Новости
Видео
Microsoft
Windows 10
Железо
Программы
Форум

Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Железо » Сетевое оборудование » VPN/Firewall - VPN на Juniper`ах SRX

< Предыдущая 1 2 3 4 Следующая >
Ответить
Настройки темы
VPN/Firewall - VPN на Juniper`ах SRX

Аватара для denisz

Пользователь


Сообщения: 94
Благодарности: 1


Конфигурация

Профиль | Отправить PM | Цитировать

Изменения
Автор: denisz
Дата: 13-07-2012
Господа, добрый вечер
Знатоки Junos подскажите как решить проблему или пните в нужную сторону. Раньше не имел дела с такими железками, как-то все провайдер на себя брал. Сам я Windows`зятник
А сейчас в руки попали Juniper SRX210 и несколько SRX100. Всю документацию на русском проштудировал, на английском в силу несильного знания языка тоже.
После такого количества информации, поступившей мне в голову, может быть что-то не указал в теме - не ругайте Мозг кипит уже
Что имеем:
- главный офис с сетью 192.168.4.0/24. DNS 192.168.4.2/24 (AD,TS,DHCP). Есть ISA Server 192.168.4.254, в него входит инет и входит лан. Внешний IP 10.10.10.4
- первый удаленный офис с сетью 192.168.5.0/24. С дополнительным КД и DNS 192.168.5.2/24. Внешний IP 10.10.10.5
- второй удаленный офис с сетью 192.168.6.0/24. С дополнительным КД и DNS 192.168.6.2/24. Внешний IP 10.10.10.6
- все клиенты главного офиса и удаленных ходят в интернет через ISA Server - ну это пока не так важно
- в fe-0/0/0 вставлен инетернет. В fe-0/0/1 вставлена сеть. Остальные fe не нужны, но пускай будут ethernet-swiching.
Разницы особой кроме пропускной способности между SRX 210 и SRX100 для моего случая вроде нет - поэтому тоже не принципиально, пусть все будут SRX100 в данном примере.
Вопросы поступают по мере углубления Пока думаю только про настройку Junipera в первом удаленном офисе. Есть конфиг. Будет ли он работать? Можно ли что-то добавить или убрать?
По ходу чтения кода не всё складывается - уверен, что вагон ошибок.
Код: Выделить весь код
version 10.4R6.5;
system {
    host-name gwa;
    domain-name local.int;
    root-authentication {
        encrypted-password "12345"; ## SECRET-DATA
    }
    name-server {
	192.168.5.2;
        192.168.4.2;
    }
    login {
        user admin {
            uid 2000;
            class super-user;
            authentication {
                encrypted-password "12345"; ## SECRET-DATA
            }
        }
    }
    services {
        ssh;
    }
    syslog {
        archive size 100k files 3;
        user * {
            any emergency;
        }
        file messages {
            any critical;
            authorization info;
        }
        file interactive-commands {
            interactive-commands error;
        }
    }
    max-configurations-on-flash 5;
    max-configuration-rollbacks 20;
    license {
        autoupdate {
            url https://ae1.juniper.net/junos/key_retrieval;
        }
    }
    ntp {
        server 192.168.4.2;
    }
}
interfaces {
    interface-range interfaces-trust {
        member fe-0/0/1;
        member fe-0/0/2;
        member fe-0/0/3;
        member fe-0/0/4;
        member fe-0/0/5;
        member fe-0/0/6;
        member fe-0/0/7;
        unit 0 {
            family ethernet-switching {
                vlan {
                    members vlan-trust;
                }
            }
        }
    }
    fe-0/0/0 {
        unit 0 {
            family inet {
                address 192.168.5.1/24;
            }
        }
    }
    st0 {
        unit 0 {
            family inet {
                address 10.0.0.5/32;
            }
        }
    }
    vlan {
        unit 0 {
            family inet {
                address 192.168.5.1/24;
            }
        }
    }
}
routing-options {
    static {
        route 0.0.0.0/0 next-hop 10.10.10.10;
        route 192.168.4.0/24 next-hop st0.0;
        route 192.168.6.0/24 next-hop st0.0;
    }
}
protocols {
    stp;
}
security {
    ike {
        traceoptions {
            flag all;
            flag policy-manager;
            flag ike;
            flag routing-socket;
        }
        proposal P1-AES {
            authentication-method pre-shared-keys;
            dh-group group2;
            authentication-algorithm sha1;
            encryption-algorithm aes-128-cbc;
        }
        policy ike-policy-1 {
            mode main;
            proposals P1-AES;
            pre-shared-key ascii-text "12345"; ## SECRET-DATA
        }
        gateway gw1 {
            ike-policy ike-policy-1;
            address 192.168.5.1;
            external-interface fe-0/0/0.0;
        }
    }
    ipsec {
        proposal P2-AES {
            protocol esp;
            authentication-algorithm hmac-sha1-96;
            encryption-algorithm aes-128-cbc;
        }
        policy ipsec-policy-1 {
            perfect-forward-secrecy {
                keys group2;
            }
            proposals P2-AES;
        }
        vpn vpn1 {
            bind-interface st0.0;
            ike {
                gateway gw1;
                proxy-identity {
                    local 192.168.4.0/24;
                    remote 192.168.5.0/24;
                    service any;
                }
                ipsec-policy ipsec-policy-1;
            }
            establish-tunnels immediately;
        }
	vpn vpn2 {
            bind-interface st0.0;
            ike {
                gateway gw1;
                proxy-identity {
                    local 192.168.6.0/24;
                    remote 192.168.5.0/24;
                    service any;
                }
                ipsec-policy ipsec-policy-1;
            }
            establish-tunnels immediately;
        }
    }
    nat {
        source {
            rule-set trust-to-untrust {
                from zone trust;
                to zone untrust;
                rule source-nat-rule {
                    match {
                        source-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }
                    }
                }
            }
        }
    }
    screen {
        ids-option untrust-screen {
            icmp {
                ping-death;
            }
            ip {
                source-route-option;
                tear-drop;
            }
            tcp {
                syn-flood {
                    alarm-threshold 1024;
                    attack-threshold 200;
                    source-threshold 1024;
                    destination-threshold 2048;
                    timeout 20;
                }
                land;
            }
        }
    }
    zones {
        security-zone trust {
            host-inbound-traffic {
                system-services {
                    all;
                }
                protocols {
                    all;
                }
            }
            interfaces {
                vlan.0;
            }
        }
        security-zone untrust {
            screen untrust-screen;
            interfaces {
                fe-0/0/0.0 {
                    host-inbound-traffic {
                        system-services {
                            dhcp;
                            tftp;
                        }
                    }
                }
                fe-0/0/1.0;
            }
        }
    }
    policies {
        from-zone trust to-zone untrust {
            policy trust-to-untrust {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
            policy policy-name {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
                }
            }
        }
    }
}
vlans {
    vlan-trust {
        vlan-id 3;
        l3-interface vlan.0;
    }
}

Отправлено: 01:13, 13-07-2012

 

Аватара для denisz

Пользователь


Сообщения: 94
Благодарности: 1

Профиль | Отправить PM | Цитировать

Ааа вот оно что
Спасибо огромное

Отправлено: 16:13, 22-07-2012 | #21



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Аватара для kim-aa

Назгул


Сообщения: 2633
Благодарности: 345

Профиль | Отправить PM | Цитировать

denisz,

1)
Прошивки можно забирать с торрентов (что конечно не комильфо с точки зрения безопасности, но всякое бывает)
http://rutracker.org/forum/viewtopic.php?t=4017214

2) Если удаленных офисов много, то лучше перейти к Dynamic VPN.
Тогда все настройки производятся на корневом маршрутизаторе (Server - в терминологии DVPN),
а коммутаторы удаленных офисов настраиваются однотипно.
Правда в связи с динамичностью структуры, лучше маршрутизацию делать динамической (OSPF).


3)
Цитата denisz:
Не пойму почему у меня с Джунипера всё что в туннелях не пингуется. Наружу всё норм
Хотя с компьютеров в разных сетях, соединенных VPNом всё пингуется и джуниперы »
А точно должны? Вы где-нибудь данные маршруты прописывали?
Не забываем про "show route"

4)
Привыкайте пользоваться для отладки <traceroute>

5)
Для отладки и макетирования своих художеств, рекомендую использовать JunOS для VMware (Olive)
Оно прекрасно работает как под VMware Workstation, так и ESXi

http://rutracker.org/forum/viewtopic.php?t=4061726

7)
Цитата denisz:
Ужас, чтобы junos обновить еще и контракт какой-то нужен... »
Это стандартная позиция любого крупного вендора.

Наверное, только MS исключение

-------
Мы овладеваем более высоким стилем спора. Спор без фактов. Спор на темпераменте. Спор, переходящий от голословного утверждения на личность партнера. (c)Жванецкий

Последний раз редактировалось kim-aa, 22-07-2012 в 19:56.

Это сообщение посчитали полезным следующие участники:

Отправлено: 19:44, 22-07-2012 | #22


Аватара для cameron

Ветеран


Сообщения: 4677
Благодарности: 1092

Профиль | Отправить PM | Цитировать

Цитата kim-aa:
2) Если удаленных офисов много, то лучше перейти к Dynamic VPN. »
afaik "Dynamic VPN" у джунов это клиенский доступ (SSL-VPN), для которого нужны лицензии.
DMVPN - сугубо кошки, аналогов, насколько я знаю, у джунов нет.
Цитата kim-aa:
а коммутаторы удаленных офисов настраиваются однотипно. »
? конечно ex2200 и выше имеют некий функционал роутинга, но что бы принимать VPN я как-то не осилила настроить.

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.

Это сообщение посчитали полезным следующие участники:

Отправлено: 19:56, 22-07-2012 | #23


Аватара для kim-aa

Назгул


Сообщения: 2633
Благодарности: 345

Профиль | Отправить PM | Цитировать

Цитата cameron:
afaik "Dynamic VPN" у джунов это клиенский доступ (SSL-VPN), для которого нужны лицензии.
DMVPN - сугубо кошки, аналогов, насколько я знаю, у джунов нет. »
Да вы правы.
Правильно звучит - GroupVPN

http://www.juniper.net/elqNow/elqRed...3500202-en.pdf


2) Да, опечатался я. Надо читать "Маршрутизаторы", а лучше "SRX"

-------
Мы овладеваем более высоким стилем спора. Спор без фактов. Спор на темпераменте. Спор, переходящий от голословного утверждения на личность партнера. (c)Жванецкий

Это сообщение посчитали полезным следующие участники:

Отправлено: 19:59, 22-07-2012 | #24


Аватара для cameron

Ветеран


Сообщения: 4677
Благодарности: 1092

Профиль | Отправить PM | Цитировать

Цитата kim-aa:
GroupVPN »
а вот о нём я слышала от ребят из ростелика негатив, хотя, возможно, они тоже не достаточно хорошо "раскурили" мануалы.
скажите, вы его использовали?
сколько SRX'ов было увязано?

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.

Это сообщение посчитали полезным следующие участники:

Отправлено: 20:35, 22-07-2012 | #25


Аватара для kim-aa

Назгул


Сообщения: 2633
Благодарности: 345

Профиль | Отправить PM | Цитировать

cameron,

Нет, в большом продуктиве я его не использовал. Только макетки.
На данную технологию я наткнулся когда искал конкурента Cisco DMVPN.

Технология эта относительно новая для Junos и тем интереснее услышать отзыв больших провайдеров.

Нельзя ли узнать, чем именно она не пофартила Ростелекому?

-------
Мы овладеваем более высоким стилем спора. Спор без фактов. Спор на темпераменте. Спор, переходящий от голословного утверждения на личность партнера. (c)Жванецкий

Это сообщение посчитали полезным следующие участники:

Отправлено: 14:46, 25-07-2012 | #26


Аватара для cameron

Ветеран


Сообщения: 4677
Благодарности: 1092

Профиль | Отправить PM | Цитировать

Цитата kim-aa:
Нельзя ли узнать, чем именно она не пофартила Ростелекому? »
насколько я знаю у них в принципе нет особо SRX и group VPN, но на тестовых стендах что-то не пошло, подробностей я не знаю, к сожалению.

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.

Это сообщение посчитали полезным следующие участники:

Отправлено: 14:50, 25-07-2012 | #27


Аватара для denisz

Пользователь


Сообщения: 94
Благодарности: 1

Профиль | Отправить PM | Цитировать

Цитата kim-aa:
А точно должны? Вы где-нибудь данные маршруты прописывали? »
Там же есть маршрут
Код: Выделить весь код
routing-options {
    static {
        route 192.168.2.0/24 next-hop st0.2;
}
и если пинговать с этого джунипера друнипер 192.168.2.1, то ничего не выходит. Такое чувство, что принимающий джунипер отбрасывает пинг, хотя у него все протоколы в политике разрешены. Но если этот джунипер пинговать откуда угодно с отличного от джунипера устройства, то все работает Мистика

Адреса 10.0.0.х (которые назначены тоннелям) тоже не пингуются. Не пингуются ни откуда. Но в трайсроуте присутствуют

Код: Выделить весь код
security-zone vpn_zone {
            address-book {
                ...
                address addr_192_168_2_0--24 192.168.2.0/24;
                ...
            }
            host-inbound-traffic {
                system-services {
                    all;
                }
              {
               protocols 
                    all;
              }
            }
            interfaces {
                ...
                st0.2;
                ...
            }

Последний раз редактировалось denisz, 27-07-2012 в 21:21.

Отправлено: 20:17, 27-07-2012 | #28


Аватара для cameron

Ветеран


Сообщения: 4677
Благодарности: 1092

Профиль | Отправить PM | Цитировать

denisz,
я же вам подсказала
ping XXX source

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.

Это сообщение посчитали полезным следующие участники:

Отправлено: 21:26, 27-07-2012 | #29


Аватара для denisz

Пользователь


Сообщения: 94
Благодарности: 1

Профиль | Отправить PM | Цитировать

Цитата cameron:
denisz,
я же вам подсказала
ping XXX source »
cameron, Спасибо, сначала не понял что за source Запинговал)

Отправлено: 22:37, 27-07-2012 | #30

< Предыдущая 1 2 3 4 Следующая >


Компьютерный форум OSzone.net » Железо » Сетевое оборудование » VPN/Firewall - VPN на Juniper`ах SRX

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
Router - Juniper SSG 5 - перенаправления HTTP трафика на определённый хост exo Сетевое оборудование 0 09-12-2011 19:35
Cisco - <INFO, Juniper, Vyatta, IOS> kim-aa Сетевое оборудование 1 04-04-2010 13:12
VPN - juniper firewall как наладить роутинг Flick Сетевые технологии 1 26-08-2008 16:48


« Предыдущая тема | Следующая тема »


 
Переход