配置iproute

iproute  时间:2021-04-14  阅读:()
知VRFIPSec李聪2016-09-19发表SecPathF1080系列防火墙内网接口绑定vpn实例组网情况下ipsecvpn不通的案例分析一、组网:如图所示,两台防火墙FW1和FW2分别部署在两个不同的局点.
之前两台防火墙之间建立ipsecvpn进行两个局点的私网地址互通的,两台防火墙都是使用的主模式建立的ipsecvpn,之前ipsecvpn的业务一直正常使用.
现在由于FW1这边的局点增加了几个网段,使用不同的业务需求,现在客户要求使用vpn实例隔离的方式实现.
因此,本案例中将FW1的接口G0/0加入了vpn实例test.
但是我们发现一个问题,将内网接口G0/0加入vpn实例之后发现ipsecvpn全部断开,业务中断.
本案例涉及的防火墙的型号均为SecPathF1080,版本为Version7.
1.
064,Release9313P07.
二、原因分析:接下来从客户配置、网络情况、以及debug方面进行分析.
1.
检查配置通过检查现场的配置如下(下面为FW1的配置主要信息,域间策略等配置没有问题,这里不再描述):#ipvpn-instancetestroute-distinguisher10:1vpn-target10:1import-extcommunityvpn-target10:1export-extcommunity//vpn实例的配置#interfaceGigabitEthernet0/0ipbindingvpn-instancetest//将接口加入vpn实例testipaddress192.
168.
1.
1255.
255.
255.
0#acladvanced3010//配置的acl匹配的流量rule0permitipsource192.
168.
1.
00.
0.
0.
255destination192.
168.
2.
00.
0.
0.
255//以下是ipsecvpn的配置#ipsectransform-set1espencryption-algorithm3des-cbcespauthentication-algorithmmd5#ipsecpolicyh3c1isakmptransform-set1securityacl3010local-address1.
1.
1.
1remote-address1.
1.
1.
2ike-profileh3c#ikeprofileh3ckeychain1matchremoteidentityaddress1.
1.
1.
2255.
255.
255.
255#ikeproposal1encryption-algorithm3des-cbcauthentication-algorithmmd5#ikekeychain1pre-shared-keyaddress1.
1.
1.
2255.
255.
255.
255keycipher$c$3$TXgO9EZW+xdt1XqF6O/u0/h6j83RSXHukphu#interfaceGigabitEthernet/0/1ipaddress1.
1.
1.
1255.
255.
255.
0//配置外网接口的ip地址ipsecapplypolicyh3c//在接口上面调用ipsec策略#iproute-static192.
168.
2.
0241.
1.
1.
2//配置静态路由以上配置主要就是FW1增加vpn实例之后的配置,可以看出客户主要增加的配置就是内网接口G0/0下面增加的绑定vpn实例的配置.
根据现场反馈,之前没有在G0/0接口下面增加绑定VPN实例的时候是可以正常使用的,目前就只是在FW1的G0/0接口下面增加绑定vpn实例的配置,FW2上面的配置没动过.
现在的现象就是ipsecvpn不通了.
从以上的简单初步的分析可以看出应该是配置问题导致的.
2.
分析问题原因通过以上的简单分析,我们初步怀疑是配置问题导致的,因此我们再重新检查配置发现ipsecvpn配置参数里面有关于vpn实例的解释.
下面我们针对配置使用debug工具对配置进行验证.
2.
1ipsec对不同vpn实例的处理机制我们查询手册资料之后发现ipsec对不同vpn实例的处理机制,其中本功能就是在ikeprofile里面进行配置的.
对于内部MPLSL3VPN实例,当IPsec解封装后得到的报文需要继续转发到不同的VPN中去时,设备需要知道在哪个VPN实例中查找相应的路由.
缺省情况下,设备在与外网相同的VPN中查找路由,如果不希望在与外网相同的VPN中查找路由去转发报文,则可以指定一个内部VPN实例,通过查找该内部VPN实例中的路由来转发报文.
其中配置参数为:在ikeprofile视图下面配置inside-vpnvpn-instance[vpn-name].
2.
2尝试修改配置以及通过debug工具进行验证从以上的分析我们看出如果设备需要转发到不同的vpn实例的话,ikeprofile里面是需要配置inside-vpnvpn-instance这个参数的.
如下配置:#ikeprofileh3ckeychain1matchremoteidentityaddress1.
1.
1.
2255.
255.
255.
255inside-vpnvpn-instancetest//增加这部分配置#配置上以上参数我们通过displayikesa以及displayipsecsa发现还是没有ipsec的建立.
因此通过debuggingikeall发现也没有ike的协商报文过程.
因此怀疑没有触发ipsec的协商.
接下来,我们还可以发现没有触发协商一般就是acl的问题,现在内网接口G0/0加入了vpn实例,那么acl的配置也应该有所修改:acladvanced3010rule0permitipvpn-instancetestsource192.
168.
1.
00.
0.
0.
255destination192.
168.
2.
00.
0.
0.
255接下来,还需要检查路由的配置,内网的报文需要经过设备封装ipsec出外网,那么我们之前配置的静态路由也是需要修改的:iproute-staticvpn-instancetest192.
168.
2.
0241.
1.
1.
2public通过以上配置之后,我们发现重新resetikesa以及resetipsecsa,然后触发ipsec协商发现debug能够抓取到协商的报文以及协商过程.
通过displayikesa以及displayipsecsa能够看到ipsec建立成功.
三、解决办法:通过以上的分析,我们总结了以下几点:1.
配置acl,需要带有vpn实例,保证内网访问发出的协商报文能够触发ipsec协商.
2.
配置路由,带上vpn实例,然后指向对方的地址,需要带有public的参数.
3.
配置ikeprofile,里面需要配置inside-vpnvpn-instancetest.
4.
如果发现ipsec不能建立,建议两边设备的ikesa以及ipsecsa都需要清除一下,然后重新协商就可以了.
因此,本案例最后还建议这种组网的情况下配置dpd检测功能.

Friendhosting 黑色星期五 VDS/VPS可享四五折优惠促销

Friendhosting商家在前面的篇幅中也又陆续介绍到,是一家保加利亚主机商,主要提供销售VPS和独立服务器出租业务,数据中心分布在:荷兰、保加利亚、立陶宛、捷克、乌克兰和美国洛杉矶等。这不近期黑色星期五活动,商家也有推出了黑五优惠,VPS全场一次性45折,虚拟主机4折,全球多机房可选,老用户续费可获9折加送1个月使用时长,VDS折后最低仅€14.53/年,有需要的可以看看。Friendhos...

水墨云历史黑名单IDC,斟酌选购

水墨云怎么样?本站黑名单idc,有被删除账号风险,建议转出及数据备份!水墨云ink cloud Service是成立于2017年的商家,自2020起开始从事香港、日本、韩国、美国等地区CN2 GIA线路的虚拟服务器租赁,同时还有台湾、国内nat vps相关业务,也有iplc专线产品,相对来说主打的是大带宽服务器产品。注意:本站黑名单IDC,有被删除账号风险,请尽量避免,如果已经购买建议转出及数据备...

VoLLcloud7折月付$3,香港CMI云服务器原生IP解锁,香港VoLLcloud

vollcloud怎么样?vollcloud LLC创立于2020年,是一家以互联网基础业务服务为主的 技术型企业,运营全球数据中心业务。VoLLcloud LLC针对新老用户推出全场年付产品7折促销优惠,共30个,机会难得,所有产品支持3日内无条件退款,同时提供产品免费体验。目前所有产品中,“镇店之宝”产品性价比高,适用大部分用户基础应用,卖的也是最好,同时,在这里感谢新老用户的支持和信任,我们...

iproute为你推荐
您的appleyw372:Com帮个忙 这个视频源地址怎么找http://video.kuaiji.com/congye/diansuanhua/372/3097iprouteip route 0.0.0.0 0.0.0.0 s0/0/0 中s0/0/0 指的是本地的还是??宜人贷官网宜人贷是不是骗人的地址栏图标网站在地址栏显示的图标,是怎么显示出来的zencart模板zen cart模板怎么进行二次开发修改dezender如何将shopex和phpwind两个伪静态规则写在一起谷歌新漏洞google hacking 技术有哪些无忧代理网无忧考网好不好,为什么注册要输入电话号码,可信度高不高,还有中国公务员考试网,这些网站是不是要收费权限777777权限是什么?
广西虚拟主机 如何注册域名 台湾服务器租用 vps租用 高防dns google镜像 天猫双十一抢红包 刀片服务器是什么 me空间社区 中国电信宽带测速网 google台湾 东莞idc lamp什么意思 江苏徐州移动 卡巴斯基试用版下载 锐速 hdchina 湖南铁通 百度新闻源申请 apache启动失败 更多