Supervisión del tráfico VPN

Descripción de la detección de pares inactivos

La detección de pares inactivos (DPD) es un protocolo basado en estándares que utiliza el tráfico de red para detectar la vida de un par IKE en una conexión IPsec. Durante la creación del túnel IPsec, los pares de VPN negocian para decidir si usar el método DPD o no. Si los pares aceptan usar el protocolo DPD, el firewall comprueba activamente la vida del par. Cuando no hay tráfico activo, el firewall envía mensajes periódicos al par y espera una respuesta. Si el par no responde a los mensajes, el firewall asume que el par ya no está disponible. El comportamiento del protocolo DPD es el mismo para los protocolos IKEv1 e IKEv2. Los temporizadores DPD se activan tan pronto como el firewall establece la asociación de seguridad (SA) de fase 1 de IKE. Los firewalls de la serie SRX utilizan el protocolo DPD para detectar la vida del mismo nivel en una conexión VPN IPsec.

Figura 1: Intercambio de mensajes en protocolo DPD

Figura 1 muestra el intercambio de mensajes DPD entre los pares IKE en un túnel VPN IPsec. Los siguientes eventos se producen cuando el dispositivo realiza DPD:

1. SRX-A espera hasta el intervalo DPD especificado para comprobar si ha recibido algún tráfico del par, SRX-B.

2. Si SRX-A no recibe ningún tráfico de SRX-B durante el intervalo de DPD especificado, envía una carga de notificación de fase 1 de IKE cifrada (un mensaje R-U-THERE) a SRX-B.

3. SRX-A espera el acuse de recibo del DPD, un mensaje R-U-THERE-ACK, de SRX-B.

   1. Si SRX-A recibe un mensaje R-U-THERE-ACK de SRX-B durante este intervalo, considera que el par está vivo. A continuación, SRX-A restablece su contador de mensajes R-U-THERE para ese túnel e inicia un nuevo intervalo.

   2. Si SRX-A no recibe un mensaje R-U-THERE-ACK durante el intervalo, considera que el par, SRX-B, está inactivo. A continuación, SRX-A elimina la SA de fase 1 y todas las SA de fase 2 para ese par.

Veamos qué parámetros DPD necesitará configurar:

• Modo: en función de la actividad del tráfico, puede configurar DPD en uno de los siguientes modos:

  • Optimizado: en el modo optimizado , cuando el dispositivo iniciador envía paquetes salientes al par, si no hay tráfico IKE o IPsec entrante del par dentro del intervalo configurado, el dispositivo iniciador activa mensajes R-U-THERE. DPD funciona en este modo predeterminado a menos que especifique un modo a través de la configuración.

  • Túnel inactivo de sondeo: en el modo de túnel inactivo de sondeo , el dispositivo activa mensajes R-U-THERE si no hay tráfico IKE o IPsec entrante o saliente dentro de un intervalo configurado. El dispositivo envía mensajes R-U-THERE periódicamente al par hasta que haya actividad de tráfico. Este modo ayuda en la detección temprana de un par que está inactivo, lo que garantiza la disponibilidad del túnel durante el flujo de tráfico activo.



    Nota:

    Si ha configurado varios selectores de tráfico para una VPN, puede establecer varios túneles para la misma SA de IKE. En este escenario, cuando se configura el modo de túnel inactivo de sondeo, se activan mensajes R-U-THERE si un túnel queda inactivo, independientemente del tráfico de otro túnel para la misma SA de IKE.

  • Siempre enviar: en el modo de envío continuo , el dispositivo envía mensajes R-U-THERE en un intervalo configurado, independientemente de la actividad de tráfico entre los pares. Le recomendamos que prefiera utilizar el modo de túnel inactivo de sondeo en lugar del modo de envío continuo.

• Intervalo: utilice el parámetro interval para especificar la cantidad de tiempo (en segundos) que el dispositivo espera el tráfico de su par antes de enviar un mensaje R-U-THERE. El intervalo predeterminado es de 10 segundos. A partir de Junos OS versión 15.1X49-D130, hemos reducido el intervalo de parámetros de intervalo permitido en el que se envían los mensajes R-U-THERE al dispositivo emparejado de 10 segundos a 60 segundos a 2 segundos a 60 segundos. Se recomienda establecer el parámetro de umbral mínimo en 3, cuando el parámetro de intervalo DPD se establece en menos de 10 segundos.

• Umbral: utilice el parámetro threshold para especificar el número máximo de veces que el dispositivo envía el mensaje R-U-THERE sin recibir una respuesta del par, antes de considerar que el par está inactivo. El número predeterminado de transmisiones es cinco, con un rango permitido de 1 a 5 reintentos.

Tenga en cuenta las siguientes consideraciones antes de configurar DPD:

• Después de agregar la configuración de DPD a una puerta de enlace existente con túneles activos, el dispositivo comienza a activar mensajes R-U-THERE sin borrar las SA de fase 1 o fase 2.

• Cuando elimina la configuración de DPD de una puerta de enlace existente con túneles activos, el dispositivo deja de activar mensajes R-U-THERE para los túneles. Pero esto no afecta a las SA de IKE e IPsec.

• Cuando se modifican parámetros de configuración de DPD, como valores de modo, intervalo o umbral, IKE actualiza la operación de DPD sin borrar las SA de fase 1 o fase 2.

• Si configura la puerta de enlace de IKE con supervisión de DPD y VPN sin especificar la opción de establecer túneles inmediatamente, IKE no iniciará la negociación de fase 1. Al configurar DPD, también debe configurar la establish-tunnels immediately opción en el nivel de jerarquía [edit services ipsec-vpn] para desactivar la interfaz st0 cuando no haya ninguna SA de fase 1 y fase 2 disponible. Consulte Establecer túneles inmediatamente.

• Si configura la puerta de enlace de IKE con varias direcciones IP del mismo nivel y DPD, pero no logra establecer la SA de fase 1 con la primera dirección IP del mismo nivel, IKE intenta establecerse con la siguiente dirección IP del mismo nivel. DPD solo se activa después de que IKE establezca SA de fase 1. Consulte dead-peer-detection.

• Si configura una puerta de enlace IKE con varias direcciones IP del mismo nivel y DPD, pero la conexión falla con la dirección IP del par actual, IKE borra las SA de fase 1 y fase 2 y DPD realiza una conmutación por error a la siguiente dirección IP del mismo nivel. Consulte puerta de enlace (IKE de seguridad).

• Puede existir más de una SA de fase 1 o fase 2 con el mismo par debido a negociaciones simultáneas. En este caso, DPD envía mensajes R-U-THERE a todas las SA de fase 1. Si la puerta de enlace no recibe respuestas DPD durante el número configurado de veces consecutivas, borra la SA de fase 1 y la SA de fase 2 asociada (solo para IKEv2).

Si el par IKE está activo, ¿significa que la VPN subyacente está activa?

Descripción de la supervisión de VPN

Cuando se habilita la supervisión de VPN, el dispositivo envía pings a través del túnel VPN a la puerta de enlace del mismo nivel o a un destino especificado en el otro extremo del túnel. El dispositivo envía pings de forma predeterminada a intervalos de 10 segundos durante un máximo de 10 veces consecutivas. Si el dispositivo no recibe ninguna respuesta después de 10 pings consecutivos, considera que la VPN está inactiva y la asociación de seguridad (SA) IPsec se borra.

El monitoreo de DPD y VPN se complementan entre sí. La supervisión de VPN se aplica a una VPN IPsec individual, mientras que DPD se configura en un contexto de puerta de enlace IKE individual.

Puede utilizar los siguientes modos de funcionamiento para supervisar túneles VPN:

• Modo de envío permanente: en este modo, el dispositivo envía un paquete de supervisión VPN una vez en cada intervalo configurado, independientemente del tráfico en el túnel. Después de habilitar la supervisión VPN, Junos OS utiliza el modo de envío permanente como modo predeterminado si no especifica uno.

• Modo optimizado: en este modo, el dispositivo envía un paquete de supervisión VPN una vez cada intervalo configurado solo si hay tráfico saliente y no hay tráfico entrante a través del túnel durante el intervalo. Si hay tráfico entrante a través del túnel VPN, el dispositivo considera que el túnel está activo y no envía pings al par. Puede usar el modo optimizado para ahorrar recursos en el dispositivo, ya que en este modo el dispositivo envía pings solo cuando necesita determinar la vida del par. El envío de pings también puede activar costosos enlaces de copia de seguridad que de otro modo no se utilizarían. El dispositivo funciona en el modo predeterminado de envío permanente si no configura el modo optimizado explícitamente.

Para configurar la supervisión de VPN en los firewalls de la serie SRX:

1. Active la supervisión de VPN para un túnel VPN específico incluyendo la opción en el vpn-monitor nivel de jerarquía [edit security ipsec vpn vpn-name]. Consulte vpn-monitor.

2. Configure el modo de supervisión VPN como optimizado.

3. Especifique la dirección IP de destino. La dirección IP de la puerta de enlace del par es el destino predeterminado; sin embargo, puede especificar una dirección IP de destino diferente (como la de un servidor) que se encuentre al otro extremo del túnel.

4. Especifique la source-interface dirección. El extremo del túnel local es la interfaz de origen predeterminada, pero puede especificar un nombre de interfaz diferente.

5. Configure el intervalo en el que el dispositivo envía los pings y el número de pings consecutivos que envía con las interval opciones y threshold , respectivamente, en el nivel de jerarquía [edit security ipsec vpn-monitor-options]. Si no configura estas opciones, el dispositivo envía pings en el intervalo predeterminado de 10 segundos hasta 10 veces consecutivas. Si no recibe una respuesta, considera que la VPN está inactiva. A continuación, el dispositivo borra la asociación de seguridad IPsec.

Descripción de la comprobación de rutas de datos IPsec

• Descripción general
• Advertencias

Descripción de las características globales de monitoreo de SPI y VPN

Puede supervisar y mantener el funcionamiento eficiente de su VPN mediante las siguientes funciones de VPN global:

• SPI: los pares de una asociación de seguridad (SA) pueden dejar de sincronizarse cuando falla uno de los pares. Por ejemplo, si uno de los pares se reinicia, podría enviar un índice de parámetros de seguridad (SPI) incorrecto. Puede habilitar el dispositivo para que detecte dicho evento y volver a sincronizar los pares configurando la función de respuesta SPI incorrecta.

• Supervisión de VPN: puede utilizar la función de supervisión global de VPN para enviar periódicamente solicitudes del Protocolo de mensajes de control de Internet (ICMP) al par para determinar si es posible comunicarse con él.

Comparación de la supervisión de VPN y DPD

La supervisión de VPN y la detección de pares inactivos (DPD) son funciones disponibles en los firewalls de la serie SRX para verificar la disponibilidad de los dispositivos de par VPN. En esta sección se compara el funcionamiento y la configuración de estas características.

El firewall de la serie SRX responde a los mensajes DPD enviados por pares VPN, incluso si DPD no está configurado en el dispositivo. Puede configurar el firewall de la serie SRX para iniciar mensajes DPD en pares VPN. También puede configurar la supervisión de DPD y VPN para que funcione simultáneamente en el mismo firewall de la serie SRX, aunque se reduce el número de pares que se pueden supervisar con cualquiera de los métodos.

La supervisión de VPN es un mecanismo de Junos OS que supervisa solo las asociaciones de seguridad (SA) de fase 2. La supervisión de VPN se habilita por VPN con la vpn-monitor instrucción en el nivel de jerarquía [edit security ipsec vpn vpn-name]. Se debe especificar la IP de destino y la interfaz de origen. La optimized opción permite que el dispositivo use patrones de tráfico como evidencia de la vivacidad del mismo nivel; Se suprimen las solicitudes ICMP.

Las opciones de supervisión de VPN se configuran con la vpn-monitor-options instrucción en el nivel de jerarquía [edit security ipsec]. Estas opciones se aplican a todas las VPN para las que está habilitada la supervisión de VPN. Las opciones que puede configurar incluyen el intervalo en el que se envían las solicitudes ICMP al par (el valor predeterminado es 10 segundos) y el número de solicitudes ICMP consecutivas enviadas sin recibir una respuesta antes de que el par se considere inalcanzable (el valor predeterminado es 10 solicitudes consecutivas).

DPD es una implementación de RFC 3706, un método basado en el tráfico para detectar pares muertos de intercambio de claves por Internet (IKE). Funciona en el nivel de IKE y supervisa el par en función de la actividad de tráfico de IKE e IPsec.

DPD se configura en una puerta de enlace IKE individual con la dead-peer-detection instrucción en el nivel de jerarquía [edit security ike gateway gateway-name]. Puede configurar los modos de operación DPD. El modo predeterminado (optimizado) envía mensajes DPD al par si no hay tráfico IKE o IPsec entrante dentro de un intervalo configurado después de que el dispositivo local envíe paquetes salientes al par. Otras opciones configurables incluyen el intervalo en el que se envían los mensajes DPD al par (el valor predeterminado es 10 segundos) y el número de mensajes DPD consecutivos enviados sin recibir una respuesta antes de que el par se considere no disponible (el valor predeterminado es cinco solicitudes consecutivas).