100.1/16
라우팅 옵션을 구성합니다.
[edit routing-options] user@host# set static route 192.179.1.0/24 next-hop st0.0
영역을 구성합니다.
[edit security zones security-zones trust] user@host# set host-inbound-traffic system-services all user@host# set host-inbound-traffic protocols all user@host# set interfaces ge-0/0/2.0 [edit security zones security-zones untrust] user@host# set host-inbound-traffic system-services all user@host# set host-inbound-traffic protocols all user@host# set interfaces ge-0/0/1.0 user@host#set interfaces st0.0
1단계 옵션을 구성합니다.
[edit security ike proposal IKE_PROP] user@host# set authentication-method pre-shared-keys user@host# set dh-group group5 user@host# set authentication-algorithm sha1 user@host# set encryption-algorithm aes-256-cbc [edit security ike policy IKE_POL] user@host# set proposals IKE_PROP user@host# set pre-shared-key ascii-text "$ABC123" [edit security ike gateway HQ_GW] user@host# set ike-policy IKE_POL user@host# set address 100.10.1.50 user@host# set local-identity hostname branch.example.net user@host# set external-interface ge-0/0/1.0 user@host# set version v2-only
2단계 옵션을 구성합니다.
[edit security ipsec proposal IPSEC_PROP] user@host# set protocol esp user@host# set authentication-algorithm hmac-sha1-96 user@host# set encryption-algorithm aes-256-cbc [edit security ipsec policy IPSEC_POL] user@host# set proposals IPSEC_PROP user@host# set perfect-forward-secrecy keys group5 [edit security ipsec vpn HQ_VPN] user@host# set bind-interface st0.0 user@host# set ike gateway HQ_GW user@host# set ike ipsec-policy IPSEC_POL user@host# set establish-tunnels immediately
보안 정책을 구성합니다.
[edit security policies] user@host# set default-policy permit-all
결과
구성 모드에서 show interfaces, show routing-options, show security zones, show security ike, show security ipsec 및 show security policies 명령을 입력하여 구성을 확인합니다. 출력이 의도된 구성을 표시하지 않으면, 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show interfaces
ge-0/0/1 {
unit 0 {
family inet {
address 192.179.100.50/24;
}
}
}
ge-0/0/2 {
unit 0 {
family inet {
address 192.179.2.20/24;
}
}
}
st0 {
unit 0 {
family inet {
address 172.168.100.1/16;
}
}
}
[edit]
user@host# show routing-options
static {
route 192.179.1.0/24 next-hop st0.0;
}
[edit]
user@host# show security zones
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/2.0;
}
}
security-zone untrust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/1.0;
st0.0;
}
}
[edit]
user@host# show security ike
proposal IKE_PROP {
authentication-method pre-shared-keys;
dh-group group5;
authentication-algorithm sha1;
encryption-algorithm aes-256-cbc;
}
policy IKE_POL {
proposals IKE_PROP;
pre-shared-key ascii-text "$ABC123”
}
gateway HQ_GW{
ike-policy IKE_POL;
address 100.10.1.50;
local-identity hostname branch.example.net;
external-interface ge-0/0/1.0;
version v2-only;
}
[edit]
user@host# show security ipsec
proposal IPSEC_PROP {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm aes-256-cbc;
}
policy IPSEC_POL {
perfect-forward-secrecy {
keys group5;
}
proposals IPSEC_PROP;
}
vpn HQ_VPN {
bind-interface st0.0;
ike {
gateway HQ_GW;
ipsec-policy IPSEC_POL;
}
establish-tunnels immediately;
}
[edit]
user@host# show security policies
default-policy {
permit-all;
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
네트워크 주소 변환(NAT) 디바이스 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set interfaces ge-0/0/1 unit 0 family inet address 100.10.1.253/24 set interfaces fe-0/0/2 unit 0 family inet address 192.179.100.253/24 set security zones security-zone untrust host-inbound-traffic system-services all set security zones security-zone untrust host-inbound-traffic protocols all set security zones security-zone untrust interfaces ge-0/0/1.0 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces fe-0/0/2.0 set security nat source rule-set DYNAMIC from zone trust set security nat source rule-set DYNAMIC to zone untrust set security nat source rule-set DYNAMIC rule R2R3 match source-address 0.0.0.0/0 set security nat source rule-set DYNAMIC rule R2R3 then source-nat interface set security policies default-policy permit-all
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
네트워크 주소 변환(NAT)를 제공하는 중간 라우터를 구성하려면 다음을 수행합니다.
인터페이스를 구성합니다.
[edit interfaces] user@host# set ge-0/0/1 unit 0 family inet address 100.10.1.253/24 user@host# set fe-0/0/2 unit 0 family inet address 192.179.100.253/24
영역을 구성합니다.
[edit security zones security-zone untrust] user@host# set host-inbound-traffic system-services all user@host# set host-inbound-traffic protocols all user@host# set interfaces ge-0/0/1.0 [edit security zones security-zone trust] user@host# set host-inbound-traffic system-services all user@host# set host-inbound-traffic protocols all user@host# set interfaces fe-0/0/2.0
네트워크 주소 변환(NAT)을 구성합니다.
[edit security nat source rule-set DYNAMIC] user@host# set from zone trust user@host# set to zone untrust user@host# set rule R2R3 match source-address 0.0.0.0/0 user@host# set rule R2R3 then source-nat interface
기본 보안 정책을 구성합니다.
[edit security policies] user@host# set default-policy permit-all
결과
구성 모드에서 show interfaces, show security zones, show security nat source 및 show security policies 명령을 입력하여 구성을 확인합니다. 출력이 의도된 구성을 표시하지 않으면, 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show interfaces
ge-0/0/1 {
unit 0 {
family inet {
address 100.10.1.253/24;
}
}
}
fe-0/0/2 {
unit 0 {
family inet {
address 192.179.100.253/24;
}
}
}
[edit]
user@host# show security zones
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/1.0;
}
}
security-zone untrust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
fe-0/0/2.0;
}
}
[edit]
user@host# show security nat source
rule-set DYNAMIC {
from zone untrust;
to zone trust;
rule R2R3 {
match {
source-address 0.0.0.0/0;
}
then {
source-nat {
interface;
}
}
}
}
[edit]
user@host# show security policies
default-policy {
permit-all;
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을 입력합니다.
본사 디바이스(IKEv2 응답자) 구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 [edit] 계층 수준에서 명령을 CLI로 복사해 붙여 넣은 다음, 구성 모드에서 commit을 입력합니다.
set chassis cluster reth-count 5 set chassis cluster redundancy-group 1 node 0 priority 220 set chassis cluster redundancy-group 1 node 1 priority 149 set chassis cluster redundancy-group 1 interface-monitor ge-0/0/1 weight 255 set chassis cluster redundancy-group 1 interface-monitor ge-8/0/1 weight 255 set chassis cluster redundancy-group 1 interface-monitor ge-0/0/2 weight 255 set chassis cluster redundancy-group 1 interface-monitor ge-8/0/2 weight 255 set interfaces ge-0/0/1 gigether-options redundant-parent reth0 set interfaces ge-0/0/2 gigether-options redundant-parent reth1 set interfaces ge-8/0/1 gigether-options redundant-parent reth0 set interfaces ge-8/0/2 gigether-options redundant-parent reth1 set interfaces reth0 redundant-ether-options redundancy-group 1 set interfaces reth0 unit 0 family inet address 192.179.1.10/24 set interfaces reth1 redundant-ether-options redundancy-group 1 set interfaces reth1 unit 0 family inet address 100.10.1.50/24 set interfaces st0 unit 0 family inet address 172.168.100.2/16 set routing-options static route 192.179.2.0/24 next-hop st0.0 set routing-options static route 192.179.100.0/24 next-hop 100.10.1.253 set security zones security-zone untrust host-inbound-traffic system-services all set security zones security-zone untrust host-inbound-traffic protocols all set security zones security-zone untrust interfaces st0.0 set security zones security-zone untrust interfaces reth1.0 set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces reth0.0 set security ike proposal IKE_PROP authentication-method pre-shared-keys set security ike proposal IKE_PROP dh-group group5 set security ike proposal IKE_PROP authentication-algorithm sha1 set security ike proposal IKE_PROP encryption-algorithm aes-256-cbc set security ike policy IKE_POL proposals IKE_PROP set security ike policy IKE_POL pre-shared-key ascii-text "$ABC123" set security ike gateway Branch_GW ike-policy IKE_POL set security ike gateway Branch_GW dynamic hostname branch.example.net set security ike gateway Branch_GW dead-peer-detection optimized set security ike gateway Branch_GW external-interface reth1.0 set security ike gateway Branch_GW version v2-only set security ipsec proposal IPSEC_PROP protocol esp set security ipsec proposal IPSEC_PROP authentication-algorithm hmac-sha1-96 set security ipsec proposal IPSEC_PROP encryption-algorithm aes-256-cbc set security ipsec policy IPSEC_POL perfect-forward-secrecy keys group5 set security ipsec policy IPSEC_POL proposals IPSEC_PROP set security ipsec vpn Branch_VPN bind-interface st0.0 set security ipsec vpn Branch_VPN ike gateway Branch_GW set security ipsec vpn Branch_VPN ike ipsec-policy IPSEC_POL set security policies default-policy permit-all
단계별 절차
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.
2개의 노드를 섀시 클러스터로 구성합니다.
[edit chassis cluster] user@host# set reth-count 5 user@host# set redundancy-group 1 node 0 priority 220 user@host# set redundancy-group 1 node 1 priority 149 user@host# set redundancy-group 1 interface-monitor ge-0/0/1 weight 255 user@host# set redundancy-group 1 interface-monitor ge-8/0/1 weight 255 user@host# set redundancy-group 1 interface-monitor ge-0/0/2 weight 255 user@host# set redundancy-group 1 interface-monitor ge-8/0/2 weight 255
인터페이스를 구성합니다.
[edit interfaces] user@host# set ge-0/0/1 gigether-options redundant-parent reth0 user@host# set ge-0/0/2 gigether-options redundant-parent reth1 user@host# set ge-8/0/1 gigether-options redundant-parent reth0 user@host# set ge-8/0/2 gigether-options redundant-parent reth1 user@host# set reth0 redundant-ether-options redundancy-group 1 user@host# set reth0 unit 0 family inet address 192.179.1.10/24 user@host# set reth1 redundant-ether-options redundancy-group 1 user@host# set reth1 unit 0 family inet address 100.10.1.50/24 user@host# set st0 unit 0 family inet address 172.168.100.2/16
라우팅 옵션을 구성합니다.
[edit routing-options] user@host# set static route 192.179.2.0/24 next-hop st0.0 user@host# set static route 192.179.100.0/24 next-hop 100.10.1.253
영역을 구성합니다.
[edit security zones security-zone untrust] user@host# set host-inbound-traffic protocols all user@host# set host-inbound-traffic system-services all user@host# set interfaces st0.0 user@host# set interfaces reth1.0 [edit security zones security-zone trust] user@host# set host-inbound-traffic system-services all user@host# set host-inbound-traffic protocols all user@host# set interfaces reth0.0
1단계 옵션을 구성합니다.
[edit security ike proposal IKE_PROP] user@host# set authentication-method pre-shared-keys user@host# set dh-group group5 user@host# set authentication-algorithm sha1 user@host# set encryption-algorithm aes-256-cbc [edit security ike policy IKE_POL] user@host# set proposals IKE_PROP user@host# set pre-shared-key ascii-text "$ABC123" [edit security ike gateway Branch_GW] user@host# set ike-policy IKE_POL user@host# set dynamic hostname branch.example.net user@host# set dead-peer-detection optimized user@host# set external-interface reth1.0 user@host# set version v2-only
2단계 옵션을 구성합니다.
[edit security ipsec proposal IPSEC_PROP] user@host# set protocol esp user@host# set authentication-algorithm hmac-sha1-96 user@host# set encryption-algorithm aes-256-cbc [edit security ipsec policy IPSEC_POL] user@host# set perfect-forward-secrecy keys group5 user@host# set proposals IPSEC_PROP [edit security ipsec vpn Branch_VPN] user@host# set bind-interface st0.0 user@host# set ike gateway Branch_GW user@host# set ike ipsec-policy IPSEC_POL
기본 보안 정책을 구성합니다.
[edit security policies] user@host# set default-policy permit-all
결과
구성 모드에서 show chassis cluster, show interfaces, show routing-options, show security zones, show security ike, show security ipsec 및 show security policies 명령을 입력하여 구성을 확인합니다. 출력이 의도된 구성을 표시하지 않으면, 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show chassis cluster
reth-count 5;
redundancy-group 1 {
node 0 priority 220;
node 1 priority 149;
interface-monitor {
ge-0/0/1 weight 255;
ge-8/0/1 weight 255;
ge-0/0/2 weight 255;
ge-8/0/2 weight 255;
}
}
[edit]
user@host# show interfaces
ge-0/0/1 {
gigether-options {
redundant-parent reth0;
}
}
ge-0/0/2 {
gigether-options {
redundant-parent reth1;
}
}
ge-8/0/1 {
gigether-options {
redundant-parent reth0;
}
}
ge-8/0/2 {
gigether-options {
redundant-parent reth1;
}
}
reth0 {
redundant-ether-options {
redundancy-group 1;
}
unit 0 {
family inet {
address 192.179.1.10/24;
}
}
}
reth1 {
redundant-ether-options {
redundancy-group 1;
}
unit 0 {
family inet {
address 100.10.1.50/24;
}
}
}
st0 {
unit 0{
family inet {
address 172.168.100.2/16;
}
}
}
[edit]
user@host# show routing-options
static {
route 192.179.2.0/24 next-hop st0.0;
route 192.179.100.0/24 next-hop 100.10.1.253;
}
[edit]
user@host# show security zones
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
reth0.0;
}
}
security-zone untrust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
st0.0;
reth1.0;
}
}
[edit]
user@host# show security ike
proposal IKE_PROP {
authentication-method pre-shared-keys;
dh-group group5;
authentication-algorithm sha1;
encryption-algorithm aes-256-cbc;
}
policy IKE_POL {
proposals IKE_PROP;
pre-shared-key ascii-text “$ABC123”
}
gateway Branch_GW {
ike-policy IKE_POL;
dynamic hostname branch.example.net;
dead-peer-detection optimized;
external-interface reth1.0;
version v2-only;
}
[edit]
user@host# show security ipsec
proposal IPSEC_PROP {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm aes-256-cbc;
}
policy IPSEC_POL {
perfect-forward-secrecy {
keys group5;
}
proposals IPSEC_PROP;
}
vpn Branch_VPN {
bind-interface st0.0;
ike {
gateway Branch_GW;
ipsec-policy IPSEC_POL;
}
}
[edit]
user@host# show security policies
default-policy {
permit-all;
}
검증
구성이 올바르게 작동하고 있는지 확인합니다.
응답자에 대한 IKE(Internet Key Exchange) 1단계 상태 확인
목적
IKE(Internet Key Exchange) 1단계 상태를 확인합니다.
작업
노드 0의 운영 모드에서 show security ike security-associations 명령을 입력하십시오. 명령에서 인덱스 번호를 얻은 후 show security ike security-associations detail 명령을 사용하십시오.
user@host# show security ike security-associations node0: Index State Initiator cookie Responder cookie Mode Remote Address 1367024684 UP f82c54347e2f3fb1 020e28e1e4cae003 IKEv2 100.10.1.253
user@host# show security ike security-associations detail node0: IKE peer 100.10.1.253, Index 1367024684, Gateway Name: Branch_GW Location: FPC 5, PIC 0, KMD-Instance 2 Role: Responder, State: UP Initiator cookie: f82c54347e2f3fb1, Responder cookie: 020e28e1e4cae003 Exchange type: IKEv2, Authentication method: Pre-shared-keys Local: 100.10.1.50:4500, Remote: 100.10.1.253:2541 Lifetime: Expires in 3593 seconds Peer ike-id: branch.example.net Xauth assigned IP: 0.0.0.0 Algorithms: Authentication : hmac-sha1-96 Encryption : aes256-cbc Pseudo random function: hmac-sha1 Diffie-Hellman group : DH-group-5 Traffic statistics: Input bytes : 683 Output bytes : 400 Input packets: 2 Output packets: 1 IPSec security associations: 0 created, 0 deleted Phase 2 negotiations in progress: 1
의미
show security ike security-associations 명령은 모든 활성 IKE(Internet Key Exchange) 1단계 SA를 나열합니다. SA가 나열되어 있지 않은 경우, 1단계 설정에 문제가 있는 것입니다. 구성에서 IKE(Internet Key Exchange) 정책 매개 변수 및 외부 인터페이스 설정을 확인합니다.
SA가 나열되어 있는 경우 다음 정보를 검토합니다.
인덱스 - 이 값은 각 IKE(Internet Key Exchange)에 대해 고유한 값이며 SA에 대한 자세한 정보를 얻기 위해
show security ike security-associations index index_id detail명령을 사용할 수 있습니다.원격 주소 - 로컬 IP 주소가 올바르고 포트 4500이 피어 투 피어의 통신에 사용되고 있는지 확인합니다.
역할 응답자 상태
업 - 1단계 SA가 설정되었습니다.
다운 - 1단계 SA를 설정하는 데 문제가 있었습니다.
피어 IKE(Internet Key Exchange) ID - 주소가 올바른지 확인합니다.
로컬 ID 및 원격 ID - 이러한 주소가 올바른지 확인합니다.
모드 - 올바른 모드가 사용되고 있는지 확인합니다.
구성에서 다음 사항이 올바른지 확인합니다.
외부 인터페이스(인터페이스는 IKE 패킷을 전송하는 인터페이스여야 합니다)
IKE(Internet Key Exchange) 정책 매개 변수
사전 공유 키 정보
1단계 제안 매개 변수(두 피어 모두에서 일치해야 합니다)
show security ike security-associations 명령은 보안 연관(SA)에 대한 추가 정보를 나열합니다.
사용된 인증 및 암호화 알고리즘
1단계 수명
트래픽 통계(트래픽이 양방향으로 올바르게 흐르고 있는지 확인하는 데 사용할 수 있습니다)
역할 정보
문제 해결은 응답자 역할을 사용하여 피어에서 가장 잘 수행됩니다.
개시자 및 응답자 정보
생성된 IPsec SA의 수
진행 중인 2단계 협상 수
응답자에 대한 IPsec 보안 연관 확인
목적
IPsec 상태를 확인합니다.
작업
노드 0의 운영 모드에서 show security ipsec security-associations 명령을 입력하십시오. 명령에서 인덱스 번호를 얻은 후 show security ipsec security-associations detail 명령을 사용하십시오.
user@host# show security ipsec security-associations node0 Total active tunnels: 1 ID Algorithm SPI Life:sec/kb Mon lsys Port Gateway <77856771 ESP:aes-cbc-256/sha1 4ad5af40 7186/unlim - root 2541 100.10.1.253 >77856771 ESP:aes-cbc-256/sha1 5bb0a5ee 7186/unlim - root 2541 100.10.1.253
user@host# show security ipsec security-associations detail
node0
ID: 77856771 Virtual-system: root, VPN Name: Branch_VPN
Local Gateway: 100.10.1.50, Remote Gateway: 100.10.1.253
Local Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Remote Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
Version: IKEv2
DF-bit: clear
Bind-interface: st0.0
Port: 2541, Nego#: 0, Fail#: 0, Def-Del#: 0 Flag: 608a29
Tunnel Down Reason: SA not initiated
Location: FPC 5, PIC 0, KMD-Instance 2
Direction: inbound, SPI: 4ad5af40, AUX-SPI: 0
, VPN Monitoring: -
Hard lifetime: Expires in 7182 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 6587 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: aes-cbc (256 bits)
Anti-replay service: counter-based enabled, Replay window size: 64
의미
show security ipsec security-associations 명령의 출력은 다음 정보를 나열합니다.
원격 게이트웨이는 100.10.1.253의 IP 주소를 가지고 있습니다.
SPI, 수명(초 단위) 및 사용 제한(또는 KB의 실물 크기)이 양방향으로 표시됩니다. 수명 값은 2단계 수명이 7186초 후에 만료되고 실물 크기가 지정되지 않았음을 나타내며, 이는 무제한임을 나타냅니다. 2단계 수명은 VPN이 up된 후 1단계에 종속되지 않기 때문에 1단계 수명과 다를 수 있습니다.
가상 시스템(vsys)은 루트 시스템으로 항상 0을 나열합니다.
show security ipsec security-associations index index_id detail 명령의 출력은 다음 정보를 나열합니다.
로컬 ID 및 원격 ID는 SA의 프록시 ID를 구성합니다.
프록시 ID 불일치는 2단계 실패에 대한 가장 흔한 원인 중 하나입니다. IPsec SA가 나열되지 않은 경우 프록시 ID 설정을 포함한 2단계 제안이 두 피어에 일치하는지 확인합니다. 경로 기반 VPN의 경우, 기본 프록시 ID는 local=0.0.0.0/0, remote=0.0.0.0/0, 그리고 service=any입니다. 동일한 피어 IP의 다중 경로 기반 VPN에서 문제가 발생할 수 있습니다. 이 경우 각 IPsec SA에 대한 고유 프록시 ID를 지정해야 합니다. 일부 타사 밴더의 경우 프록시 ID는 수동으로 입력해 일치시켜야 합니다.
2단계 실패에 대한 또 다른 일반적인 이유는 ST 인터페이스 바인딩을 지정하지 않았기 때문입니다. IPsec 완료되지 않은 경우 kmd 로그 또는 추적 옵션을 확인합니다.
변경 내역 표
기능 지원은 사용 중인 플랫폼과 릴리스에 따라 결정됩니다. Feature Explorer 를 사용하여 플랫폼에서 기능이 지원되는지 확인하세요.
[edit security ike gateway gateway-name]계층 수준에서 구성된 nat-keepalive옵션의 기본값이 5초에서 20초로 변경되었습니다.