【2022争霸赛*干货满满】AF8.0.69与Juniper防火墙做IPSEC VPN多线路对接及问题排查
  

SANGFOR_HZ 44978人觉得有帮助

{{ttag.title}}
AF8.0.69与Juniper防火墙做IPSEC VPN多线路对接及问题排查



一、案例背景
      分支购买了一台下一代防火墙,出口有两条线路分别为联通和电信,防火墙放在互联出口想实现跟总部的Juniper防火墙做IPSEC VPN对接,并且总部也是多线路,要求实现电信线路IPSEC对接为主线路,联通线路IPSEC对接为辅助线路。

二、网络拓扑
    网络拓扑图如下图所示:
1.png

三、配置步骤:
1、VPN多线路配置:
2.png
2、主线路IPSEC配置:
对端地址、认证方式、共享秘钥和对接线路配置如下图所示:
3.png
配置第二阶段出入站策略及加密算法,注意优先级的配置,因为电信线路为主,因为优先级越低优先级越高,所以优先级配置要低于IPSEC备线路第二阶段优先级的配置,具体配置如下:
4.png
其他参数配置如下:
5.png
6.png
7.png

3、备线路配置:
对端地址、认证方式、共享秘钥和对接线路配置如下图所示:
8.png
配置第二阶段出入站策略及加密算法,注意优先级的配置,因为联通线路为备,所以优先级配置要高于IPSEC主线路第二阶段优先级的配置,具体配置如下:
9.png
其他参数配置如下:
10.png
11.png
12.png
4、 Juniper防火墙配置:
       Juniper防火墙配置是有第三方进行配置的,这里就不在详细介绍。只要保证第三方配置跟我们配置参数一致即可。

四、结果及验证测试
1、查看对接成功VPN状态:
13.png
2、把主线路电信线路断开测试
(1)断开电信线路测试,查看VPN状态有IPsec VPN备对接成功工作如下图示所示:
14.png
(2)长ping服务器测试发现丢几个包,如下图所示:
15.png
五、问题分析及排查思路:
问题描述:-------------------------------------------------
1、对接不成功
2、对接成功后无法访问对端

排查分析过程:--------------------------------------------
1、针对对接不成功的问题排查思路:
(1)开VPN的调试日志,查看具体对接不成功的原因,然后再根据错误提示进行修改配置,日志查看如下图所示:
16.png
(2)检查双方配置参数问题以及对端地址端口通信

2、针对对接不成功的问题排查思路:
(1)查看是否有回包路由,由于两个对接设备都是出口网关部署,防火墙到对端服务器路由最终到防火墙上,再查看防火墙路由表是否有对端网段的路由出口口味vpntun:
17.png
(2)有防火墙是多线路做的有策略路由,而AF8.0.69的路由优先级是:【直连路由】>【策略路由】>【VPN路由】>【静态路由/动态路由】>【默认路由】,如下图所示:
18.png
(3)开启直通测试访问正常,发现应用控制策略拦截了
(4)检查区域发现增加了vpntun区域,应用控制策略没放行导致拦截
19.png

根本原因:-------------------------------------------
1、新版本路由优先级问题
2、vpntun区域应用控制策略拦截

解决方案:---------------------------------------------
1、修改路由优先级,选择自定义模式,修改路由优先级,使VPN路由优先级高于策略路由,如下图所示:
20.png
2、新增放通内网区域和vpntun区域互访的应用控制策略:

建议与总结:-----------------------------------------
1、不同版本查看VPN对接日志位置不同,具体如下:
①以标准版本AF8.0.50-8.0.59版本操作路径示例:可在【网络】-【Sangfor/IPSecVPN】-【vpn日志】中查看
②以标准版本AF7.4-8.0.48版本操作路径示例:可在【系统】-【排障】-【系统故障日志】中查看
③以标准版本AF7.3版本操作路径示例:可在【系统维护】-【系统故障日志】中查看
2、从AF8.0.51版本开始,AF路由默认的优先级是:【直连路由】>【策略路由】>【VPN路由】>【静态路由/动态路由】>【默认路由】。新版本防火墙可以自定义修改。
3、第二阶段优先级配置是约小优先级越高。所以主的优先级配置小,备的优先级配置高

打赏鼓励作者,期待更多好文!

打赏
63人已打赏

339015 发表于 2022-10-9 19:39
  
感谢楼主分享,文章记录了一次AF与第三方对接主备ipsec的配置案例,配置步骤、注意事项、才坑总结都很清晰,期待楼主带来更多案例分享
沧海 发表于 2022-10-4 17:35
  
感谢楼主分享,学习一下
新手977456 发表于 2022-10-4 21:43
  
楼主分享的案例很实用,具有典型性,希望有更多这样的干货供我们学习参考,非常感谢!
Mr程 发表于 2022-10-6 10:30
  

步骤详细,思路清晰,感谢楼主分享
一个无趣的人 发表于 2022-10-6 14:42
  
楼主的文章图文并茂,清晰易懂,看完这波操作可以轻松上手了,如遇到问题再向楼主请教~
hnsangfor 发表于 2022-10-6 16:14
  
楼主的文章图文并茂,清晰易懂,看完这波操作可以轻松上手了,如遇到问题再向楼主请教~
平凡的小网工 发表于 2022-10-7 22:02
  
楼主分析的很详细,不错的实战经验,小白用户一看就懂,非常好的技术干货帖,顶一个!
阿Q 发表于 2022-10-8 20:27
  
楼主分享的案例很实用,具有典型性,希望有更多这样的干货供我们学习参考,非常感谢!
新手233872 发表于 2022-10-9 11:40
  

楼主总结的很详细,感谢分享!!!
发表新帖
热门标签
全部标签>
每日一问
技术盲盒
技术笔记
每周精选
干货满满
技术咨询
标准化排查
秒懂零信任
自助服务平台操作指引
信服课堂视频
新版本体验
产品连连看
安装部署配置
功能体验
GIF动图学习
玩转零信任
2023技术争霸赛专题
技术晨报
安全攻防
每日一记
深信服技术支持平台
天逸直播
华北区交付直播
社区帮助指南
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
答题榜单公布
纪元平台
通用技术
卧龙计划
华北区拉练
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV

本版版主

396
135
63

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人