Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Туннели IPsec VPN с кластерами с шасси

серия SRX поддерживают VPN-туннели IPsec на блоке установки кластера. В кластере с активным/пассивным шасси все VPN-туннели завершаются на одном узле. В кластере активного/активного шасси VPN-туннели могут завершаться на любом узле.

Понимание кластеров с двумя активно-резервными шасси IPsec VPN

В кластере с активным/пассивным шасси все VPN-туннели завершаются на одном узле, как показано Рис. 1 в.

Рис. 1: Кластер активного/пассивного шасси с VPN-туннелями IPsecКластер активного/пассивного шасси с VPN-туннелями IPsec

В кластере активного/активного шасси VPN-туннели могут завершаться на любом узле. Оба узла в кластере с шасси могут одновременно проходить трафик через VPN-туннели на обоих узлах, как показано Рис. 2 в. Это развертывание известно как кластеры с двойной активной резервной копией шасси IPsec VPN.

Рис. 2: Кластеры с двойной активной резервной копией шасси IPsec VPNКластеры с двойной активной резервной копией шасси IPsec VPN

Следующие функции поддерживаются в кластерах с двойным активным резервным шасси IPsec VPN:

  • Только VPN на основе маршрутов. VPN на основе политик не поддерживаются.

  • IKEv1 и IKEv2.

  • Цифровой сертификат или аутентификация с предварительным ключом.

  • IKE и безопасные туннельные интерфейсы (st0) в виртуальных маршрутизаторах.

  • преобразование сетевых адресов-обход (NAT-T).

  • Vpn-мониторинг.

  • Обнаружение мертвых равноправных узла.

  • Обновление программного обеспечения (ISSU).

  • Установка карт обработки служб (SPC) на кластерное устройство шасси без нарушения трафика на существующих VPN-туннелях. См. "Поддержка VPN для вставки карт обработки услуг".

  • Протоколы динамической маршрутки.

  • Защищенные туннельные интерфейсы (st0) настроены в многоканальный режим "точка-точка".

  • AutoVPN с интерфейсами st0 в режиме «точка-точка» с селекторами трафика.

  • Режимы IPv4-in-IPv4, IPv6-in-IPv4, IPv6 in-IPv6 и IPv4-in-IPv6.

  • Фрагментированная трафики.

  • Интерфейс обратной связи может быть настроен как внешний интерфейс для VPN.

Кластеры с двумя активно-резервными шасси IPsec VPN не могут быть настроены с потоками в режиме Z. Потоки в режиме Z происходят, когда трафик поступает на интерфейс узла кластера шасси, проходит через соединение комбайтной структуры и выходит из него через интерфейс на другом кластерном узле.

Примере: Настройка групп избыточности для интерфейсов обратной связи

В этом примере показано, как настроить группу резервирования (RG) для интерфейса обратной связи, чтобы предотвратить сбой VPN. Группы избыточности используются для группирования интерфейсов в группу для перенастройки кластера с шасси.

Требования

В данном примере используется следующее оборудование и программное обеспечение:

  • Пара поддерживаемых кластеров шасси серия SRX устройства

  • Устройство или аналог SSG140

  • Два коммутатора

  • Junos OS версии 12.1x44-D10 или более поздней для шлюзов серия SRX Services

Перед началом работы:

Понимать блок-кластер избыточных интерфейсов Ethernet. См. Руководство пользователя кластера Chassis для серия SRX устройств.

Обзор

Для Internet Key Exchange (IKE) шлюзу необходим внешний интерфейс для связи с одноранговой стороной. В конфигурации кластера с шасси узел, на котором активен внешний интерфейс, выбирает процессор служб (SPU) для поддержки VPN-туннеля. IKE на этом SPU обрабатываются пакеты IPsec. Поэтому активный внешний интерфейс определяет Якорный SPU.

В конфигурации кластера с шасси внешний интерфейс является избыточным интерфейсом Ethernet. Избыточный интерфейс Ethernet может выйти из системы, если его физические (дитя) интерфейсы не будут перейти в состояние down. Можно настроить интерфейс обратной связи в качестве альтернативного физического интерфейса для достижения одноранговых шлюзов. Интерфейсы обратной связи можно настроить на любой группе избыточности. Эта конфигурация избыточности группы проверяется только для пакетов VPN, так как только пакеты VPN должны найти якорный SPU через активный интерфейс.

Необходимо настроить lo0.x в пользовательском виртуальный маршрутизатор, так как lo0.0 находится в режиме по умолчанию виртуальный маршрутизатор и только один интерфейс обратной связи разрешается в виртуальный маршрутизатор.

Рис. 3 показывает пример топологии кластера VPN на блоке обратной связи. В этой топологии устройство кластера серия SRX шасси расположено в г. Саннивейл, штат Калифорния. Устройство кластера серия SRX шасси работает в данной конфигурации как единый шлюз. Устройство серия SSG (или стороннее устройство) находится в окне "Неиссякаемая компания". Данное устройство выступает в качестве равноправного устройства для кластера шасси SRX и помогает создать туннель VPN.

Рис. 3: Интерфейс обратной связи для кластера ШАССИ VPNИнтерфейс обратной связи для кластера ШАССИ VPN

Конфигурации

Процедуры

интерфейс командной строки быстрой конфигурации

Для быстрой настройки этого раздела примера, скопируйте следующие команды, введите их в текстовый файл, удалите все разрывы строки, измените все данные, необходимые для настройки сети, скопируйте и введите команды на интерфейс командной строки иерархии, а затем войдите из режима [edit]commit конфигурации.

Пошаговая процедура

Настройка группы избыточности для интерфейса обратной связи:

  1. Настройте интерфейс обратной связи в одной группе избыточности.

  2. Настройте IP-адрес для интерфейса обратной связи.

  3. Настройте параметры маршрутов.

  4. Настройте интерфейс обратной связи как внешний интерфейс для IKE шлюза.

  5. Настройте предложение IPsec.

Результаты

В режиме конфигурации подтвердите конфигурацию путем ввода show interfaces lo0 команд show routing-instances и show security ikeshow security ipsec команд. Если в выходных данных не отображается указанная конфигурация, повторите инструкции, показанные в данном примере, чтобы исправить конфигурацию.

После настройки устройства войдите в commit режим конфигурации.

Проверки

Проверка конфигурации

Цель

Проверьте правильность конфигурации для групп избыточности для интерфейсов обратной связи.

Действий

В рабочем режиме введите show chassis cluster interfaces команду.

Смысл

Эта show chassis cluster interfaces команда выводит сведения о кластерных интерфейсах шасси. Если в поле Redundant-псевдо-interface Information показывается интерфейс lo0 как Up, а в поле Redundant-ethernet Information показано поле reth0, reth1 и reth2 как Up, то конфигурация правильна.