Настроим juniper vpn на SRX210

Обновлено 08.06.2017

Настроим juniper vpn на SRX210

Добрый день уважаемые читатели, в прошлый раз мы с вами настроили сетевые интерфейсы на Juniper SRX210, а вот сегодня с помощью него же поднимем на juniper vpn канал, между двумя офисами, чтобы объединить с помощью него две локальные сети, рассмотрим примеры соединения, точка-точка и сеть-сеть. На сегодняшний момент, когда у компании может быть огромное количество филиалов, сложно представить жизнь без впн, и любой системный администратор, просто обязан знать его принципы работы и настройки.

Настройка vpn на juniper

И так с чего начинается настройка любого VPN соединения, правильно с планирования, и первым пунктом стоит это выбор подсети для тунелирования. Нам для решения этой задачи хватит подсети с маской 30, что означает всего 2 ip адреса которые можно использовать, один в одном офисе, а второй в другом.

Ранее я вам рассказывал про статическую маршрутизацию в Cisco и там мы использовали, то же VPN канал между офисами

Вот пример общей схемы подключения, есть главный офис и два мелких, и за счет настроенных на juniper vpn каналах, через интернет они подключены, и являются одним большим организмом. Пользователи любого офиса имеют доступ в любой другой доступ по сети конечно 🙂 .

Настроим juniper vpn на SRX210-2

Еще один важный аспектом, всегда была безопасность, выделю это слово и подчеркну, значит нам нужно чтобы канал был зашифрован и устойчив к взлому, и нам на помощь приходит juniper ipsec.

В Juniper ipsec, отличается от того же шифрованного ovpn или pptp является гораздо более высокая степень устойчивости ко взлому, а также гораздо более широкая степень унификации и распространенности. Связать две железки типом site-to-site, если нужен канал с шифрованием, через ipsec гораздо проще, нежели поднимать между ними ppp-соединение. Потому что ipsec умеют почти все роутеры, даже D-link, а вот с ppp-соединениями всегда возможны нюансы.

В juniper ipsec, включает в себя две фазы:

  • Первая это когда устройства представляются друг другу, при помощи протокола IKE, в момент знакомства они должны договориться какой тип шифрования и контроль целостности и аутентификации буду использовать, а уж после выполнения этих требований переходят ко второй фазе.
  • Ну а на второй фазе строится сам vpn туннель между Juniper роутерами.

В Juniper SRX впн соединения бывают двух видов:

  • Policy based
  • Routed based

Для чего используют Policy based

  • Для устройств не из семейства Juniper, примером может быть Cisco.
  • Когда через VPN, необходимо получить доступ только к одной подсети или одной сети на удаленном узле

Для чего используют Routed based

  • Туннель представляет собой средство для доставки трафика между точками А и В, а также политику в качестве метода разрешающего или запрещающего доставку этого трафика. Проще говоря, ScreenOS позволяет вам свободу, чтобы отделить регулирование трафика от средств его доставки
  • Route Based VPN является конфигурация, в которой политика не ссылается на конкретный VPN-туннель. Вместо этого VPN-туннель косвенно ссылается на маршрут, который указывает на конкретный интерфейс туннеля. Туннельный интерфейс может быть связан с VPN-туннелем или в туннельной зоной.
  • Route Based интерфейс находится в зоне безопасности, туннельный интерфейс должен быть привязан к VPN-туннелю. Это необходимо для того, чтобы создать конфигурацию Route Based VPN. Интерфейс туннеля может быть пронумерован. Если он пронумерован, интерфейс туннеля заимствует IP-адрес из интерфейса зоны безопасности.

Кроме того, виртуальные частные сети Route Based должна включать следующую информацию о конфигурации:

  • Туннельный интерфейс
  • В фазе 1 Конфигурация VPN шлюза
  • В фазе 2 в конфигурация VPN
  • Маршрут для удаленной сети, указывающей на туннельный интерфейс
  • Политика разрешающая трафик
  • Конфигурацию VPN связанную с туннельным интерфейсом.
  • Локальный и удаленный прокси-ID

Настройка Routed based

Routed based я буду настраивать, только потому что мне нужно NAT между сетями. Чуть выше мы с вами определились, что для виртуального интерфейса juniper ipsec, мы выбрали подсеть с маской 30. На одной стороне у меня будет 10.11.14.158/30, а на второй 10.11.14.157/30.

Мы с вами рассмотрим два варианта выполнения задачи, из командной строки, посредством ssh и через графический GUI интерфейс.

Настройка juniper ipsec через командную строку

Открываем ssh сессию, и вводим

cli

configure

Все теперь, когда вы находитесь в режиме configuration mode вы можете вносить изменения в конфиг железки.

Создадим виртуальный интерфейс st0, в Juniper все виртуальные называются st. Но сначала проверим нет ли у нас уже созданных. run добавляет для выполнения команд не из режима конфигурирования.

run show interface terse

Вывод будет примерно вот таким. Как видите у меня нет st интерфейсов, кроме 0, на нем то мы и будем создавать sub интерфейсы.

Настроим juniper vpn на SRX210-3

Зададим статический ip адрес для juniper ipsec туннеля.

set interfaces st0 unit 1 family inet address 10.11.14.157/30

set interfaces st0 unit 1 description "Msk-kopus1 to NN"

  • set interfaces st0 указываем что будем на его основе делать дополнительный интерфейс с номером 1
  • description "Msk-kopus1 to NN" описание к интерфейсу

Зададим размер MTU.

set interfaces st0 unit 1 family inet mtu 1400

Если вы сейчас выполните команду Commit, для записи конфига, то потом выполнив run show interface terse вы увидите созданный st1 интерфейс.

Настроим juniper vpn на SRX210-4

Удалить интерфейс можно командой.

delete interfaces st0 unit 1

Настройка первой фазы IKE

Перейдем к первой настройке vpn на Juniper, и это фаза IKE.

Включим использование pre-shared keys, с помощью authentication-method pre-shared-keys. proposal это если дословно перевести предложение, по сути это профиль настроек для первой фазы, в котором описаны все параметры.

set security ike proposal jun-msk-nn authentication-method pre-shared-keys

Теперь с генерируем общий приватный ключ при обмене данными по незащищенному каналу, размером 2048-бит, за это отвечает dh-group. Что такое dh-group читайте по ссылке слева

set security ike proposal jun-msk-nn dh-group group14

Для аутентификации будем использовать sha-256, это безопасный алгоритм хеширования. Более подробно про md5 хеш и sha 1 хеш читайте по ссылке.

set security ike proposal jun-msk-nn authentication-algorithm sha-256

Зададим алгоритм шифрования данных в первой фазе, укажем aes-256-cbc

set security ike proposal jun-msk-nn encryption-algorithm aes-256-cbc

Укажем описание proposal

set security ike proposal jun-msk-nn description vpn-msk-korpus2-to-nn

Зададим время жизни приватного ключа (был сгенерирован автоматически при инициализации подключения) первой фазы

set security ike proposal jun-msk-nn lifetime-seconds 86400

Задаем режим работы

set security ike policy msk-to-nn mode main

Задаем сам PSK ключ

set security ike policy msk-to-nn pre-shared-key ascii-text "Ваш ключ"

И привязываете его к proposal

set security ike policy msk-to-nn proposals jun-msk-nn

Теперь нужно указать ip адрес шлюза (публичный ip) для подключения и создать саму политику шлюза.

set security ike gateway g-msk-to-nn ike-policy msk-to-nn

Задаем интерфейс, через который будет проходить IPSec трафик

set security ike gateway g-msk-to-nn external-interface fe-0/0/2.0

security {
ike {
proposal jun-msk-nn {
description vpn-msk-korpus2-to-nn;
authentication-method pre-shared-keys;
dh-group group14;
authentication-algorithm sha-256;
encryption-algorithm aes-256-cbc;
lifetime-seconds 86400;
}
policy msk-to-nn {
mode main;
proposals jun-msk-nn;
pre-shared-key ascii-text "Мой ключ"; ## SECRET-DATA
}
gateway g-msk-to-nn {
ike-policy msk-to-nn;
address 95.79.54.251;
external-interface fe-0/0/2.0;

Настройка второй фазы juniper ipsec

Переходим к настройке второй фазы juniper ipsec,

Зададим протокол инкапсуляции, protocol esp — будем использовать ESP (Encapsulated Security Payload header). Имя proposal у меня будет IPSecPro-for-nn.

set security ipsec proposal IPSecPro-for-nn protocol esp

Следующим шагом при настройке juniper ipsec идет алгоритм аутентификации, я поставлю authentication-algorithm hmac-sha-256-128

set security ipsec proposal IPSecPro-for-nn authentication-algorithm hmac-sha-256-128

Ну и укажем алгоритм шифрования encryption-algorithm aes-256-cbc

set security ipsec proposal IPSecPro-for-nn encryption-algorithm aes-256-cbc

И укажем время жизни приватного ключа (был сгенерирован автоматически при инициализации подключения) второй фазы

set security ipsec proposal IPSecPro-for-nn lifetime-seconds 18600

ну и описание конечно же для себя, приучите себя это делать

set security ipsec proposal IPSecPro-for-nn description vpn-msk-korpus2-to-nn

Далее  juniper vpn потребует создать политику в которой вы выберите dh-group

set security ipsec policy msk-to-nn perfect-forward-secrecy keys group14

Ну и натравим политику IPsec на proposal

set security ipsec policy msk-to-nn proposals IPSecPro-for-nn

Укажем виртуальный интерфейс для построения IPSec туннеля, пустим через st0.1, у вас может быть другой.

set security ipsec vpn "vpn-msk-korpus2-to-nn" bind-interface st0.1

Укажем шлю

set security ipsec vpn "vpn-msk-korpus2-to-nn" ike gateway g-msk-to-nn

Линкуем к политике и говорим, что туннель будет создан немедленно

set security ipsec vpn "vpn-msk-korpus2-to-nn" ike ipsec-policy msk-to-nn
set security ipsec vpn "vpn-msk-korpus2-to-nn" establish-tunnels immediately

ipsec {
proposal IPSecPro-for-nn {
description vpn-msk-korpus2-to-nn;
protocol esp;
authentication-algorithm hmac-sha-256-128;
encryption-algorithm aes-256-cbc;
lifetime-seconds 18600;
}
policy msk-to-nn {
description vpn-msk-korpus2-to-nn;
perfect-forward-secrecy {
keys group14;
}
proposals IPSecPro-for-nn;
}
vpn vpn-msk-korpus2-to-nn {
bind-interface st0.1;
ike {
gateway g-msk-to-nn;
ipsec-policy msk-to-nn;
}
establish-tunnels immediately;

Аналогичные настройки нужно применить и на втором маршрутизаторе

Еще последним штрихом мы должны разрешить в зоне untrust ike и ping трафик

set security zones security-zone untrust interfaces fe-0/0/2.0 host-inbound-traffic system-services ike
set security zones security-zone untrust interfaces fe-0/0/2.0 host-inbound-traffic system-services ping
set security zones security-zone trust interfaces st0.1 host-inbound-traffic system-services all
set security zones security-zone trust interfaces st0.1 host-inbound-traffic protocols all

и не забудьте st0.1 добавить в зону trust иначе не будет работать.

set security zones security-zone trust interfaces st0.1

Все теперь можно настраивать статические маршруты в обе стороны делается это командой

set routing-options static route 192.168.4.0/24 next-hop тут адрес сетевого интерфейса на другой стороне, но правильнее настроить ospf, об этом ниже.

посмотреть состояние фаз juniper vpn на SRX210 можно командами

run show security ike sa

run show security ipsec sa

и все активные туннели

run show security ike active-peer

Настройка juniper ipsec через веб интерфейс

Давайте теперь настроим juniper vpn вторым способом. Как включить web морду я уже рассказывал, логинимся в нее. Идем в пункт interfaces > Ports. Ищем там st0 и сверху жмем Add > Logical interfaces. Нам нужно добавить виртуальный vpn интерфейс.

Настроим juniper vpn на SRX210-5

И заполняем все поля

  • Номер виртуального интерфейса
  • зона trust
  • Описание
  • Статический ip адрес с маской

Настроим juniper vpn на SRX210-6

Все туннельный интерфейс готов идем далее к настройкам фаз, первая это IKE. Открываем IPSec VPN > Auo Tunnel > Phase 1 > Proposal. Тут нам нужно создать новый Proposal для Kuniper IKE фазы. Жмем Add.

Настроим juniper vpn на SRX210-7

Тут как и в командной строке задаем параметры

  • Имя
  • Алгоритм аутентификации ставим > sha-256
  • Метод аутентификации > pre-share-keys
  • Описание
  • DH Goup > group14
  • Алгоритм шифрования > aes-256-cbc
  • Время жизни ключа > 86400

Настроим juniper vpn на SRX210-8

Сохраняем и идем создавать политику IKE. Открываем вкладку IKE Policy и жмем Add,

Настроим juniper vpn на SRX210-9

Задаем ей имя, режим main и перекидываем вправо ранее созданный Proposal

Настроим juniper vpn на SRX210-10

На вкладке IKE Policy Options указываем Pre Share Key, которым вы будите шифровать первую фазу Juniper vpn.

Настроим juniper vpn на SRX210-11

Теперь нужно указать шлюз, через который нужно пускать vpn. Идем на вкладку Gateway и жмем Add.

Настроим juniper vpn на SRX210-1

На вкладке IKE Gateway задаем

  • Имя
  • Политику созданную ранее
  • Интерфейс на котором у вас настроен провайдер, через которого пойдет трафик
  • И Ip или адрес назначения на второй стороне

Настроим juniper vpn на SRX210-12

Переходим к настройке второй фазы. Вторая фаза как вы помните это juniper ipsec. Идем в пункт Phase 2 > Proposal >  Add,

Настроим juniper vpn на SRX210-13

В свойствах Proposal, указываем

  • Имя политики IPsec
  • Описание
  • Алгоритм аутентификации ставим hmac-sha-256-128
  • Алгоритм шифрования aes-256-cbc
  • Время жизни ключа 18 600
  • Протокол esp

Настроим juniper vpn на SRX210-14

Далее создаем IPsec политику жмем Add.

Настроим juniper vpn на SRX210-15

В политике задаем Имя, Описание, группу ставим group14 и перебрасываем созданный ранее Proposal на право.

Настроим juniper vpn на SRX210-16

И последний момент нужно создать ключ, для juniper ipsec, идем в меню Auto Key VPN > add.

Настроим juniper vpn на SRX210-17

Указываем

  • Имя
  • Удаленную политику созданную ранее
  • IPsec policy
  • Привязка к созданному виртуальному интерфейсу
  • Применять будем немедленно

Настроим juniper vpn на SRX210-18

Все фазы для juniper vpn созданы, на второй стороне так же их создаете. Убедитесь, что виртуальный интерфейс под vpn st.0.ваш номер находится у вас в доверительной зоне, если нет то сделайте его ее членом.

Для этого идем в Security > Zones > выбираете зону trust и вносите нужный интерфейс.

Настроим juniper vpn на SRX210-19

Убедитесь, что для вашего st0 разрешен весь трафик.

Настроим juniper vpn на SRX210-20

Так же вам нужно на зоне untrust разрешить IKE трафик.

Настроим juniper vpn на SRX210-22

Ну и далее прописываете маршруты. Вкладка Rouning > Static Routing > Add в нужные вам подсети.

Настроим juniper vpn на SRX210-21

Но есть способ более простой и правильный чем статическая маршрутизация, это OSPF протокол, про него я расскажу в следующей статье, его смысл в том что он сам узнает все маршруты какие есть на всех железках, и если их несколько найдет самый короткий, полная автоматика и магия

Автор - Сёмин Иван

4 Responses to Настроим juniper vpn на SRX210

  1. Ops:

    А расскажите пожалуйста как конфиг бэкапить

  2. Иван Семин:

    Ок, конечно опишу

  3. enes:

    Ringmaster or Mobility System software not download site. WLA-321 access point for

  4. Алексей:

    Скажите пожалуйста как завернуть весь трафик в VPN. Не могу понять. Спасибо

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *