|
Компьютерный форум OSzone.net » Железо » Сетевое оборудование » VPN/Firewall - VPN на Juniper`ах SRX |
|
VPN/Firewall - VPN на Juniper`ах SRX
|
Пользователь Сообщения: 94 |
Профиль | Отправить PM | Цитировать
Господа, добрый вечер
Знатоки Junos подскажите как решить проблему или пните в нужную сторону. Раньше не имел дела с такими железками, как-то все провайдер на себя брал. Сам я Windows`зятник А сейчас в руки попали Juniper SRX210 и несколько SRX100. Всю документацию на русском проштудировал, на английском в силу несильного знания языка тоже. После такого количества информации, поступившей мне в голову, может быть что-то не указал в теме - не ругайте Мозг кипит уже Что имеем: - главный офис с сетью 192.168.4.0/24. DNS 192.168.4.2/24 (AD,TS,DHCP). Есть ISA Server 192.168.4.254, в него входит инет и входит лан. Внешний IP 10.10.10.4 - первый удаленный офис с сетью 192.168.5.0/24. С дополнительным КД и DNS 192.168.5.2/24. Внешний IP 10.10.10.5 - второй удаленный офис с сетью 192.168.6.0/24. С дополнительным КД и DNS 192.168.6.2/24. Внешний IP 10.10.10.6 - все клиенты главного офиса и удаленных ходят в интернет через ISA Server - ну это пока не так важно - в fe-0/0/0 вставлен инетернет. В fe-0/0/1 вставлена сеть. Остальные fe не нужны, но пускай будут ethernet-swiching. Разницы особой кроме пропускной способности между SRX 210 и SRX100 для моего случая вроде нет - поэтому тоже не принципиально, пусть все будут SRX100 в данном примере. Вопросы поступают по мере углубления Пока думаю только про настройку Junipera в первом удаленном офисе. Есть конфиг. Будет ли он работать? Можно ли что-то добавить или убрать? По ходу чтения кода не всё складывается - уверен, что вагон ошибок. version 10.4R6.5; system { host-name gwa; domain-name local.int; root-authentication { encrypted-password "12345"; ## SECRET-DATA } name-server { 192.168.5.2; 192.168.4.2; } login { user admin { uid 2000; class super-user; authentication { encrypted-password "12345"; ## SECRET-DATA } } } services { ssh; } syslog { archive size 100k files 3; user * { any emergency; } file messages { any critical; authorization info; } file interactive-commands { interactive-commands error; } } max-configurations-on-flash 5; max-configuration-rollbacks 20; license { autoupdate { url https://ae1.juniper.net/junos/key_retrieval; } } ntp { server 192.168.4.2; } } interfaces { interface-range interfaces-trust { member fe-0/0/1; member fe-0/0/2; member fe-0/0/3; member fe-0/0/4; member fe-0/0/5; member fe-0/0/6; member fe-0/0/7; unit 0 { family ethernet-switching { vlan { members vlan-trust; } } } } fe-0/0/0 { unit 0 { family inet { address 192.168.5.1/24; } } } st0 { unit 0 { family inet { address 10.0.0.5/32; } } } vlan { unit 0 { family inet { address 192.168.5.1/24; } } } } routing-options { static { route 0.0.0.0/0 next-hop 10.10.10.10; route 192.168.4.0/24 next-hop st0.0; route 192.168.6.0/24 next-hop st0.0; } } protocols { stp; } security { ike { traceoptions { flag all; flag policy-manager; flag ike; flag routing-socket; } proposal P1-AES { authentication-method pre-shared-keys; dh-group group2; authentication-algorithm sha1; encryption-algorithm aes-128-cbc; } policy ike-policy-1 { mode main; proposals P1-AES; pre-shared-key ascii-text "12345"; ## SECRET-DATA } gateway gw1 { ike-policy ike-policy-1; address 192.168.5.1; external-interface fe-0/0/0.0; } } ipsec { proposal P2-AES { protocol esp; authentication-algorithm hmac-sha1-96; encryption-algorithm aes-128-cbc; } policy ipsec-policy-1 { perfect-forward-secrecy { keys group2; } proposals P2-AES; } vpn vpn1 { bind-interface st0.0; ike { gateway gw1; proxy-identity { local 192.168.4.0/24; remote 192.168.5.0/24; service any; } ipsec-policy ipsec-policy-1; } establish-tunnels immediately; } vpn vpn2 { bind-interface st0.0; ike { gateway gw1; proxy-identity { local 192.168.6.0/24; remote 192.168.5.0/24; service any; } ipsec-policy ipsec-policy-1; } establish-tunnels immediately; } } nat { source { rule-set trust-to-untrust { from zone trust; to zone untrust; rule source-nat-rule { match { source-address 0.0.0.0/0; } then { source-nat { interface; } } } } } } screen { ids-option untrust-screen { icmp { ping-death; } ip { source-route-option; tear-drop; } tcp { syn-flood { alarm-threshold 1024; attack-threshold 200; source-threshold 1024; destination-threshold 2048; timeout 20; } land; } } } zones { security-zone trust { host-inbound-traffic { system-services { all; } protocols { all; } } interfaces { vlan.0; } } security-zone untrust { screen untrust-screen; interfaces { fe-0/0/0.0 { host-inbound-traffic { system-services { dhcp; tftp; } } } fe-0/0/1.0; } } } policies { from-zone trust to-zone untrust { policy trust-to-untrust { match { source-address any; destination-address any; application any; } then { permit; } } policy policy-name { match { source-address any; destination-address any; application any; } then { permit; } } } } } vlans { vlan-trust { vlan-id 3; l3-interface vlan.0; } } |
|
Отправлено: 01:13, 13-07-2012 |
Пользователь Сообщения: 94
|
Профиль | Отправить PM | Цитировать Ааа вот оно что
Спасибо огромное |
Отправлено: 16:13, 22-07-2012 | #21 |
Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети. Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля. |
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать denisz,
1) Прошивки можно забирать с торрентов (что конечно не комильфо с точки зрения безопасности, но всякое бывает) http://rutracker.org/forum/viewtopic.php?t=4017214 2) Если удаленных офисов много, то лучше перейти к Dynamic VPN. Тогда все настройки производятся на корневом маршрутизаторе (Server - в терминологии DVPN), а коммутаторы удаленных офисов настраиваются однотипно. Правда в связи с динамичностью структуры, лучше маршрутизацию делать динамической (OSPF). 3) Цитата denisz:
Не забываем про "show route" 4) Привыкайте пользоваться для отладки <traceroute> 5) Для отладки и макетирования своих художеств, рекомендую использовать JunOS для VMware (Olive) Оно прекрасно работает как под VMware Workstation, так и ESXi http://rutracker.org/forum/viewtopic.php?t=4061726 7) Цитата denisz:
Наверное, только MS исключение |
||
------- Последний раз редактировалось kim-aa, 22-07-2012 в 19:56. Отправлено: 19:44, 22-07-2012 | #22 |
Ветеран Сообщения: 4677
|
Профиль | Отправить PM | Цитировать Цитата kim-aa:
DMVPN - сугубо кошки, аналогов, насколько я знаю, у джунов нет. Цитата kim-aa:
|
||
------- Отправлено: 19:56, 22-07-2012 | #23 |
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Цитата cameron:
Правильно звучит - GroupVPN http://www.juniper.net/elqNow/elqRed...3500202-en.pdf 2) Да, опечатался я. Надо читать "Маршрутизаторы", а лучше "SRX" |
|
------- Отправлено: 19:59, 22-07-2012 | #24 |
Ветеран Сообщения: 4677
|
Профиль | Отправить PM | Цитировать Цитата kim-aa:
скажите, вы его использовали? сколько SRX'ов было увязано? |
|
------- Отправлено: 20:35, 22-07-2012 | #25 |
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать cameron,
Нет, в большом продуктиве я его не использовал. Только макетки. На данную технологию я наткнулся когда искал конкурента Cisco DMVPN. Технология эта относительно новая для Junos и тем интереснее услышать отзыв больших провайдеров. Нельзя ли узнать, чем именно она не пофартила Ростелекому? |
------- Отправлено: 14:46, 25-07-2012 | #26 |
Ветеран Сообщения: 4677
|
Профиль | Отправить PM | Цитировать Цитата kim-aa:
|
|
------- Отправлено: 14:50, 25-07-2012 | #27 |
Пользователь Сообщения: 94
|
Профиль | Отправить PM | Цитировать Цитата kim-aa:
и если пинговать с этого джунипера друнипер 192.168.2.1, то ничего не выходит. Такое чувство, что принимающий джунипер отбрасывает пинг, хотя у него все протоколы в политике разрешены. Но если этот джунипер пинговать откуда угодно с отличного от джунипера устройства, то все работает Мистика Адреса 10.0.0.х (которые назначены тоннелям) тоже не пингуются. Не пингуются ни откуда. Но в трайсроуте присутствуют |
|
Последний раз редактировалось denisz, 27-07-2012 в 21:21. Отправлено: 20:17, 27-07-2012 | #28 |
Ветеран Сообщения: 4677
|
Профиль | Отправить PM | Цитировать denisz,
я же вам подсказала ping XXX source |
------- Отправлено: 21:26, 27-07-2012 | #29 |
Пользователь Сообщения: 94
|
Профиль | Отправить PM | Цитировать Цитата cameron:
|
|
Отправлено: 22:37, 27-07-2012 | #30 |
Участник сейчас на форуме | Участник вне форума | Автор темы | Сообщение прикреплено |
| |||||
Название темы | Автор | Информация о форуме | Ответов | Последнее сообщение | |
Router - Juniper SSG 5 - перенаправления HTTP трафика на определённый хост | exo | Сетевое оборудование | 0 | 09-12-2011 19:35 | |
Cisco - <INFO, Juniper, Vyatta, IOS> | kim-aa | Сетевое оборудование | 1 | 04-04-2010 13:12 | |
VPN - juniper firewall как наладить роутинг | Flick | Сетевые технологии | 1 | 26-08-2008 16:48 |
|