Descripción general de la configuración de VPN IPsec

Configuración rápida de CLI

Para configurar rápidamente una SA manual que se utilizará para la autenticación IPsec en una interfaz OSPF, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, a continuación, ingrese commit desde el modo de configuración.

[edit] 
set security ipsec security-association sa1
set security ipsec security-association sa1 mode transport
set security ipsec security-association sa1 manual direction bidirectional
set security ipsec security-association sa1 manual direction bidirectional protocol ah
set security ipsec security-association sa1 manual direction bidirectional spi 256
set security ipsec security-association sa1 manual direction bidirectional authentication algorithm hmac-md5-96 key ascii-text 123456789012abc
set security ipsec security-association sa1 manual direction bidirectional encryption algorithm des key ascii-text cba210987654321

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar una SA manual:

1. Especifique un nombre para la SA.

   content_copy zoom_out_map

   [edit]
   user@host# edit security ipsec security-association sa1 
   

2. Especifique el modo de la SA manual.

   content_copy zoom_out_map

   [edit security ipsec security-association sa1]
   user@host# set mode transport
   

3. Configure la dirección de la SA manual.

   content_copy zoom_out_map

   [edit security ipsec security-association sa1]
   user@host# set manual direction bidirectional
   

4. Configure el protocolo IPsec que se va a utilizar.

   content_copy zoom_out_map

   [edit security ipsec security-association sa1]
   user@host# set manual direction bidirectional protocol ah
   

5. Configure el valor del SPI.

   content_copy zoom_out_map

   [edit security ipsec security-association sa1]
   user@host# set manual direction bidirectional spi 256
   

6. Configure el algoritmo y la clave de autenticación.

   content_copy zoom_out_map

   [edit security ipsec security-association sa1]
   user@host# set manual direction bidirectional authentication algorithm hmac-md5-96 key ascii-text 123456789012abc
   

7. Configure el algoritmo y la clave de cifrado.

   content_copy zoom_out_map

   [edit security ipsec security-association sa1]
   user@host# set manual direction bidirectional encryption algorithm des key ascii-text cba210987654321
   

Resultados

Confirme la configuración introduciendo el show security ipsec comando. Si el resultado no muestra la configuración deseada, repita las instrucciones en este ejemplo para corregir la configuración.

Después de configurar la contraseña, no verá la contraseña en sí. El resultado muestra el formulario cifrado de la contraseña que configuró.

[edit]
user@host# show security ipsec 
security-association sa1 {
    mode transport;
    manual {
        direction bidirectional {
            protocol ah;
            spi 256;
            authentication {
                algorithm hmac-md5-96;
                key ascii-text "$9$AP5Hp1RcylMLxSygoZUHk1REhKMVwY2oJx7jHq.zF69A0OR"; ## SECRET-DATA
            }
            encryption {
                algorithm des;
                key ascii-text "$9$AP5Hp1RcylMLxSygoZUHk1REhKMVwY2oJx7jHq.zF69A0OR"; ## SECRET-DATA
            }
        }
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para aplicar rápidamente una SA manual utilizada para la autenticación IPsec a una interfaz OSPF, copie el siguiente comando, péguelo en un archivo de texto, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue el comando en la CLI en el nivel de jerarquía [edit] y, a continuación, ingrese commit desde el modo de configuración.

[edit] 
set protocols ospf area 0.0.0.0 interface so-0/2/0 ipsec-sa sa1

Procedimiento paso a paso

Para habilitar la autenticación IPsec para una interfaz OSPF:

1. Cree un área OSPF.

   Para especificar OSPFv3, incluya la ospf3 instrucción en el nivel jerárquico [edit protocols] .

   content_copy zoom_out_map

   [edit]
   user@host# edit protocols ospf area 0.0.0.0 
   

2. Especifique la interfaz.

   content_copy zoom_out_map

   [edit protocols ospf area 0.0.0.0]
   user@host# edit interface so-0/2/0
   

3. Aplique la SA manual de IPsec.

   content_copy zoom_out_map

   [edit protocols ospf area 0.0.0.0 interface so-0/2/0.0]
   user@host# set ipsec-sa sa1
   

Resultados

Confirme la configuración introduciendo el show ospf interface detail comando. Si el resultado no muestra la configuración deseada, repita las instrucciones en este ejemplo para corregir la configuración.

Para confirmar la configuración de OSPFv3, escriba el show protocols ospf3 comando.

[edit]
user@host# show protocols ospf 
area 0.0.0.0 { 
    interface so-0/2/0.0 {
         ipsec-sa sa1;  
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Propósito

Compruebe las opciones de asociación de seguridad IPsec configuradas. Verifique la información siguiente:

• El campo Asociación de seguridad muestra el nombre de la asociación de seguridad configurada.

• El campo SPI muestra el valor que ha configurado.

• El campo Modo muestra el modo de transporte.

• El campo Tipo muestra manual como el tipo de asociación de seguridad.

Acción

Desde el modo operativo, ingrese el comando show ospf interface detail.

Propósito

Compruebe que la asociación de seguridad IPsec que configuró se ha aplicado a la interfaz OSPF. Confirme que el campo Nombre de SA de IPsec muestra el nombre de la asociación de seguridad IPsec configurada.

Acción

Desde el modo operativo, escriba el show ospf interface detail comando para OSPF y escriba el show ospf3 interface detail comando para OSPFv3.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set interfaces ge-0/0/0 unit 0 family inet address 192.168.10.1/24
 set interfaces ge-0/0/3 unit 0 family inet address 10.1.1.2/30
 set interfaces st0 unit 0 family inet address 10.11.11.10/24
 set routing-options static route 0.0.0.0/0 next-hop 10.1.1.1
 set routing-options static route 192.168.168.0/24 next-hop 10.11.11.11
 set routing-options static route 192.168.178.0/24 next-hop 10.11.11.12
 set security zones security-zone untrust interfaces ge-0/0/3.0
 set security zones security-zone untrust host-inbound-traffic system-services ike
 set security zones security-zone trust interfaces ge-0/0/0.0
 set security zones security-zone trust host-inbound-traffic system-services all
 set security zones security-zone vpn interfaces st0.0
 set security address-book book1 address local-net 192.168.10.0/24 
 set security address-book book1 attach zone trust 
 set security address-book book2 address sunnyvale-net 192.168.168.0/24 
set security address-book book2 address westford-net 192.168.178.0/24 
set security address-book book2 attach zone vpn

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar la información básica de red, zona de seguridad y libreta de direcciones para el concentrador:

1. Configure la información de interfaz Ethernet.

   content_copy zoom_out_map

   [edit]
   user@hub# set interfaces ge-0/0/0 unit 0 family inet address 192.168.10.1/24
   user@hub# set interfaces ge-0/0/3 unit 0 family inet address 10.1.1.2/30
   user@hub# set interfaces st0 unit 0 family inet address 10.11.11.10/24
   

2. Configure la información de rutas estáticas.

   content_copy zoom_out_map

   [edit]
   user@hub# set routing-options static route 0.0.0.0/0 next-hop 10.1.1.1
   user@hub# set routing-options static route 192.168.168.0/24 next-hop 10.11.11.11
   user@hub# set routing-options static route 192.168.178.0/24 next-hop 10.11.11.12
   

3. Configure la zona de seguridad de no confianza.

   content_copy zoom_out_map

   [edit ]
   user@hub# set security zones security-zone untrust
   

4. Asigne una interfaz a la zona de seguridad de no confianza.

   content_copy zoom_out_map

   [edit security zones security-zone untrust]
   user@hub# set interfaces ge-0/0/3.0
   

5. Especifique los servicios del sistema permitidos para la zona de seguridad de no confianza.

   content_copy zoom_out_map

   [edit security zones security-zone untrust]
   user@hub# set host-inbound-traffic system-services ike
   

6. Configure la zona de seguridad de confianza.

   content_copy zoom_out_map

   [edit]
   user@hub# edit security zones security-zone trust
   

7. Asigne una interfaz a la zona de seguridad de confianza.

   content_copy zoom_out_map

   [edit security zones security-zone trust]
   user@hub# set interfaces ge-0/0/0.0
   

8. Especifique los servicios del sistema permitidos para la zona de seguridad de confianza.

   content_copy zoom_out_map

   [edit security zones security-zone trust]
   user@hub# set host-inbound-traffic system-services all
   

9. Cree una libreta de direcciones y adjunte una zona a ella.

   content_copy zoom_out_map

   [edit security address-book book1]
   user@hub# set address local-net 10.10.10.0/24 
   user@hub# set attach zone trust 
   

10. Configure la zona de seguridad vpn.

    content_copy zoom_out_map

    [edit]
    user@hub# edit security zones security-zone vpn
    

11. Asigne una interfaz a la zona de seguridad vpn.

    content_copy zoom_out_map

    [edit security zones security-zone vpn]
    user@hub# set interfaces st0.0
    

12. Cree otra libreta de direcciones y adjunte una zona a ella.

    content_copy zoom_out_map

    [edit security address-book book2]
    user@hub# set address sunnyvale-net 192.168.168.0/24 
    user@hub# set address westford-net 192.168.178.0/24 
    user@hub# set attach zone vpn
    

Resultados

Desde el modo de configuración, ingrese los comandos show interfaces, show routing-options, show security zones y show security address-book para confirmar la configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@hub# show interfaces
ge-0/0/0 {
    unit 0 {
        family inet {
            address 192.168.10.1/24;
        }
    }
}
ge-0/0/3 {
    unit 0 {
        family inet {
            address 10.1.1.2/30 
        }
    }
}
st0{
    unit 0 {
        family inet {
            address 10.11.11.10/24
        }
    }
}

[edit]
user@hub# show routing-options
static {
    route 0.0.0.0/0 next-hop 10.1.1.1;
    route 192.168.168.0/24 next-hop 10.11.11.11;
    route 192.168.178.0/24 next-hop 10.11.11.12;
}

[edit]
user@hub# show security zones
security-zone untrust {
    host-inbound-traffic {
        system-services {
            ike;
        }
    }
    interfaces {
        ge-0/0/3.0;
    }
}
security-zone trust {
    host-inbound-traffic {
        system-services {
            all;
        }
    }
    interfaces {
        ge-0/0/0.0;
    }
}
security-zone vpn {
    host-inbound-traffic {
    }
    interfaces {
        st0.0;
    }
}
[edit]
user@hub# show security address-book
book1 {
    address local-net 10.10.10.0/24;
    attach {
        zone trust;
    }
}
    book2 {
        address sunnyvale-net 192.168.168.0/24;
        address westford-net 192.168.178.0/24;
        attach {
            zone vpn;
        }
    }

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set security ike proposal ike-phase1-proposal authentication-method pre-shared-keys
set security ike proposal ike-phase1-proposal dh-group group2 
set security ike proposal ike-phase1-proposal authentication-algorithm sha1 
set security ike proposal ike-phase1-proposal encryption-algorithm aes-128-cbc 
set security ike policy ike-phase1-policy mode main 
set security ike policy ike-phase1-policy proposals ike-phase1-proposal 
set security ike policy ike-phase1-policy pre-shared-key ascii-text “$ABC123” 
set security ike gateway gw-westford external-interface ge-0/0/3.0 
set security ike gateway gw-westford ike-policy ike-phase1-policy 
set security ike gateway gw-westford address 10.3.3.2 
set security ike gateway gw-sunnyvale external-interface ge-0/0/3.0 
set security ike gateway gw-sunnyvale ike-policy ike-phase1-policy 
set security ike gateway gw-sunnyvale address 10.2.2.2 

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar IKE para el hub:

1. Cree la propuesta de fase 1 de IKE.

   content_copy zoom_out_map

   [edit security ike]
   user@hub# set proposal ike-phase1-proposal
   

2. Defina el método de autenticación de la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike proposal ike-phase1-proposal]
   user@hub# set authentication-method pre-shared-keys
   

3. Defina el grupo Diffie-Hellman de la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike proposal ike-phase1-proposal]
   user@hub# set dh-group group2
   

4. Defina el algoritmo de autenticación de la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike proposal ike-phase1-proposal]
   user@hub# set authentication-algorithm sha1
   

5. Defina el algoritmo de cifrado de la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike proposal ike-phase1-proposal]
   user@hub# set encryption-algorithm aes-128-cbc
   

6. Cree una política de fase 1 de IKE.

   content_copy zoom_out_map

   [edit security ike]
   user@hub# set policy ike-phase1-policy
   

7. Establezca el modo de política de fase 1 de IKE.

   content_copy zoom_out_map

   [edit security ike policy ike-phase1-policy]
   user@hub# set mode main
   

8. Especifique una referencia a la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike policy ike-phase1-policy]
   user@hub# set proposals ike-phase1-proposal
   

9. Defina el método de autenticación de políticas de fase 1 de IKE.

   content_copy zoom_out_map

   [edit security ike policy ike-phase1-policy]
   user@hub# set pre-shared-key ascii-text “$ABC123”
   

10. Cree una puerta de enlace de fase 1 de IKE y defina su interfaz externa.

    content_copy zoom_out_map

    [edit security ike]
    user@hub# set gateway gw-westford external-interface ge-0/0/3.0
    

11. Defina la referencia de política de fase 1 de IKE.

    content_copy zoom_out_map

    [edit security ike]
    user@hub# set gateway gw-westford ike-policy ike-phase1-policy
    

12. Defina la dirección de puerta de enlace de fase 1 de IKE.

    content_copy zoom_out_map

    [edit security ike]
    user@hub# set  gateway gw-westford address 10.3.3.2
    

13. Cree una puerta de enlace de fase 1 de IKE y defina su interfaz externa.

    content_copy zoom_out_map

    [edit security ike]
    user@hub# set gateway gw-sunnyvale external-interface ge-0/0/3.0
    

14. Defina la referencia de política de fase 1 de IKE.

    content_copy zoom_out_map

    [edit security ike gateway]
    user@hub# set gateway gw-sunnyvale ike-policy ike-phase1-policy
    

15. Defina la dirección de puerta de enlace de fase 1 de IKE.

    content_copy zoom_out_map

    [edit security ike gateway]
    user@hub# set gateway gw-sunnyvale address 10.2.2.2
    

Resultados

Desde el modo de configuración, confírmela con el comando show security ike. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@hub# show security ike
proposal ike-phase1-proposal {
    authentication-method pre-shared-keys;
    dh-group group2;
    authentication-algorithm sha1;
    encryption-algorithm aes-128-cbc;
}
policy ike-phase1-policy {
    mode main;
    proposals ike-phase1-proposal;
    pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
gateway gw-sunnyvale {
    ike-policy ike-phase1-policy;
    address 10.2.2.2;
    external-interface ge-0/0/3.0;
}
gateway gw-westford {
    ike-policy ike-phase1-policy;
    address 10.3.3.2;
    external-interface ge-0/0/3.0;
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set security ipsec proposal ipsec-phase2-proposal protocol esp
set security ipsec proposal ipsec-phase2-proposal authentication-algorithm hmac-sha1-96 
set security ipsec proposal ipsec-phase2-proposal encryption-algorithm aes-128-cbc 
set security ipsec policy ipsec-phase2-policy proposals ipsec-phase2-proposal
set security ipsec policy ipsec-phase2-policy perfect-forward-secrecy keys group2
set security ipsec vpn vpn-westford ike gateway gw-westford
set security ipsec vpn vpn-westford ike ipsec-policy ipsec-phase2-policy
set security ipsec vpn vpn-westford bind-interface st0.0
set security ipsec vpn vpn-sunnyvale ike gateway gw-sunnyvale
set security ipsec vpn vpn-sunnyvale ike ipsec-policy ipsec-phase2-policy
set security ipsec vpn vpn-sunnyvale bind-interface st0.0
set interfaces st0 unit 0 multipoint
set interfaces st0 unit 0 family inet next-hop-tunnel 10.11.11.11 ipsec-vpn vpn-sunnyvale
set interfaces st0 unit 0 family inet next-hop-tunnel 10.11.11.12 ipsec-vpn vpn-westford

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar IPsec para el concentrador:

1. Cree una propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit]
   user@hub# set security ipsec proposal ipsec-phase2-proposal
   

2. Especifique el protocolo de propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec proposal ipsec-phase2-proposal]
   user@hub# set protocol esp
   

3. Especifique el algoritmo de autenticación de propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec proposal ipsec-phase2-proposal]
   user@hub# set authentication-algorithm hmac-sha1-96
   

4. Especifique el algoritmo de cifrado de la propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec proposal ipsec-phase2-proposal]
   user@hub# set encryption-algorithm aes-128-cbc
   

5. Cree la directiva de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec]
   user@hub# set policy ipsec-phase2-policy
   

6. Especifique la referencia de propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec policy ipsec-phase2-policy]
   user@hub# set proposals ipsec-phase2-proposal
   

7. Especifique PFS de fase 2 IPsec para usar el grupo 2 de Diffie-Hellman.

   content_copy zoom_out_map

   [edit security ipsec policy ipsec-phase2-policy]
   user@host# set perfect-forward-secrecy keys group2
   

8. Especifique las puertas de enlace de IKE.

   content_copy zoom_out_map

   [edit security ipsec]
   user@hub# set vpn vpn-westford ike gateway gw-westford
   user@hub# set vpn vpn-sunnyvale ike gateway gw-sunnyvale
   

9. Especifique las directivas de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec]
   user@hub# set vpn vpn-westford ike ipsec-policy ipsec-phase2-policy
   user@hub# set vpn vpn-sunnyvale ike ipsec-policy ipsec-phase2-policy
   

10. Especifique la interfaz que se va a enlazar.

    content_copy zoom_out_map

    [edit security ipsec]
    user@hub# set vpn vpn-westford bind-interface st0.0
    user@hub# set vpn vpn-sunnyvale bind-interface st0.0
    

11. Configure la interfaz st0 como multipunto.

    content_copy zoom_out_map

    [edit]
    user@hub# set interfaces st0 unit 0 multipoint
    

12. Agregue entradas de tabla NHTB estáticas para las oficinas de Sunnyvale y Westford.

    content_copy zoom_out_map

    [edit]
    user@hub# set interfaces st0 unit 0 family inet next-hop-tunnel 10.11.11.11 ipsec-vpn vpn-sunnyvale
    user@hub# set interfaces st0 unit 0 family inet next-hop-tunnel 10.11.11.12 ipsec-vpn vpn-westford
    

Resultados

Desde el modo de configuración, confírmela con el comando show security ipsec. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@hub# show security ipsec
proposal ipsec-phase2-proposal {
    protocol esp;
    authentication-algorithm hmac-sha1-96;
    encryption-algorithm aes-128-cbc;
}
policy ipsec-phase2-policy {
    perfect-forward-secrecy {
        keys group2;
    }
    proposals ipsec-phase2-proposal;
}
vpn vpn-sunnyvale {
    bind-interface st0.0;
    ike {
        gateway gw-sunnyvale;
        ipsec-policy ipsec-phase2-policy;
    }
}
vpn vpn-westford {
    bind-interface st0.0;
    ike {
        gateway gw-westford;
        ipsec-policy ipsec-phase2-policy;
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set security policies from-zone trust to-zone vpn policy local-to-spokes match source-address local-net
set security policies from-zone trust to-zone vpn policy local-to-spokes match destination-address sunnyvale-net 
set security policies from-zone trust to-zone vpn policy local-to-spokes match destination-address westford-net 
set security policies from-zone trust to-zone vpn policy local-to-spokes match application any
set security policies from-zone trust to-zone vpn policy local-to-spokes then permit 
set security policies from-zone vpn to-zone trust policy spokes-to-local match source-address sunnyvale-net
set security policies from-zone vpn to-zone trust policy spokes-to-local match source-address westford-net 
set security policies from-zone vpn to-zone trust policy spokes-to-local match destination-address local-net 
set security policies from-zone vpn to-zone trust policy spokes-to-local match application any
set security policies from-zone vpn to-zone trust policy spokes-to-local then permit 
set security policies from-zone vpn to-zone vpn policy spoke-to-spoke match source-address any
set security policies from-zone vpn to-zone vpn policy spoke-to-spoke match destination-address any
set security policies from-zone vpn to-zone vpn policy spoke-to-spoke match application any
set security policies from-zone vpn to-zone vpn policy spoke-to-spoke then permit

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar políticas de seguridad para el hub:

1. Cree la política de seguridad para permitir tráfico desde la zona de confianza a la zona VPN.

   content_copy zoom_out_map

   [edit security policies from-zone trust to-zone vpn]
   user@hub# set policy local-to-spokes match source-address local-net
   user@hub# set policy local-to-spokes match destination-address sunnyvale-net
   user@hub# set policy local-to-spokes match destination-address westford-net
   user@hub# set policy local-to-spokes match application any
   user@hub# set policy local-to-spokes then permit
   

2. Cree la política de seguridad para permitir tráfico desde la zona VPN a la zona de confianza.

   content_copy zoom_out_map

   [edit security policies from-zone vpn to-zone trust]
   user@hub# set policy spokes-to-local match source-address sunnyvale-net
   user@hub# set policy spokes-to-local match source-address westford-net
   user@hub# set policy spokes-to-local match destination-address local-net
   user@hub# set policy spokes-to-local match application any
   user@hub# set policy spokes-to-local then permit 
   

3. Cree la política de seguridad para permitir el tráfico dentro de la zona.

   content_copy zoom_out_map

   [edit security policies from-zone vpn to-zone vpn]
   user@hub# set policy spoke-to-spoke match source-address any
   user@hub# set policy spoke-to-spoke match destination-address any
   user@hub# set policy spoke-to-spoke match application any
   user@hub# set policy spoke-to-spoke then permit
   

Resultados

Desde el modo de configuración, confírmela con el comando show security policies. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@hub# show security policies
from-zone trust to-zone vpn {
    policy local-to-spokes {
        match {
            source-address local-net; 
            destination-address [ sunnyvale-net westford-net ];
            application any;
        }
        then {
            permit;
        }
    }
}
from-zone vpn to-zone trust {
    policy spokes-to-local {
        match {
            source-address [ sunnyvale-net westford-net ];
            destination-address local-net;
            application any;
        }
        then {
            permit;
        }
    }
}
from-zone vpn to-zone vpn {
    policy spoke-to-spoke {
        match {
            source-address any;
            destination-address any;
            application any;
        }
        then {
            permit;
        }
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set security flow tcp-mss ipsec-vpn mss 1350

Procedimiento paso a paso

Para configurar la información TCP-MSS para el concentrador:

1. Configure la información de TCP-MSS.

   content_copy zoom_out_map

   [edit]
   user@hub# set security flow tcp-mss ipsec-vpn mss 1350
   

Resultados

Desde el modo de configuración, confírmela con el comando show security flow. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@hub# show security flow
tcp-mss {
    ipsec-vpn {
        mss 1350;
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set interfaces ge-0/0/0 unit 0 family inet address 10.3.3.2/30
set interfaces ge-0/0/3 unit 0 family inet address 192.168.178.1/24
set interfaces st0 unit 0 family inet address 10.11.11.12/24
set routing-options static route 0.0.0.0/0 next-hop 10.3.3.1
set routing-options static route 10.10.10.0/24 next-hop 10.11.11.10
set routing-options static route 192.168.168.0/24 next-hop 10.11.11.10
set security zones security-zone untrust interfaces ge-0/0/0.0
set security zones security-zone untrust host-inbound-traffic system-services ike
set security zones security-zone trust interfaces ge-0/0/3.0
set security zones security-zone trust host-inbound-traffic system-services all
set security zones security-zone vpn interfaces st0.0
set security address-book book1 address local-net 192.168.178.0/24
set security address-book book1 attach zone trust 
set security address-book book2 address corp-net 10.10.10.0/24
set security address-book book2 address sunnyvale-net 192.168.168.0/24 
set security address-book book2 attach zone vpn

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar la información básica de red, zona de seguridad y libreta de direcciones para el radio de Westford:

1. Configure la información de interfaz Ethernet.

   content_copy zoom_out_map

   [edit]
   user@spoke# set interfaces ge-0/0/0 unit 0 family inet address 10.3.3.2/30
   user@spoke# set interfaces ge-0/0/3 unit 0 family inet address 192.168.178.1/24
   user@spoke# set interfaces st0 unit 0 family inet address 10.11.11.12/24
   

2. Configure la información de rutas estáticas.

   content_copy zoom_out_map

   [edit]
   user@spoke# set routing-options static route 0.0.0.0/0 next-hop 10.3.3.1
   user@spoke# set routing-options static route 10.10.10.0/24 next-hop 10.11.11.10
   user@spoke# set routing-options static route 192.168.168.0/24 next-hop 10.11.11.10
   

3. Configure la zona de seguridad de no confianza.

   content_copy zoom_out_map

   [edit]
   user@spoke# set security zones security-zone untrust
   

4. Asigne una interfaz a la zona de seguridad.

   content_copy zoom_out_map

   [edit security zones security-zone untrust]
   user@spoke# set interfaces ge-0/0/0.0
   

5. Especifique los servicios del sistema permitidos para la zona de seguridad de no confianza.

   content_copy zoom_out_map

   [edit security zones security-zone untrust]
   user@spoke# set host-inbound-traffic system-services ike
   

6. Configure la zona de seguridad de confianza.

   content_copy zoom_out_map

   [edit]
   user@spoke# edit security zones security-zone trust
   

7. Asigne una interfaz a la zona de seguridad de confianza.

   content_copy zoom_out_map

   [edit security zones security-zone trust]
   user@spoke# set interfaces ge-0/0/3.0
   

8. Especifique los servicios del sistema permitidos para la zona de seguridad de confianza.

   content_copy zoom_out_map

   [edit security zones security-zone trust]
   user@spoke# set host-inbound-traffic system-services all
   

9. Configure la zona de seguridad vpn.

   content_copy zoom_out_map

   [edit]
   user@spoke# edit security zones security-zone vpn
   

10. Asigne una interfaz a la zona de seguridad vpn.

    content_copy zoom_out_map

    [edit security zones security-zone vpn]
    user@spoke# set interfaces st0.0
    

11. Cree una libreta de direcciones y adjunte una zona a ella.

    content_copy zoom_out_map

    [edit security address-book book1]
    user@spoke# set address local-net 192.168.178.0/24 
    user@spoke# set attach zone trust
    

12. Cree otra libreta de direcciones y adjunte una zona a ella.

    content_copy zoom_out_map

    [edit security address-book book2]
    user@spoke# set address corp-net 10.10.10.0/24 
    user@spoke# set address sunnyvale-net 192.168.168.0/24 
    user@spoke# set attach zone vpn
    

Resultados

Desde el modo de configuración, ingrese los comandos show interfaces, show routing-options, show security zones y show security address-book para confirmar la configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@spoke# show interfaces
ge-0/0/0 {
    unit 0 {
        family inet {
            address 10.3.3.2/30;
        }
    }
}
ge-0/0/3 {
    unit 0 {
        family inet {
            address 192.168.178.1/24;
        }
    }
}
st0 {
    unit 0 {
        family inet {
            address 10.11.11.10/24;
        }
    }
}

[edit]
user@spoke# show routing-options
static {
    route 0.0.0.0/0 next-hop 10.3.3.1;
    route 192.168.168.0/24 next-hop 10.11.11.10;
    route 10.10.10.0/24 next-hop 10.11.11.10;
}

[edit]
user@spoke# show security zones
security-zone untrust {
    host-inbound-traffic {
        system-services {
            ike;
        }
    }
    interfaces {
        ge-0/0/0.0;
    }
}
security-zone trust {
    host-inbound-traffic {
        system-services {
            all;
        }
    }
    interfaces {
        ge-0/0/3.0;
    }
}
security-zone vpn {
    interfaces {
        st0.0;
    }
}
[edit]
user@spoke# show security address-book
book1 {
    address corp-net 10.10.10.0/24;
    attach {
        zone trust;
    }
}
    book2 {
        address local-net 192.168.178.0/24;
        address sunnyvale-net 192.168.168.0/24;
        attach {
            zone vpn;
        }
    }

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set security ike proposal ike-phase1-proposal authentication-method pre-shared-keys
set security ike proposal ike-phase1-proposal dh-group group2 
set security ike proposal ike-phase1-proposal authentication-algorithm sha1 
set security ike proposal ike-phase1-proposal encryption-algorithm aes-128-cbc 
set security ike policy ike-phase1-policy mode main 
set security ike policy ike-phase1-policy proposals ike-phase1-proposal 
set security ike policy ike-phase1-policy pre-shared-key ascii-text “$ABC123” 
set security ike gateway gw-corporate external-interface ge-0/0/0.0 
set security ike gateway gw-corporate ike-policy ike-phase1-policy 
set security ike gateway gw-corporate address 10.1.1.2 

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar IKE para el radio Westford:

1. Cree la propuesta de fase 1 de IKE.

   content_copy zoom_out_map

   [edit security ike]
   user@spoke# set proposal ike-phase1-proposal
   

2. Defina el método de autenticación de la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike proposal ike-phase1-proposal]
   user@spoke# set authentication-method pre-shared-keys
   

3. Defina el grupo Diffie-Hellman de la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike proposal ike-phase1-proposal]
   user@spoke# set dh-group group2
   

4. Defina el algoritmo de autenticación de la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike proposal ike-phase1-proposal]
   user@spoke# set authentication-algorithm sha1
   

5. Defina el algoritmo de cifrado de la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike proposal ike-phase1-proposal]
   user@spoke# set encryption-algorithm aes-128-cbc
   

6. Cree una política de fase 1 de IKE.

   content_copy zoom_out_map

   [edit security ike]
   user@spoke# set policy ike-phase1-policy
   

7. Establezca el modo de política de fase 1 de IKE.

   content_copy zoom_out_map

   [edit security ike policy ike-phase1-policy]
   user@spoke# set mode main
   

8. Especifique una referencia a la propuesta de ICR.

   content_copy zoom_out_map

   [edit security ike policy ike-phase1-policy]
   user@spoke# set proposals ike-phase1-proposal
   

9. Defina el método de autenticación de políticas de fase 1 de IKE.

   content_copy zoom_out_map

   [edit security ike policy ike-phase1-policy]
   user@spoke# set pre-shared-key ascii-text “$ABC123”
   

10. Cree una puerta de enlace de fase 1 de IKE y defina su interfaz externa.

    content_copy zoom_out_map

    [edit security ike]
    user@spoke# set gateway gw-corporate external-interface ge-0/0/0.0
    

11. Defina la referencia de política de fase 1 de IKE.

    content_copy zoom_out_map

    [edit security ike]
    user@spoke# set gateway gw-corporate ike-policy ike-phase1-policy
    

12. Defina la dirección de puerta de enlace de fase 1 de IKE.

    content_copy zoom_out_map

    [edit security ike]
    user@spoke# set gateway gw-corporate address 10.1.1.2
    

Resultados

Desde el modo de configuración, confírmela con el comando show security ike. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@spoke# show security ike
proposal ike-phase1-proposal {
    authentication-method pre-shared-keys;
    dh-group group2;
    authentication-algorithm sha1;
    encryption-algorithm aes-128-cbc;
}
policy ike-phase1-policy {
    mode main;
    proposals ike-phase1-proposal;
    pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
gateway gw-corporate {
    ike-policy ike-phase1-policy;
    address 10.1.1.2;
    external-interface ge-0/0/0.0;
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set security ipsec proposal ipsec-phase2-proposal protocol esp
set security ipsec proposal ipsec-phase2-proposal authentication-algorithm hmac-sha1-96 
set security ipsec proposal ipsec-phase2-proposal encryption-algorithm aes-128-cbc 
set security ipsec policy ipsec-phase2-policy proposals ipsec-phase2-proposal
set security ipsec policy ipsec-phase2-policy perfect-forward-secrecy keys group2
set security ipsec vpn vpn-corporate ike gateway gw-corporate
set security ipsec vpn vpn-corporate ike ipsec-policy ipsec-phase2-policy
set security ipsec vpn vpn-corporate bind-interface st0.0

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar IPsec para el radio de Westford:

1. Cree una propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit]
   user@spoke# set security ipsec proposal ipsec-phase2-proposal
   

2. Especifique el protocolo de propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec proposal ipsec-phase2-proposal]
   user@spoke# set protocol esp
   

3. Especifique el algoritmo de autenticación de propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec proposal ipsec-phase2-proposal]
   user@spoke# set authentication-algorithm hmac-sha1-96
   

4. Especifique el algoritmo de cifrado de la propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec proposal ipsec-phase2-proposal]
   user@spoke# set encryption-algorithm aes-128-cbc
   

5. Cree la directiva de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec]
   user@spoke# set policy ipsec-phase2-policy
   

6. Especifique la referencia de propuesta de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec policy ipsec-phase2-policy]
   user@spoke# set proposals ipsec-phase2-proposal
   

7. Especifique PFS de fase 2 IPsec para usar el grupo 2 de Diffie-Hellman.

   content_copy zoom_out_map

   [edit security ipsec policy ipsec-phase2-policy]
   user@host# set perfect-forward-secrecy keys group2
   

8. Especifique la puerta de enlace de ICR.

   content_copy zoom_out_map

   [edit security ipsec]
   user@spoke# set vpn vpn-corporate ike gateway gw-corporate
   

9. Especifique la directiva de fase 2 de IPsec.

   content_copy zoom_out_map

   [edit security ipsec]
   user@spoke# set vpn vpn-corporate ike ipsec-policy ipsec-phase2-policy
   

10. Especifique la interfaz que se va a enlazar.

    content_copy zoom_out_map

    [edit security ipsec]
    user@spoke# set vpn vpn-corporate bind-interface st0.0
    

Resultados

Desde el modo de configuración, confírmela con el comando show security ipsec. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@spoke# show security ipsec
proposal ipsec-phase2-proposal {
    protocol esp;
    authentication-algorithm hmac-sha1-96;
    encryption-algorithm aes-128-cbc;
}
policy ipsec-phase2-policy {
    perfect-forward-secrecy {
        keys group2;
    }
    proposals ipsec-phase2-proposal;
}
vpn vpn-corporate {
    bind-interface st0.0;
    ike {
        gateway gw-corporate;
        ipsec-policy ipsec-phase2-policy;
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set security policies from-zone trust to-zone vpn policy to-corporate match source-address local-net
set security policies from-zone trust to-zone vpn policy to-corporate match destination-address corp-net 
set security policies from-zone trust to-zone vpn policy to-corporate match destination-address sunnyvale-net 
set security policies from-zone trust to-zone vpn policy to-corporate application any
set security policies from-zone trust to-zone vpn policy to-corporate then permit 
set security policies from-zone vpn to-zone trust policy from-corporate match source-address corp-net
set security policies from-zone vpn to-zone trust policy from-corporate match source-address sunnyvale-net 
set security policies from-zone vpn to-zone trust policy from-corporate match destination-address local-net 
set security policies from-zone vpn to-zone trust policy from-corporate application any
set security policies from-zone vpn to-zone trust policy from-corporate then permit 

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacer eso, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar las políticas de seguridad para el radio de Westford:

1. Cree la política de seguridad para permitir tráfico desde la zona de confianza a la zona VPN.

   content_copy zoom_out_map

   [edit security policies from-zone trust to-zone vpn]
   user@spoke# set policy to-corp match source-address local-net
   user@spoke# set policy to-corp match destination-address corp-net
   user@spoke# set policy to-corp match destination-address sunnyvale-net
   user@spoke# set policy to-corp match application any
   user@spoke# set policy to-corp then permit
   

2. Cree la política de seguridad para permitir tráfico desde la zona VPN a la zona de confianza.

   content_copy zoom_out_map

   [edit security policies from-zone vpn to-zone trust]
   user@spoke# set policy spokes-to-local match source-address corp-net
   user@spoke# set policy spokes-to-local match source-address sunnyvale-net
   user@spoke# set policy spokes-to-local match destination-address local-net
   user@spoke# set policy spokes-to-local match application any
   user@spoke# set policy spokes-to-local then permit 
   

Resultados

Desde el modo de configuración, confírmela con el comando show security policies. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@spoke# show security policies
from-zone trust to-zone vpn {
    policy to-corp {
        match {
            source-address local-net; 
            destination-address [ sunnyvale-net westford-net ];
            application any;
        }
        then {
            permit;
        }
    }
}
from-zone vpn to-zone trust {
    policy spokes-to-local {
        match {
            source-address [ sunnyvale-net westford-net ];
            destination-address local-net;
            application any;
        }
        then {
            permit;
        }
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set security flow tcp-mss ipsec-vpn mss 1350

Procedimiento paso a paso

Para configurar TCP-MSS para el radio Westford:

1. Configure la información de TCP-MSS.

   content_copy zoom_out_map

   [edit]
   user@spoke# set security flow tcp-mss ipsec-vpn mss 1350
   

Resultados

Desde el modo de configuración, confírmela con el comando show security flow. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración en este ejemplo para corregirla.

[edit]
user@spoke# show security flow
tcp-mss {
    ipsec-vpn {
        mss 1350;
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Configuración rápida de CLI

En este ejemplo se utiliza un dispositivo de la serie SSG para el radio Sunnyvale. Como referencia, se proporciona la configuración del dispositivo serie SSG. Para obtener información acerca de la configuración de dispositivos de la serie SSG, consulte el , que se encuentra en https://www.juniper.net/documentationConcepts and Examples ScreenOS Reference Guide.

Para configurar rápidamente esta sección del ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

set zone name "VPN"
set interface ethernet0/6 zone "Trust"
set interface "tunnel.1" zone "VPN"
set interface ethernet0/6 ip 192.168.168.1/24
set interface ethernet0/6 route
set interface ethernet0/0 ip 10.2.2.2/30
set interface ethernet0/0 route
set interface tunnel.1 ip 10.11.11.11/24
set flow tcp-mss 1350
set address "Trust" "sunnyvale-net" 192.168.168.0 255.255.255.0
set address "VPN" "corp-net" 10.10.10.0 255.255.255.0
set address "VPN" "westford-net" 192.168.178.0 255.255.255.0
set ike gateway "corp-ike" address 10.1.1.2 Main outgoing-interface ethernet0/0 preshare "395psksecr3t" sec-level standard
set vpn corp-vpn monitor optimized rekey 
set vpn "corp-vpn" bind interface tunnel.1 
set vpn "corp-vpn" gateway "corp-ike" replay tunnel idletime 0 sec-level standard
set policy id 1 from "Trust" to "Untrust" "ANY" "ANY" "ANY" nat src permit
set policy id 2 from "Trust" to "VPN" "sunnyvale-net" "corp-net" "ANY" permit
set policy id 2
exit
set dst-address "westford-net"
exit
set policy id 3 from "VPN" to "Trust" "corp-net" "sunnyvale-net" "ANY" permit
set policy id 3
set src-address "westford-net"
exit
set route 10.10.10.0/24 interface tunnel.1
set route 192.168.178.0/24 interface tunnel.1
set route 0.0.0.0/0 interface ethernet0/0 gateway 10.2.2.1

Propósito

Verifique el estado de la fase 1 de IKE.

Acción

Antes de iniciar el proceso de verificación, debe enviar tráfico desde un host en la red 192.168.10/24 a un host en las redes 192.168.168/24 y 192.168.178/24 para activar los túneles. En el caso de las VPN basadas en rutas, puede enviar tráfico iniciado desde el firewall de la serie SRX a través del túnel. Se recomienda que, al probar los túneles IPsec, envíe el tráfico de prueba desde un dispositivo independiente en un extremo de la VPN a un segundo dispositivo al otro lado de la VPN. Por ejemplo, inicie un ping de 192.168.10.10 a 192.168.168.10.

Desde el modo operativo, ingrese el comando show security ike security-associations. Después de obtener un número de índice desde el comando, utilice el comando show security ike security-associations index index_number detail.

user@hub> show security ike security-associations
Index   Remote Address  State  Initiator cookie  Responder cookie  Mode
6       10.3.3.2         UP     94906ae2263bbd8e  1c35e4c3fc54d6d3  Main
7       10.2.2.2         UP     7e7a1c0367dfe73c  f284221c656a5fbc  Main

user@hub> show security ike security-associations index 6 detail
IKE peer 10.3.3.2, Index 6,
  Role: Responder, State: UP
  Initiator cookie: 94906ae2263bbd8e,, Responder cookie: 1c35e4c3fc54d6d3
  Exchange type: Main, Authentication method: Pre-shared-keys
  Local: 10.1.1.2:500, Remote: 10.3.3.2:500
  Lifetime: Expires in 3571 seconds
  Algorithms:
   Authentication        : sha1
   Encryption            : aes-cbc (128 bits)
   Pseudo random function: hmac-sha1
  Traffic statistics:
   Input bytes    :                1128
   Output bytes   :                 988
   Input packets  :                   6
   Output packets :                   5
  Flags: Caller notification sent
  IPSec security associations: 1 created, 0 deleted
  Phase 2 negotiations in progress: 1
    Negotiation type: Quick mode, Role: Responder, Message ID: 1350777248
    Local: 10.1.1.2:500, Remote: 10.3.3.2:500
    Local identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
    Remote identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
    Flags: Caller notification sent, Waiting for done

Significado

El show security ike security-associations comando enumera todas las SA de fase 1 de IKE activas. Si no hay ninguna SA en la lista, hubo un problema con el establecimiento de la fase 1. Compruebe los parámetros de política de ICR y la configuración de interfaz externa en su configuración.

Si las SA aparecen en la lista, revise la siguiente información:

• Índice: este valor es único para cada SA de IKE, que puede utilizar en el show security ike security-associations index detail comando para obtener más información acerca de la SA.

• Dirección remota: compruebe que la dirección IP remota sea correcta.

• Estado

  • UP: se estableció la SA de fase 1.

  • DOWN: hubo un problema al establecer la SA de fase 1.

• Modo: verifica que se esté utilizando el modo correcto.

Compruebe que la siguiente información es correcta en su configuración:

• Interfaces externas (la interfaz debe ser la que recibe los paquetes de ICR)

• Parámetros de política de ICR

• Información de claves precompartidas

• Parámetros de propuesta de fase 1 (deben coincidir en ambos pares)

El comando show security ike security-associations index 1 detail enumera información adicional acerca de la asociación de seguridad con el número de índice 1:

• Algoritmos de autenticación y cifrado utilizados

• Duración de la fase 1

• Estadísticas de tráfico (puede utilizarse para verificar que el tráfico fluye correctamente en ambas direcciones)

• Información de la función del iniciador y del respondedor

  La solución de problemas se realiza de mejor manera en el mismo nivel que usa la función de respondedor.

• Cantidad de SA de IPsec creadas

• Número de negociaciones de la Fase 2 en curso

Propósito

Compruebe el estado de fase 2 de IPsec.

Acción

Desde el modo operativo, ingrese el comando show security ipsec security-associations. Después de obtener un número de índice desde el comando, utilice el comando show security ipsec security-associations index index_number detail.

user@hub> show security ipsec security-associations
  total configured sa: 4
  ID    Gateway          Port  Algorithm          SPI      Life:sec/kb  Mon vsys
  <16384 10.2.2.2         500   ESP:aes-128/sha1   b2fc36f8 3364/ unlim   -   0
  >16384 10.2.2.2         500   ESP:aes-128/sha1   5d73929e 3364/ unlim   -   0
  ID    Gateway          Port  Algorithm          SPI      Life:sec/kb  Mon vsys
  <16385 10.3.3.2         500   ESP:3des/sha1      70f789c6 28756/unlim   -   0
  >16385 10.3.3.2         500   ESP:3des/sha1      80f4126d 28756/unlim   -   0

user@hub> show security ipsec security-associations index 16385 detail
  Virtual-system: Root
  Local Gateway: 10.1.1.2, Remote Gateway: 10.3.3.2
  Local Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/24)
  Remote Identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0)
    DF-bit: clear
    Direction: inbound, SPI: 1895270854, AUX-SPI: 0
    Hard lifetime: Expires in 28729 seconds
    Lifesize Remaining: Unlimited
    Soft lifetime: Expires in 28136 seconds
    Mode: tunnel, Type: dynamic, State: installed, VPN Monitoring: -
    Protocol: ESP, Authentication: hmac-sha1-96, Encryption: aes-cbc (128 bits)    
    Anti-replay service: enabled, Replay window size: 32

    Direction: outbound, SPI: 2163479149, AUX-SPI: 0
    Hard lifetime: Expires in 28729 seconds
    Lifesize Remaining: Unlimited
    Soft lifetime: Expires in 28136 seconds
    Mode: tunnel, Type: dynamic, State: installed, VPN Monitoring: -
    Protocol: ESP, Authentication: hmac-sha1-96, Encryption: aes-cbc (128 bits)    
    Anti-replay service: enabled, Replay window size: 32

Significado

El resultado del comando show security ipsec security-associations muestra la siguiente información:

• El número de identificación es 16385. Utilice este valor con el comando show security ipsec security-associations index para obtener más información acerca de esta SA en particular.

• Existe un par SA IPsec que usa el puerto 500, lo que indica que no se implementó ningún recorrido TDR. (El recorrido TDR utiliza el puerto 4500 u otro puerto aleatorio de número alto.)

• El SPI, la vida útil (en segundos) y los límites de uso (o tamaño de vida útil en KB) se muestran para ambas direcciones. El valor 28756/ unlim indica que la duración de la fase 2 expira en 28756 segundos y que no se especificó ningún tamaño de vida útil, lo que indica que es ilimitada. La duración de la fase 2 puede diferir de la duración de la fase 1, ya que la fase 2 no depende de la fase 1 después de que la VPN esté activa.

• La supervisión de VPN no está habilitada para esta SA, como lo indica un guión en la columna Mon. Si está habilitada la supervisión de VPN, U indica que la supervisión está activa y D indica que la supervisión está inactiva.

• El sistema virtual (vsys) es el sistema raíz y siempre enumera 0.

El resultado del comando show security ipsec security-associations index 16385 detail muestra la siguiente información:

• La identidad local y la identidad remota constituyen el ID de proxy para la SA.

  Una discrepancia de ID de proxy es una de las causas más comunes de un error de fase 2. Si no aparece ninguna SA de IPsec, confirme que las propuestas de fase 2, incluida la configuración del ID de proxy, son correctas para ambos pares. Para VPN basadas en rutas, el ID de proxy predeterminado es local=0.0.0.0/0, remote=0.0.0.0/0 y service=any. Pueden producirse problemas con varias VPN basadas en rutas desde el mismo IP de par. En este caso, debe especificarse un ID de proxy único para cada SA de IPsec. Para algunos proveedores de terceros, el ID de proxy se debe especificar manualmente para que coincida.

• Otra razón común para la falla de fase 2 es no especificar el enlace de la interfaz ST. Si IPsec no puede completarse, compruebe el registro de kmd o establezca opciones de rastreo.

Propósito

Una vez completada la fase 2 para todos los pares, compruebe los enlaces de túnel del salto siguiente.

Acción

Desde el modo operativo, ingrese el comando show security ipsec next-hop-tunnels.

user@hub> show security ipsec next-hop-tunnels
Next-hop gateway  interface    IPSec VPN name                Flag
10.11.11.11       st0.0        sunnyvale-vpn                 Static
10.11.11.12       st0.0        westford-vpn                  Auto

Significado

Las puertas de enlace del próximo salto son las direcciones IP de las interfaces st0 de todos los pares radiales remotos. El siguiente salto debe estar asociado con el nombre correcto de VPN IPsec. Si no existe ninguna entrada NHTB, no hay forma de que el dispositivo concentrador diferencie qué VPN IPsec está asociada con qué próximo salto.

El campo Indicador tiene uno de los siguientes valores:

• Estático: NHTB se configuró manualmente en las configuraciones de interfaz st0.0, lo cual es necesario si el par no es un firewall de la serie SRX.

• Automático: NHTB no se configuró, pero la entrada se rellenó automáticamente en la tabla NHTB durante las negociaciones de fase 2 entre dos firewalls de la serie SRX

No hay ninguna tabla NHTB para ninguno de los sitios radiales en este ejemplo. Desde la perspectiva radial, la interfaz st0 sigue siendo un vínculo punto a punto con un solo enlace VPN IPsec.

Propósito

Verifique que la ruta estática haga referencia a la dirección IP st0 del par radial.

Acción

Desde el modo operativo, ingrese el comando show route.

user@hub> show route 192.168.168.10
inet.0: 9 destinations, 9 routes (9 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both

192.168.168.0/24   *[Static/5] 00:08:33
                    > to 10.11.11.11 via st0.0

user@hub> show route 192.168.178.10
inet.0: 9 destinations, 9 routes (9 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both

192.168.178.0/24   *[Static/5] 00:04:04
                    > to 10.11.11.12 via st0.0

El siguiente salto es la dirección IP st0 del par remoto, y ambas rutas apuntan a st0.0 como interfaz de salida.

Propósito

Revise errores y contadores de encabezados de autenticación y ESP para una asociación de seguridad IPsec.

Acción

Desde el modo operativo, ingrese el comando show security ipsec statistics index.

user@hub> show security ipsec statistics index 16385
ESP Statistics:
  Encrypted bytes:              920
  Decrypted bytes:             6208
  Encrypted packets:              5
  Decrypted packets:             87
AH Statistics:
  Input bytes:                    0
  Output bytes:                   0
  Input packets:                  0
  Output packets:                 0
Errors:
  AH authentication failures: 0, Replay errors: 0
  ESP authentication failures: 0, ESP decryption failures: 0
  Bad headers: 0, Bad trailers: 0

También puede utilizar el comando show security ipsec statistics para revisar las estadísticas y los errores de todas las SA.

Para borrar todas las estadísticas de IPsec, utilice el comando clear security ipsec statistics.

Significado

Si ve problemas de pérdida de paquetes en una VPN, puede ejecutar los comandos show security ipsec statistics o show security ipsec statistics detail varias veces para confirmar que los contadores de paquetes cifrados y descifrados se incrementan. También debe comprobar si el resto de los contadores de errores se incrementan.

Propósito

Compruebe el flujo de tráfico a través de la VPN.

Acción

Puede utilizar el comando del firewall de la serie SRX para probar el ping flujo de tráfico en un equipo host remoto. Asegúrese de especificar la interfaz de origen para que la búsqueda de ruta sea correcta y se haga referencia a las zonas de seguridad adecuadas durante la búsqueda de política.

Desde el modo operativo, ingrese el comando ping.

user@hub> ping 192.168.168.10 interface ge-0/0/0 count 5
PING 192.168.168.10 (192.168.168.10): 56 data bytes
64 bytes from 192.168.168.10: icmp_seq=0 ttl=127 time=8.287 ms
64 bytes from 192.168.168.10: icmp_seq=1 ttl=127 time=4.119 ms
64 bytes from 192.168.168.10: icmp_seq=2 ttl=127 time=5.399 ms
64 bytes from 192.168.168.10: icmp_seq=3 ttl=127 time=4.361 ms
64 bytes from 192.168.168.10: icmp_seq=4 ttl=127 time=5.137 ms

--- 192.168.168.10 ping statistics ---
5 packets transmitted, 5 packets received, 0% packet loss
round-trip min/avg/max/stddev = 4.119/5.461/8.287/1.490 ms

También puede usar el comando ping desde el dispositivo serie SSG.

user@hub> ping 192.168.10.10 from ethernet0/6
Type escape sequence to abort
Sending 5, 100-byte ICMP Echos to 192.168.10.10, timeout is 1 seconds from ethernet0/6
!!!!!
Success Rate is 100 percent (5/5), round-trip time min/avg/max=4/4/5 ms

ssg-> ping 192.168.178.10 from ethernet0/6 
Type escape sequence to abort
Sending 5, 100-byte ICMP Echos to 192.168.178.10, timeout is 1 seconds from
ethernet0/6
!!!!!
Success Rate is 100 percent (5/5), round-trip time min/avg/max=8/8/10 ms

Significado

Si el comando ping no funciona desde el dispositivo serie SRX o SSG, es posible que exista un problema con el enrutamiento, las políticas de seguridad, l host final o el cifrado y descifrado de los paquetes ESP.