Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Descripción general de la configuración de VPN IPsec

Lea este tema para obtener información acerca de la configuración de VPN en Junos OS.

Una conexión VPN puede enlazar dos LAN (VPN de sitio a sitio) o un usuario de marcado remoto y una LAN. El tráfico que fluye entre estos dos puntos pasa a través de recursos compartidos tales como enrutadores, conmutadores y otros equipos de red que forman la WAN pública. Se crea un túnel IPsec entre dos dispositivos participantes para proteger la comunicación VPN.

Descripción general de la configuración de VPN IPsec con IKE de clave automática

La negociación VPN IPsec se produce en dos fases. En la fase 1, los participantes establecen un canal seguro en el cual negociar la asociación de seguridad IPSec (SA). En la fase 2, los participantes negocian la SA de IPsec para autenticar el tráfico que fluirá a través del túnel.

En esta descripción general, se describen los pasos básicos para configurar una VPN IPsec basada en rutas o políticas mediante IKE de clave automática (claves o certificados previamente compartidos).

Para configurar una VPN IPsec basada en rutas o en políticas mediante IKE de clave automática:

  1. Configure interfaces, zonas de seguridad e información de libreta de direcciones.

    (Para VPN basadas en rutas) Configure una interfaz st0.x de túnel seguro. Configure el enrutamiento en el dispositivo.

  2. Configure la fase 1 del túnel VPN IPsec.
    1. (Opcional) Configure una propuesta de fase 1 de IKE personalizada. Este paso es opcional, ya que puede utilizar un conjunto predefinido de propuestas de fase 1 de IKE (Estándar, Compatible o Básico).
    2. Configure una política de IKE que haga referencia a su propuesta de fase 1 de IKE personalizada o a un conjunto de propuestas de fase 1 de IKE predefinido. Especifique la clave automática ICR previamente compartida o la información del certificado. Especifique el modo (principal o agresivo) para los intercambios de fase 1.
    3. Configure una puerta de enlace de IKE que haga referencia a la política de ICR. Especifique los ID de IKE para los dispositivos locales y remotos. Si no se conoce la dirección IP de la puerta de enlace remota, especifique cómo se va a identificar la puerta de enlace remota.
  3. Configure la fase 2 del túnel VPN IPsec.
    1. (Opcional) Configure una propuesta de fase 2 de IPsec personalizada. Este paso es opcional, ya que puede usar un conjunto predefinido de propuestas de fase 2 de IPsec (Estándar, Compatible o Básico).
    2. Configure una política IPsec que haga referencia a su propuesta de fase 2 de IPsec personalizada o a un conjunto de propuestas de fase 2 de IPsec predefinido. Especifique claves de confidencialidad directa perfecta (PFS).
    3. Configure un túnel VPN IPsec que haga referencia tanto a la puerta de enlace de IKE como a la política de IPsec. Especifique los ID de proxy que se utilizarán en las negociaciones de fase 2.

      (Para VPN basadas en rutas) Enlazar la interfaz de túnel seguro st0.x al túnel VPN IPsec.

  4. Configure una política de seguridad para permitir tráfico desde la zona de origen a la zona de destino.

    (Para VPN basadas en políticas) Especifique la acción tunnel ipsec-vpn de la política de seguridad con el nombre del túnel VPN IPsec que configuró.

  5. Actualiza la configuración global de VPN.

Descripción de VPN IPsec con puntos de conexión dinámicos

Descripción general

Un par VPN IPsec puede tener una dirección IP que no conoce el par con el que establece la conexión VPN. Por ejemplo, un par puede tener una dirección IP asignada dinámicamente por medio del Protocolo de configuración dinámica de host (DHCP). Este podría ser el caso de un cliente de acceso remoto en una sucursal u oficina en casa o un dispositivo móvil que se mueve entre diferentes ubicaciones físicas. O bien, el par puede estar ubicado detrás de un dispositivo TDR que traduce la dirección IP de origen original del par a una dirección diferente. Un par VPN con una dirección IP desconocida se denomina punto de conexión dinámico y una VPN establecida con un punto de conexión dinámico se denomina VPN de punto de conexión dinámico.

En los firewalls de la serie SRX, IKEv1 o IKEv2 se admiten con VPN de punto de conexión dinámico. Las VPN de punto de conexión dinámico en firewalls de la serie SRX admiten el tráfico IPv4 en túneles seguros. Las VPN de punto de conexión dinámico en firewalls de la serie SRX admiten el tráfico IPv6 en túneles seguros.

El tráfico IPv6 no se admite para redes AutoVPN.

En las siguientes secciones se describen los elementos que se deben tener en cuenta al configurar una VPN con un punto de conexión dinámico.

Identidad de IKE

En el punto de conexión dinámico, debe configurarse una identidad IKE para que el dispositivo se identifique ante su par. La identidad local del punto de conexión dinámico se comprueba en el par. De forma predeterminada, el firewall de la serie SRX espera que la identidad de IKE sea una de las siguientes:

  • Cuando se utilizan certificados, se puede utilizar un nombre distintivo (DN) para identificar a los usuarios o a una organización.

  • Un nombre de host o un nombre de dominio completo (FQDN) que identifica el punto de conexión.

  • Un nombre de dominio completo de usuario (UFQDN), también conocido como nombre de usuario en host. Esta es una cadena que sigue el formato de dirección de correo electrónico.

Modo agresivo para la política IKEv1

Cuando se utiliza IKEv1 con VPN de punto de conexión dinámico, la política de IKE debe configurarse para el modo agresivo.

Interfaces externas y políticas de IKE

Todas las puertas de enlace de punto de conexión dinámico configuradas en firewalls de la serie SRX que utilizan la misma interfaz externa pueden utilizar políticas de IKE diferentes, pero las políticas de IKE deben utilizar la misma propuesta de IKE. Esto se aplica a IKEv1 y IKEv2.

TDR

Si el punto de conexión dinámico está detrás de un dispositivo TDR, TDR-T debe configurarse en el firewall de la serie SRX. Es posible que se requieran señales de mantenimiento de TDR para mantener la traducción de TDR durante la conexión entre los pares VPN. De forma predeterminada, TDR-T está habilitado en los firewalls de la serie SRX y las señales de mantenimiento de TDR se envían a intervalos de 20 segundos.

ID de IKE compartidos y de grupo

Puede configurar un túnel VPN individual para cada punto de conexión dinámico. Para VPN de punto de conexión dinámico IPv4, puede utilizar las funciones de ID de IKE de grupo o ID de IKE compartido para permitir que varios puntos de conexión dinámicos compartan una configuración de puerta de enlace IKE.

El ID de IKE de grupo le permite definir una parte común de un ID de IKE completo para todos los puntos de conexión dinámicos, como "example.net". Una parte específica del usuario, como el nombre de usuario "Bob", concatenada con la parte común forma un ID de IKE completo (Bob.example.net) que identifica de forma única cada conexión de usuario.

El ID de IKE compartido permite que los puntos de conexión dinámicos compartan un único ID de IKE y una clave previamente compartida.

Descripción de la configuración de identidad de IKE

La identificación de IKE (ID de IKE) se utiliza para la validación de dispositivos par VPN durante la negociación de IKE. El ID de IKE recibido por el firewall de la serie SRX de un par remoto puede ser una dirección IPv4 o IPv6, un nombre de host, un nombre de dominio completo (FQDN), un FQDN de usuario (UFQDN) o un nombre distintivo (DN). El ID de IKE enviado por el par remoto debe coincidir con lo esperado por el firewall de la serie SRX. De lo contrario, se producirá un error en la validación del ID de IKE y no se establecerá la VPN.

Tipos de ID de IKE

Los firewalls de la serie SRX admiten los siguientes tipos de identidades IKE para pares remotos:

  • Una dirección IPv4 o IPv6 se usa comúnmente con VPN de sitio a sitio, donde el par remoto tiene una dirección IP estática.

  • Un nombre de host es una cadena que identifica al sistema par remoto. Puede ser un FQDN que se resuelva en una dirección IP. También puede ser un FQDN parcial que se usa junto con un tipo de usuario IKE para identificar a un usuario remoto específico.

    Cuando se configura un nombre de host en lugar de una dirección IP, la configuración confirmada y el posterior establecimiento del túnel se basan en la dirección IP resuelta actualmente. Si la dirección IP del par remoto cambia, la configuración ya no es válida.

  • Un UFQDN es una cadena que sigue el mismo formato que una dirección de correo electrónico, como user@example.com.

  • Un DN es un nombre utilizado con certificados digitales para identificar de forma única a un usuario. Por ejemplo, un DN puede ser "CN=usuario, DC=ejemplo, DC=com". Opcionalmente, puede utilizar la container palabra clave para especificar que el orden de los campos en un DN y sus valores coincidan exactamente con el DN configurado, o utilizar la wildcard palabra clave para especificar que los valores de los campos en un DN deben coincidir, pero el orden de los campos no importa.

    Ahora solo puede configurar un atributo de DN dinámico entre container-string y wildcard-string en [edit security ike gateway gateway_name dynamic distinguished-name] la jerarquía. Si intenta configurar el segundo atributo después de configurar el primero, el primer atributo se sustituye por el segundo. Antes de actualizar el dispositivo, debe quitar uno de los atributos si configuró ambos.

  • Se puede utilizar un tipo de usuario de IKE con AutoVPN y VPN de acceso remoto cuando hay varios pares remotos que se conectan a la misma puerta de enlace VPN en el firewall de la serie SRX. Configure ike-user-type group-ike-id esta opción para especificar un ID de IKE de grupo o ike-user-type shared-ike-id para especificar un ID de IKE compartido.

ID de IKE remotas y VPN de sitio a sitio

Para VPN de sitio a sitio, el ID de IKE del par remoto puede ser la dirección IP de la tarjeta de interfaz de red de salida, una dirección de circuito cerrado, un nombre de host o un ID de IKE configurado manualmente, según la configuración del dispositivo del par.

De forma predeterminada, los firewalls de la serie SRX esperan que el ID de IKE del par remoto sea la dirección IP configurada con la set security ike gateway gateway-name address configuración. Si el ID de IKE del par remoto es un valor diferente, debe configurar la remote-identity instrucción en el nivel de jerarquía [edit security ike gateway gateway-name].

Por ejemplo, una puerta de enlace IKE en los firewalls de la serie SRX se configura con el set security ike gateway remote-gateway address 203.0.113.1 comando. Sin embargo, el ID de IKE enviado por el par remoto es host.example.net. Existe una discrepancia entre lo que el firewall de la serie SRX espera para el ID de IKE del par remoto (203.0.113.1) y el ID de IKE real (host.example.net) enviado por el par. En este caso, se produce un error en la validación del ID de IKE. Utilice el set security ike gateway remote-gateway remote-identity hostname host.example.net para hacer coincidir el ID de IKE recibido del par remoto.

ID de IKE remoto y VPN de punto de conexión dinámico

Para VPN de punto de conexión dinámico, el ID de IKE esperado del par remoto se configura con las opciones en el nivel de jerarquía [edit security ike gateway gateway-name dynamic]. Para AutoVPN, hostname combinado con ike-user-type group-ike-id se puede usar cuando hay varios pares que tienen un nombre de dominio común. Si se utilizan certificados para verificar el par, se puede configurar un DN.

ID de IKE local del firewall de la serie SRX

De forma predeterminada, el firewall de la serie SRX utiliza la dirección IP de su interfaz externa para el par remoto como ID de IKE. Este ID de IKE se puede anular configurando la local-identity instrucción en el nivel de jerarquía [edit security ike gateway gateway-name]. Si necesita configurar la instrucción en un firewall de la local-identity serie SRX, asegúrese de que el ID de IKE configurado coincida con el ID de IKE esperado por el par remoto.

Configuración de ID de IKE remoto para VPN de sitio a sitio

De forma predeterminada, los firewalls de la serie SRX validan el ID de IKE recibido del par con la dirección IP configurada para la puerta de enlace de IKE. En ciertas configuraciones de red, el ID de IKE recibido del par (que puede ser una dirección IPv4 o IPv6, un nombre de dominio completo [FQDN], un nombre distintivo o una dirección de correo electrónico) no coincide con la puerta de enlace de IKE configurada en el firewall de la serie SRX. Esto puede provocar un error en la validación de fase 1.

Para modificar la configuración del firewall de la serie SRX o del dispositivo par para el ID de IKE que se utiliza:

  • En el firewall de la serie SRX, configure la remote-identity instrucción en el nivel de jerarquía [edit security ike gateway gateway-name] para que coincida con el ID de IKE que se recibe del par. Los valores pueden ser una dirección IPv4 o IPv6, un FQDN, un nombre distintivo o una dirección de correo electrónico.

    Si no configura remote-identity, el dispositivo utiliza la dirección IPv4 o IPv6 que corresponde al par remoto de forma predeterminada.

  • En el dispositivo par, asegúrese de que el ID de IKE sea el mismo que el remote-identity configurado en el firewall de la serie SRX. Si el dispositivo par es un firewall de la serie SRX, configure la local-identity instrucción en el nivel de jerarquía [edit security ike gateway gateway-name]. Los valores pueden ser una dirección IPv4 o IPv6, un FQDN, un nombre distintivo o una dirección de correo electrónico.

Descripción de la autenticación de OSPF y OSPFv3 en firewalls de la serie SRX

OSPFv3 no tiene un método de autenticación integrado y se basa en el conjunto de Seguridad IP (IPsec) para proporcionar esta funcionalidad. IPsec proporciona autenticación de origen, integridad de datos, confidencialidad, protección de reproducción y no rechazo de origen. Puede usar IPsec para proteger interfaces OSPFv3 y vínculos virtuales específicos, y para proporcionar cifrado para paquetes OSPF.

OSPFv3 utiliza el encabezado de autenticación IP (AH) y las porciones de carga de Seguridad de encapsulación IP (ESP) del protocolo IPsec para autenticar la información de enrutamiento entre pares. AH puede proporcionar integridad sin conexión y autenticación de origen de datos. También proporciona protección contra las repeticiones. AH autentica la mayor parte posible del encabezado IP, así como los datos de protocolo de nivel superior. Sin embargo, algunos campos del encabezado IP pueden cambiar en tránsito. Dado que el valor de estos campos puede no ser predecible para el remitente, no pueden protegerse con AH. ESP puede proporcionar cifrado y confidencialidad de flujo de tráfico limitado o integridad sin conexión, autenticación de origen de datos y un servicio antireproducción.

IPsec se basa en asociaciones de seguridad (SA). Una SA es un conjunto de especificaciones de IPsec que se negocian entre dispositivos que establecen una relación IPsec. Esta conexión símplex proporciona servicios de seguridad a los paquetes transportados por la SA. Estas especificaciones incluyen preferencias por el tipo de autenticación, el cifrado y el protocolo IPsec que se utilizará al establecer la conexión IPsec. Una SA se utiliza para cifrar y autenticar un flujo determinado en una dirección. Por lo tanto, en el tráfico bidireccional normal, los flujos están protegidos por un par de SA. Una SA que se va a usar con OSPFv3 debe configurarse manualmente y usar el modo de transporte. Los valores estáticos deben configurarse en ambos extremos de la SA.

Para configurar IPsec para OSPF u OSPFv3, primero defina una SA manual con la security-association sa-name opción en el nivel de jerarquía [edit security ipsec]. Esta característica solo admite SA de clave manual bidireccional en modo de transporte. Las SA manuales no requieren negociación entre los pares. Todos los valores, incluidas las claves, son estáticos y se especifican en la configuración. Las SA manuales definen estáticamente los valores, algoritmos y claves del índice de parámetros de seguridad (SPI) que se utilizarán y requieren configuraciones coincidentes en ambos puntos de conexión (pares OSPF u OSPFv3). Como resultado, cada par debe tener las mismas opciones configuradas para que se lleve a cabo la comunicación.

La elección real de los algoritmos de cifrado y autenticación se deja al administrador de IPsec; Sin embargo, tenemos las siguientes recomendaciones:

  • Use ESP con cifrado nulo para proporcionar autenticación a los encabezados de protocolo, pero no al encabezado IPv6, los encabezados de extensión y las opciones. Con el cifrado nulo, elige no proporcionar cifrado en los encabezados de protocolo. Esto puede ser útil para fines de solución de problemas y depuración. Para obtener más información acerca del cifrado NULL, consulte RFC 2410, El algoritmo de cifrado NULL y su uso con IPsec.

  • Use ESP con DES o 3DES para una confidencialidad total.

  • Use AH para proporcionar autenticación a encabezados de protocolo, campos inmutables en encabezados IPv6 y encabezados y opciones de extensión.

La SA configurada se aplica a las configuraciones de OSPF u OSPFv3 de la siguiente manera:

  • Para una interfaz OSPF u OSPFv3, incluya la ipsec-sa name instrucción en el nivel de jerarquía [edit protocols ospf area area-id interface interface-name] o [edit protocols ospf3 area area-id interface interface-name]. Solo se puede especificar un nombre SA IPsec para una interfaz OSPF u OSPFv3; sin embargo, diferentes interfaces de OSPF/OSPFv3 pueden especificar la misma SA de IPsec.

  • Para un vínculo virtual OSPF u OSPFv3, incluya la ipsec-sa name instrucción en el nivel de jerarquía [edit protocols ospf area area-id virtual-link neighbor-id router-id transit-area area-id] o [edit protocols ospf3 area area-id virtual-link neighbor-id router-id transit-area area-id]. Debe configurar la misma SA de IPsec para todos los vínculos virtuales con la misma dirección de punto de conexión remoto.

Las siguientes restricciones se aplican a la autenticación IPsec para OSPF u OSPFv3 en firewalls de la serie SRX:

  • Las configuraciones manuales de VPN que se configuran en el nivel de jerarquía [edit security ipsec vpn vpn-name manual] no se pueden aplicar a interfaces OSPF u OSPFv3 ni a vínculos virtuales para proporcionar autenticación y confidencialidad de IPsec.

  • No puede configurar IPsec para la autenticación de OSPF u OSPFv3 si hay una VPN IPsec existente configurada en el dispositivo con las mismas direcciones local y remota.

  • La autenticación IPsec para OSPF u OSPFv3 no se admite en interfaces st0 de túnel seguro.

  • No se admite la regeneración de claves manuales.

  • No se admiten SA de intercambio de claves por red dinámico (IKE).

  • Solo se admite el modo de transporte IPsec. En el modo de transporte, solo la carga útil (los datos que transfiere) del paquete IP se cifra, autentica o ambas cosas. No se admite el modo de túnel.

  • Dado que solo se admiten SA manuales bidireccionales, todos los pares OSPFv3 deben configurarse con la misma SA de IPsec. Puede configurar una SA bidireccional manual en el nivel de jerarquía [edit security ipsec].

  • Debe configurar la misma SA de IPsec para todos los vínculos virtuales con la misma dirección de punto de conexión remoto.

Ejemplo: configuración de la autenticación IPsec para una interfaz OSPF en un firewall de la serie SRX

En este ejemplo, se muestra cómo configurar y aplicar una asociación de seguridad (SA) manual a una interfaz OSPF.

Requisitos

Antes de empezar:

  • Configure las interfaces de los dispositivos.

  • Configure los identificadores de enrutador para los dispositivos en su red OSPF.

  • Controle la elección del enrutador designado por OSPF.

  • Configure una red OSPF de área única.

  • Configure una red OSPF de múltiples áreas.

Descripción general

Puede usar la autenticación IPsec tanto para OSPF como para OSPFv3. Puede configurar la SA manual por separado y aplicarla a la configuración del OSPF aplicable. En la tabla 3 se enumeran los parámetros y valores configurados para la SA manual en este ejemplo.

Tabla 3: SA manual para autenticación de interfaz OSPF IPsec

Parámetro

Valor

Nombre de SA

SA1

Modo

Transporte

Dirección

bidireccional

Protocolo

AH

SPI

256

Algoritmo de autenticación

Clave

HMAC-MD5-96 (en inglés)

(ASCII) 123456789012abc

Algoritmo de cifrado

Clave

des

(ASCII) cba210987654321

Configuración

Configuración de una SA manual

Configuración rápida de CLI

Para configurar rápidamente una SA manual que se utilizará para la autenticación IPsec en una interfaz de OSPF, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar una SA manual:

  1. Especifique un nombre para la SA.

  2. Especifique el modo de SA manual.

  3. Configure la dirección de la SA manual.

  4. Configure el protocolo IPsec que se va a utilizar.

  5. Configure el valor del SPI.

  6. Configure el algoritmo y la clave de autenticación.

  7. Configure el algoritmo de cifrado y la clave.

Resultados

Ingrese el comando para confirmar la show security ipsec configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregirla.

Después de configurar la contraseña, no verá la contraseña en sí. El resultado muestra la forma cifrada de la contraseña que configuró.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Habilitación de la autenticación IPsec para una interfaz OSPF

Configuración rápida de CLI

Para aplicar rápidamente una SA manual utilizada para la autenticación IPsec a una interfaz de OSPF, copie el siguiente comando, péguelo en un archivo de texto, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue el comando en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

Procedimiento paso a paso

Para habilitar la autenticación IPsec para una interfaz OSPF:

  1. Cree un área OSPF.

    Para especificar OSPFv3, incluya la ospf3 instrucción en el nivel de [edit protocols] jerarquía.

  2. Especifique la interfaz.

  3. Aplique la SA manual de IPsec.

Resultados

Ingrese el comando para confirmar la show ospf interface detail configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregirla.

Para confirmar su configuración de OSPFv3, ingrese el show protocols ospf3 comando.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Verificación

Confirme que la configuración funcione correctamente.

Comprobación de la configuración de asociación de seguridad de IPsec

Propósito

Compruebe la configuración de asociación de seguridad IPsec configurada. Verifique la información siguiente:

  • El campo Asociación de seguridad muestra el nombre de la asociación de seguridad configurada.

  • El campo SPI muestra el valor que configuró.

  • El campo Modo muestra el modo de transporte.

  • El campo Tipo muestra manual como el tipo de asociación de seguridad.

Acción

Desde el modo operativo, introduzca el show ospf interface detail comando.

Verificar la asociación de seguridad IPsec en la interfaz OSPF

Propósito

Compruebe que la asociación de seguridad IPsec que configuró se aplicó a la interfaz del OSPF. Confirme que el campo Nombre de SA de IPsec muestra el nombre de la asociación de seguridad IPsec configurada.

Acción

Desde el modo operativo, ingrese el show ospf interface detail comando para OSPF e ingrese el show ospf3 interface detail comando para OSPFv3.

Configurar VPN IPsec mediante el asistente VPN

El Asistente para VPN le permite realizar la configuración básica de VPN IPsec, incluidas la fase 1 y la fase 2. Para una configuración más avanzada, utilice la interfaz J-web o la CLI. Esta función se admite en dispositivos SRX300, SRX320, SRX340, SRX345 y SRX550HM.

Para configurar VPN IPsec con el asistente VPN:

  1. Seleccione Configure>Device Setup>VPN esta opción en la interfaz J-Web.
  2. Haga clic en el botón Iniciar asistente VPN.
  3. Siga las instrucciones del asistente.

El área superior izquierda de la página del asistente muestra en qué etapa del proceso de configuración se encuentra. El área inferior izquierda de la página muestra ayuda sensible al campo. Al hacer clic en un vínculo bajo el encabezado Recursos, el documento se abre en su navegador. Si el documento se abre en una nueva pestaña, asegúrese de cerrar solo la pestaña (no la ventana del navegador) cuando cierre el documento.

Ejemplo: Configuración de una VPN radial

En este ejemplo, se muestra cómo configurar una VPN IPsec radial para una implementación de clase empresarial. Para VPN VPN IPSec de sitio a sitio con IKEv1 e IKEv2, consulte VPN IPsec basada en rutas con IKEv1 y VPN IPsec basada en rutas con IKEv1 , respectivamente.

Requisitos

En este ejemplo, se utiliza el siguiente hardware:

  • Dispositivo SRX240

  • Dispositivo SRX5800

  • Dispositivo SSG140

Antes de comenzar, lea Descripción general de IPsec.

Descripción general

En este ejemplo, se describe cómo configurar una VPN radial que se encuentra normalmente en las implementaciones de sucursal. El centro es la oficina corporativa, y hay dos radios: una sucursal en Sunnyvale, California, y una sucursal en Westford, Massachusetts. Los usuarios de las sucursales utilizarán la VPN para transferir datos de forma segura con la oficina corporativa.

En la figura 1 , se muestra un ejemplo de una topología VPN radial. En esta topología, un dispositivo SRX5800 se encuentra en la oficina corporativa. Un firewall de la serie SRX se encuentra en la sucursal de Westford y un dispositivo SSG140 se encuentra en la sucursal de Sunnyvale.

Figura 1: Topología Network topology diagram showing VPN setup between Sunnyvale, Westford, and Corporate Office. Trust zones: Sunnyvale 192.168.168.0/24, Westford 192.168.178.0/24, Corporate Office 192.168.10.0/24. VPN zones: Sunnyvale Tunnel1 10.11.11.11/24, Westford st0.0 10.11.11.12/24, Corporate Office st0.0 10.11.11.10/24. Red dashed lines indicate VPN tunnels; solid black lines show connections. VPN radial

En este ejemplo, se configura el hub de la oficina corporativa, el radio Westford y el radio Sunnyvale. Primero se configuran interfaces, rutas estáticas y predeterminadas IPv4, zonas de seguridad y libretas de direcciones. A continuación, configure los parámetros IKE fase 1 y fase 2 IPsec y vincule la interfaz st0.0 a la VPN IPsec. En el concentrador, configure st0.0 para multipunto y agregue una entrada de tabla NHTB estática para la radio de Sunnyvale. Por último, debe configurar la política de seguridad y los parámetros TCP-MSS. Consulte de la Tabla 4 a la Tabla 8 para ver los parámetros de configuración específicos utilizados en este ejemplo.

Tabla 4: Información de interfaz, zona de seguridad y libreta de direcciones

Concentrador o radio

Reportaje

Nombre

Parámetros de configuración

Centro

Interfaces

GE-0/0/0.0

192.168.10.1/24

   

GE-0/0/3.0

10.1.1.2/30

   

st0

10.11.11.10/24

Hablado

Interfaces

GE-0/0/0.0

10.3.3.2/30

   

GE-0/0/3.0

192.168.178.1/24

   

st0

10.11.11.12/24

Centro

Zonas de seguridad

confianza

  • Se permiten todos los servicios del sistema.

  • La interfaz ge-0/0/0.0 está vinculada a esta zona.

   

no confiar

  • ICR es el único servicio de sistema permitido.

  • La interfaz ge-0/0/3.0 está vinculada a esta zona.

   

VPN

La interfaz st0.0 está vinculada a esta zona.

Hablado

Zonas de seguridad

confianza

  • Se permiten todos los servicios del sistema.

  • La interfaz ge-0/0/3.0 está vinculada a esta zona.

   

no confiar

  • ICR es el único servicio de sistema permitido.

  • La interfaz ge-0/0/0.0 está vinculada a esta zona.

   

VPN

La interfaz st0.0 está vinculada a esta zona.

Centro

Entradas de la libreta de direcciones

red local

  • Esta dirección es para la libreta de direcciones de la zona de confianza.

  • La dirección de esta entrada de la libreta de direcciones es 192.168.10.0/24.

   

Sunnyvale-Net

  • Esta libreta de direcciones es para la libreta de direcciones de la zona VPN.

  • La dirección de esta entrada de la libreta de direcciones es 192.168.168.0/24.

   

Westford-Net

  • Esta dirección es para la libreta de direcciones de la zona VPN.

  • La dirección de esta entrada de la libreta de direcciones es 192.168.178.0/24.

Hablado

Entradas de la libreta de direcciones

red local

  • Esta dirección es para la libreta de direcciones de la zona de confianza.

  • La dirección de esta entrada de la libreta de direcciones es 192.168.168.178.0/24.

   

red corporativa

  • Esta dirección es para la libreta de direcciones de la zona VPN.

  • La dirección de esta entrada de la libreta de direcciones es 192.168.10.0/24.

   

Sunnyvale-Net

  • Esta dirección es para la libreta de direcciones de la zona VPN.

  • La dirección de esta entrada de la libreta de direcciones es 192.168.168.0/24.

Tabla 5: Parámetros de configuración de fase 1 de IKE

Concentrador o radio

Reportaje

Nombre

Parámetros de configuración

Centro

Propuesta

ike-fase1-propuesta

  • Método de autenticación: claves precompartidas

  • Grupo Diffie-Hellman: grupo2

  • Algoritmo de autenticación: sha1

  • Algorítmo de cifrado: AES-128-CBC

 

Política

ike-fase1-política

  • Modo: principal

  • Referencia de propuesta: ike-phase1-proposal

  • Método de autenticación de política de fase 1 de IKE: texto ASCII de clave precompartida

 

Puerta de enlace

GW-Westford

  • Referencia de política ICR: ike-phase1-policy

  • Interfaz externa: ge-0/0/3.0

  • Dirección de puerta de enlace: 10.3.3.2

   

GW-Sunnyvale

  • Referencia de política ICR: ike-phase1-policy

  • Interfaz externa: ge-0/0/3.0

  • Dirección de puerta de enlace: 10.2.2.2

Hablado

Propuesta

ike-fase1-propuesta

  • Método de autenticación: claves precompartidas

  • Grupo Diffie-Hellman: grupo2

  • Algoritmo de autenticación: sha1

  • Algorítmo de cifrado: AES-128-CBC

 

Política

ike-fase1-política

  • Modo: principal

  • Referencia de propuesta: ike-phase1-proposal

  • Método de autenticación de política de fase 1 de IKE: texto ASCII de clave precompartida

 

Puerta de enlace

GW-Corporativo

  • Referencia de política ICR: ike-phase1-policy

  • Interfaz externa: ge-0/0/0.0

  • Dirección de puerta de enlace: 10.1.1.2

Tabla 6: Parámetros de configuración de fase 2 de IPsec

Concentrador o radio

Reportaje

Nombre

Parámetros de configuración

Centro

Propuesta

propuesta ipsec-fase2

  • Protocolo: esp

  • Algorítmo de autenticación: hmac-sha1-96

  • Algorítmo de cifrado: AES-128-CBC

 

Política

ipsec-fase2-política

  • Referencia de propuesta: ipsec-fase2-propuesta

  • PFS: Grupo Diffie-Hellman2

 

VPN

vpn-sunnyvale

  • Referencia de puerta de enlace IKE: GW-Sunnyvale

  • Referencia de política IPsec: ipsec-phase2-policy

  • Enlazar a interfaz: st0.0

   

vpn-westford

  • Referencia de puerta de enlace IKE: GW-Westford

  • Referencia de política IPsec: ipsec-phase2-policy

  • Enlazar a interfaz: st0.0

Hablado

Propuesta

propuesta ipsec-fase2

  • Protocolo: esp

  • Algorítmo de autenticación: hmac-sha1-96

  • Algorítmo de cifrado: AES-128-CBC

 

Política

ipsec-fase2-política

  • Referencia de propuesta: ipsec-fase2-propuesta

  • PFS: Grupo Diffie-Hellman2

 

VPN

vpn-corporativo

  • Referencia de la puerta de enlace IKE: GW-Corporate

  • Referencia de política IPsec: ipsec-phase2-policy

  • Enlazar a interfaz: st0.0

Tabla 7: Parámetros de configuración de políticas de seguridad

Concentrador o radio

Propósito

Nombre

Parámetros de configuración

Centro

La política de seguridad permite el tráfico desde la zona de confianza a la zona VPN.

local a radios

  • Criterios de coincidencia:

    • dirección de origen red-local

    • dirección de destino sunnyvale-net

    • dirección de destino westford-net

    • aplicación cualquier

 

La política de seguridad permite el tráfico desde la zona VPN a la zona de confianza.

de radios a local

Criterios de coincidencia:

  • dirección de origen sunnyvale-net

  • fuente-dirección westford-net

  • dirección de destino red-local

  • aplicación cualquier

 

La política de seguridad permite el tráfico dentro de la zona.

de radio a radio

Criterios de coincidencia:

  • dirección de origen cualquiera

  • dirección de destino cualquiera

  • aplicación cualquier

Hablado

La política de seguridad permite el tráfico desde la zona de confianza a la zona VPN.

TO-CORP

  • Criterios de coincidencia:

    • dirección de origen red-local

    • dirección de destino corp-net

    • dirección de destino sunnyvale-net

    • aplicación cualquier

 

La política de seguridad permite el tráfico desde la zona VPN a la zona de confianza.

De la corporación

Criterios de coincidencia:

  • dirección de origen corp-net

  • dirección de origen sunnyvale-net

  • dirección de destino red-local

  • aplicación cualquier

 

La política de seguridad permite el tráfico desde la zona de no confianza a la zona de confianza.

permitir-cualquiera

Criterios de coincidencia:

  • dirección de origen cualquiera

  • origen-destino cualquiera

  • aplicación cualquier

  • Permitir acción: interfaz fuente-nat

    Al especificar source-nat interface, el firewall de la serie SRX traduce la dirección IP de origen y el puerto para el tráfico saliente utilizando la dirección IP de la interfaz de salida como dirección IP de origen y un puerto aleatorio de número alto para el puerto de origen.

Tabla 8: Parámetros de configuración TCP-MSS

Propósito

Parámetros de configuración

TCC-MSS se negocia como parte del apretón de manos de tres vías TCP y limita el tamaño máximo de un segmento TCP para ajustarse mejor a los límites de UMT en una red. Para el tráfico VPN, la sobrecarga de encapsulación de IPsec, junto con la sobrecarga de IP y la trama, puede hacer que el paquete ESP resultante supere la UMT de la interfaz física, lo cual genera fragmentación. La fragmentación da lugar a un mayor uso del ancho de banda y de los recursos del dispositivo.

El valor de 1350 es un punto de partida recomendado para la mayoría de las redes basadas en Ethernet con una UMT de 1500 o superior. Es posible que deba experimentar con distintos valores de TCP-MSS para obtener un rendimiento óptimo. Por ejemplo, es posible que necesite cambiar el valor si algún dispositivo en la ruta de acceso tiene un UMT menor o si hay alguna sobrecarga adicional, como PPP o Frame Relay.

Valor MSS: 1350

Configuración

Configuración de información básica de red, zona de seguridad y libreta de direcciones para el hub

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar la información básica de red, zona de seguridad y libreta de direcciones para el concentrador:

  1. Configure la información de interfaz Ethernet.

  2. Configure la información de rutas estáticas.

  3. Configure la zona de seguridad de no confianza.

  4. Asigne una interfaz a la zona de seguridad de no confianza.

  5. Especifique los servicios del sistema permitidos para la zona de seguridad de no confianza.

  6. Configure la zona de seguridad de confianza.

  7. Asigne una interfaz a la zona de seguridad de confianza.

  8. Especifique los servicios del sistema permitidos para la zona de seguridad de confianza.

  9. Cree una libreta de direcciones y adjunte una zona a ella.

  10. Configure la zona de seguridad vpn.

  11. Asigne una interfaz a la zona de seguridad vpn.

  12. Cree otra libreta de direcciones y adjunte una zona a ella.

Resultados

Desde el modo de configuración, ingrese los comandos , show routing-optionsy show security zonesshow security address-book para confirmar la show interfacesconfiguración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración de ICR para el concentrador

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar ICR para el concentrador:

  1. Cree la propuesta de fase 1 de IKE.

  2. Defina el método de autenticación de la propuesta de ICR.

  3. Defina el grupo Diffie-Hellman de la propuesta de ICR.

  4. Defina el algoritmo de autenticación de la propuesta de ICR.

  5. Defina el algoritmo de cifrado de la propuesta de ICR.

  6. Cree una política de fase 1 de IKE.

  7. Establezca el modo de política de fase 1 de IKE.

  8. Especifique una referencia a la propuesta de ICR.

  9. Defina el método de autenticación de política de fase 1 de IKE.

  10. Cree una puerta de enlace de fase 1 IKE y defina su interfaz externa.

  11. Defina la referencia de política de fase 1 de IKE.

  12. Defina la dirección de puerta de enlace de fase 1 de IKE.

  13. Cree una puerta de enlace de fase 1 IKE y defina su interfaz externa.

  14. Defina la referencia de política de fase 1 de IKE.

  15. Defina la dirección de puerta de enlace de fase 1 de IKE.

Resultados

Desde el modo de configuración, ingrese el comando para confirmar la show security ike configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración de IPsec para el hub

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar IPsec para el concentrador:

  1. Cree una propuesta de fase 2 de IPsec.

  2. Especifique el protocolo de propuesta de fase 2 de IPsec.

  3. Especifique el algoritmo de autenticación de propuesta de fase 2 de IPsec.

  4. Especifique el algoritmo de cifrado de propuesta de fase 2 de IPsec.

  5. Cree la política de fase 2 de IPsec.

  6. Especifique la referencia de propuesta de fase 2 de IPsec.

  7. Especifique IPsec PFS de fase 2 para usar el grupo Diffie-Hellman 2.

  8. Especifique las puertas de enlace de ICR.

  9. Especifique las políticas de fase 2 de IPsec.

  10. Especifique la interfaz que se va a enlazar.

  11. Configure la interfaz st0 como multipunto.

  12. Agregar entradas de tabla NHTB estáticas para las oficinas de Sunnyvale y Westford.

Resultados

Desde el modo de configuración, ingrese el comando para confirmar la show security ipsec configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración de políticas de seguridad para el Hub

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar políticas de seguridad para el hub:

  1. Cree la política de seguridad para permitir tráfico desde la zona de confianza a la zona VPN.

  2. Cree la política de seguridad para permitir tráfico desde la zona VPN a la zona de confianza.

  3. Cree la política de seguridad para permitir el tráfico dentro de la zona.

Resultados

Desde el modo de configuración, ingrese el comando para confirmar la show security policies configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración de TCP-MSS para el Hub

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

Para configurar la información TCP-MSS para el concentrador:

  1. Configure la información de TCP-MSS.

Resultados

Desde el modo de configuración, ingrese el comando para confirmar la show security flow configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración de información básica de red, zona de seguridad y libreta de direcciones para el Westford Spoke

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar la información básica de red, zona de seguridad y libreta de direcciones para el radio Westford:

  1. Configure la información de interfaz Ethernet.

  2. Configure la información de rutas estáticas.

  3. Configure la zona de seguridad de no confianza.

  4. Asigne una interfaz a la zona de seguridad.

  5. Especifique los servicios del sistema permitidos para la zona de seguridad de no confianza.

  6. Configure la zona de seguridad de confianza.

  7. Asigne una interfaz a la zona de seguridad de confianza.

  8. Especifique los servicios del sistema permitidos para la zona de seguridad de confianza.

  9. Configure la zona de seguridad vpn.

  10. Asigne una interfaz a la zona de seguridad vpn.

  11. Cree una libreta de direcciones y adjunte una zona a ella.

  12. Cree otra libreta de direcciones y adjunte una zona a ella.

Resultados

Desde el modo de configuración, ingrese los comandos , show routing-optionsy show security zonesshow security address-book para confirmar la show interfacesconfiguración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración de ICR para el radio Westford

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar IKE para el radio Westford:

  1. Cree la propuesta de fase 1 de IKE.

  2. Defina el método de autenticación de la propuesta de ICR.

  3. Defina el grupo Diffie-Hellman de la propuesta de ICR.

  4. Defina el algoritmo de autenticación de la propuesta de ICR.

  5. Defina el algoritmo de cifrado de la propuesta de ICR.

  6. Cree una política de fase 1 de IKE.

  7. Establezca el modo de política de fase 1 de IKE.

  8. Especifique una referencia a la propuesta de ICR.

  9. Defina el método de autenticación de política de fase 1 de IKE.

  10. Cree una puerta de enlace de fase 1 IKE y defina su interfaz externa.

  11. Defina la referencia de política de fase 1 de IKE.

  12. Defina la dirección de puerta de enlace de fase 1 de IKE.

Resultados

Desde el modo de configuración, ingrese el comando para confirmar la show security ike configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración de IPsec para el radio Westford

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar IPsec para el radio Westford:

  1. Cree una propuesta de fase 2 de IPsec.

  2. Especifique el protocolo de propuesta de fase 2 de IPsec.

  3. Especifique el algoritmo de autenticación de propuesta de fase 2 de IPsec.

  4. Especifique el algoritmo de cifrado de propuesta de fase 2 de IPsec.

  5. Cree la política de fase 2 de IPsec.

  6. Especifique la referencia de propuesta de fase 2 de IPsec.

  7. Especifique IPsec PFS de fase 2 para usar el grupo Diffie-Hellman 2.

  8. Especifique la puerta de enlace de ICR.

  9. Especifique la política de fase 2 de IPsec.

  10. Especifique la interfaz que se va a enlazar.

Resultados

Desde el modo de configuración, ingrese el comando para confirmar la show security ipsec configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración de políticas de seguridad para el Westford Spoke

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar políticas de seguridad para el radio Westford:

  1. Cree la política de seguridad para permitir tráfico desde la zona de confianza a la zona VPN.

  2. Cree la política de seguridad para permitir tráfico desde la zona VPN a la zona de confianza.

Resultados

Desde el modo de configuración, ingrese el comando para confirmar la show security policies configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración de TCP-MSS para el radio Westford

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

Para configurar TCP-MSS para el radio Westford:

  1. Configure la información de TCP-MSS.

Resultados

Desde el modo de configuración, ingrese el comando para confirmar la show security flow configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configuración del radio de Sunnyvale

Configuración rápida de CLI

En este ejemplo, se utiliza un dispositivo de la serie SSG para el radio de Sunnyvale. Como referencia, se proporciona la configuración del dispositivo de la serie SSG. Para obtener más información acerca de cómo configurar Serie SSG dispositivos, consulte , Concepts and Examples ScreenOS Reference Guideque se encuentra en https://www.juniper.net/documentation.

Para configurar rápidamente esta sección del ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Verificación

Para confirmar que la configuración funcione correctamente, realice las siguientes tareas:

Verificación del estado de fase 1 de IKE

Propósito

Verifique el estado de la fase 1 de IKE.

Acción

Antes de iniciar el proceso de verificación, debe enviar tráfico desde un host en la red 192.168.10/24 a un host en las redes 192.168.168/24 y 192.168.178/24 para activar los túneles. En el caso de las VPN basadas en rutas, puede enviar el tráfico iniciado desde el firewall de la serie SRX a través del túnel. Se recomienda que, cuando se prueben los túneles de IPsec, se envíe tráfico de prueba desde un dispositivo independiente en un extremo de la VPN a un segundo dispositivo al otro extremo de la VPN. Por ejemplo, inicie un ping de 192.168.10.10 a 192.168.168.10.

Desde el modo operativo, introduzca el show security ike security-associations comando. Después de obtener un número de índice desde el comando, utilice el show security ike security-associations index index_number detail comando.

Significado

El show security ike security-associations comando enumera todas las SA de fase 1 de IKE activas. Si no se enumera ninguna SA, hubo un problema con el establecimiento de la fase 1. Compruebe los parámetros de política de ICR y la configuración de interfaz externa en su configuración.

Si las SA aparecen en la lista, revise la siguiente información:

  • Índice: este valor es único para cada SA de IKE, que puede utilizar en el show security ike security-associations index detail comando para obtener más información acerca de la SA.

  • Dirección remota: verifique que la dirección IP remota sea correcta.

  • Estado

    • UP: se ha establecido la SA de fase 1.

    • DOWN—Hubo un problema al establecer la SA de Fase 1.

  • Modo: verifique que se esté utilizando el modo correcto.

Compruebe que la siguiente información es correcta en su configuración:

  • Interfaces externas (la interfaz debe ser la que recibe los paquetes de ICR)

  • Parámetros de política de ICR

  • Información de claves precompartidas

  • Parámetros de propuesta de fase 1 (deben coincidir en ambos pares)

El show security ike security-associations index 1 detail comando enumera información adicional acerca de la asociación de seguridad con el número de índice 1:

  • Algoritmos de autenticación y cifrado utilizados

  • Duración de la fase 1

  • Estadísticas de tráfico (puede utilizarse para verificar que el tráfico fluye correctamente en ambas direcciones)

  • Información de la función del iniciador y del respondedor

    La solución de problemas se realiza de mejor manera en el mismo nivel que usa la función de respondedor.

  • Cantidad de SA de IPsec creadas

  • Cantidad de negociaciones de la Fase 2 en curso

Verificación del estado de fase 2 de IPsec

Propósito

Verifique el estado de fase 2 de IPsec.

Acción

Desde el modo operativo, introduzca el show security ipsec security-associations comando. Después de obtener un número de índice desde el comando, utilice el show security ipsec security-associations index index_number detail comando.

Significado

El resultado del show security ipsec security-associations comando muestra la siguiente información:

  • El número de identificación es 16385. Utilice este valor con el show security ipsec security-associations index comando para obtener más información acerca de esta SA en particular.

  • Existe un par SA IPsec que usa el puerto 500, lo que indica que no se implementó ningún recorrido TDR. (El recorrido TDR utiliza el puerto 4500 u otro puerto aleatorio de número alto.)

  • El SPI, la vida útil (en segundos) y los límites de uso (o tamaño de vida útil en KB) se muestran para ambas direcciones. El valor 28756/ unlim indica que la duración de la fase 2 caduca en 28756 segundos y que no se especificó un tamaño de vida útil, lo cual indica que es ilimitada. La duración de la fase 2 puede diferir de la vida útil de la fase 1, ya que la fase 2 no depende de la fase 1 después de que la VPN esté activa.

  • La supervisión de VPN no está habilitada para esta SA, como lo indica un guión en la columna Mon. Si está habilitada la supervisión de VPN, U indica que la supervisión está activa y D indica que la supervisión está inactiva.

  • El sistema virtual (vsys) es el sistema raíz y siempre enumera 0.

El resultado del show security ipsec security-associations index 16385 detail comando muestra la siguiente información:

  • La identidad local y la identidad remota constituyen el ID de proxy para la SA.

    Una de las causas más comunes de una falla de fase 2 es una no coincidencia del ID de proxy. Si no aparece ninguna SA de IPsec, confirme que las propuestas de fase 2, incluida la configuración del ID de proxy, son correctas para ambos pares. Para VPN basadas en rutas, el ID de proxy predeterminado es local=0.0.0.0/0, remote=0.0.0.0/0 y service=any. Pueden producirse problemas con varias VPN basadas en rutas desde el mismo IP de par. En este caso, debe especificarse un ID de proxy único para cada SA de IPsec. Para algunos proveedores de terceros, el ID de proxy se debe especificar manualmente para que coincida.

  • Otra causa común de la falla de fase 2 es no especificar el enlace de la interfaz ST. Si IPsec no puede completarse, compruebe el registro de kmd o establezca opciones de rastreo.

Verificar enlaces de túnel de salto siguiente

Propósito

Una vez completada la fase 2 para todos los pares, compruebe los enlaces del túnel del próximo salto.

Acción

Desde el modo operativo, introduzca el show security ipsec next-hop-tunnels comando.

Significado

Las puertas de enlace del siguiente salto son las direcciones IP de las interfaces st0 de todos los pares de radio remoto. El siguiente salto debe asociarse con el nombre de VPN IPsec correcto. Si no existe ninguna entrada NHTB, no hay forma de que el dispositivo concentrador diferencie qué VPN IPsec está asociada a qué próximo salto.

El campo Flag tiene uno de los siguientes valores:

  • Estático: NHTB se configuró manualmente en las configuraciones de interfaz st0.0, lo cual es necesario si el par no es un firewall de la serie SRX.

  • Automático: NHTB no estaba configurado, pero la entrada se rellenó automáticamente en la tabla NHTB durante las negociaciones de fase 2 entre dos firewalls de la serie SRX

No hay una tabla NHTB para ninguno de los sitios radiales en este ejemplo. Desde la perspectiva radial, la interfaz st0 sigue siendo un vínculo punto a punto con un solo enlace VPN IPsec.

Verificar rutas estáticas para LAN locales de pares remotos

Propósito

Compruebe que la ruta estática hace referencia a la dirección IP st0 del par radial.

Acción

Desde el modo operativo, introduzca el show route comando.

El siguiente salto es la dirección IP st0 del par remoto y ambas rutas apuntan a st0.0 como la interfaz de salida.

Revisar estadísticas y errores para una asociación de seguridad IPsec

Propósito

Revise errores y contadores de encabezados de autenticación y ESP para una asociación de seguridad IPsec.

Acción

Desde el modo operativo, introduzca el show security ipsec statistics index comando.

También puede utilizar el comando para revisar las estadísticas y los show security ipsec statistics errores de todas las SA.

Para borrar todas las estadísticas de IPsec, utilice el clear security ipsec statistics comando.

Significado

Si ve problemas de pérdida de paquetes en una VPN, puede ejecutar el show security ipsec statistics comando or show security ipsec statistics detail varias veces para confirmar que los contadores de paquetes cifrados y descifrados se incrementan. También debe comprobar si el resto de los contadores de errores se incrementan.

Probar el flujo de tráfico a través de la VPN

Propósito

Compruebe el flujo de tráfico a través de la VPN.

Acción

Puede utilizar el comando desde el firewall de la serie SRX para probar el ping flujo de tráfico en una PC de host remoto. Asegúrese de especificar la interfaz de origen para que la búsqueda de ruta sea correcta y se haga referencia a las zonas de seguridad adecuadas durante la búsqueda de política.

Desde el modo operativo, introduzca el ping comando.

También puede usar el ping comando desde el dispositivo de la serie SSG.

Significado

Si el ping comando no funciona desde el dispositivo serie SRX o Serie SSG, es posible que exista un problema con el enrutamiento, las políticas de seguridad, el host final o el cifrado y descifrado de los paquetes ESP.

Tabla de historial de cambios

La compatibilidad de la función depende de la plataforma y la versión que utilice. Utilice el Explorador de características para determinar si una característica es compatible con su plataforma.

Lanzamiento
Descripción
19.4R1
A partir de Junos OS versión 19.4R1, ahora solo puede configurar un atributo de DN dinámico entre container-string y wildcard-string en [edit security ike gateway gateway_name dynamic distinguished-name] la jerarquía. Si intenta configurar el segundo atributo después de configurar el primero, el primer atributo se sustituye por el segundo. Antes de actualizar el dispositivo, debe quitar uno de los atributos si configuró ambos.
15.1X49-D80
A partir de Junos OS versión 15.1X49-D80, las VPN de punto de conexión dinámico en firewalls de la serie SRX admiten tráfico IPv6 en túneles seguros.
12,3 X 48-D40
A partir de Junos OS versión 12.3X48-D40, Junos OS versión 15.1X49-D70 y Junos OS versión 17.3R1, todas las puertas de enlace de punto de conexión dinámico configuradas en firewalls de la serie SRX que utilizan la misma interfaz externa pueden utilizar políticas de IKE diferentes, pero las políticas de IKE deben utilizar la misma propuesta de IKE.