【原创分享】ipsec vpn组网排错之路
  

哒哒哒 3806

{{ttag.title}}

>>【原创分享计划2】分享技术经验,赚上千元稿酬!

消失了小半年,本月回归,回归第三贴,没有什么拿的出手的,分享下最近一直在跟的一个VPN组网项目,基础配置忽略掉,只是分享排错思路,如有错误或者忽略掉的,请大佬们指正。


先上最终拓扑(保护隐私,地址都匿掉了)






NO1:求解:分支1和总部的服务器无法互访:求解:
【处理过程】
1、分支测试电脑192.168.70.1,总部测试server 172.16.20.7;

2、总部的AF上路由写错r,如下图,重新修改回包路由,目的地址是172网段,下一跳指向直连的核心交换机;


3、重新写了路由,AF到服务器依旧不通,检查下面两个交换机的配置,怀疑为内网路由哪里不通的问题,继续分析各个设备的路由表并且做测试;

4、在AF上看到有一个vlan子接口,子接口地址为172.16.20.X,下一跳为172.16.20.254,为AF的直连路由,这样分支过来的数据包,到达AF之后,直接匹配这个子接口的直连路由,但是此接口未接线导致找不到下一跳而丢弃。

5.删除此vlan接口路由即可,分支正常访问总部


【结论】
1、AF上回包路由的下一条写错
2、AF上启用了VLAN子接口,在设备上产生了直连路由,直连路由优先级最高,导致数据过来找不到下一跳而丢弃。
3、经过了解,此配置为之前配置未删除



NO2:求解: 分支1实现双网隔离:求解:

【客户需求】MIG下面两个网段,分别为192.168.68.0和10.10.68.0,其中192.168.68.0只能访问总部的业务网段,无需上网,10.10.68.0只能通过MIG上互联网,无需通过VPN访问总部的业务。

【配置过程】
分支1局部拓扑
772625d54f308f2c84.png
配置步骤
1、分支MIG配置LAN(只允许访问VPN)和DMZ(只允许访问外网)接口地址
710555d54f3c532f44.png
为什么使用DMZ作为LAN2?
MIG设备上的两个物理LAN口实际上互相为二层逻辑接口,两个lan口不能实现三层隔离,所以启用DMZ作为第二个lan口。

2、配置LAN口和DMZ口的DHCP,在选择接口那个地方切换一下即可到DMZ口的设置
679225d54f458a1e83.png
3、配置默认路由
797505d54f48f63258.png
4、配置代理上网(只配置DMZ口也就是10.10.68.0)网段的代理上网。
667555d5a1e6a2e560.png
5、配置某公司 VPN的连接管理
217885d5a1e9a3e387.png
【测试效果】
VPN连接状态正常
895035d54f5d0eec54.png
Vpn用户(192段)正常访问总部的内网,无法访问互联网(未截图)
上网用户(10断)正常访问互联网,无法访问VPN(未截图)
至此,分支1功能都已实现



NO3:求解:分支2配置之后VPN数据不通:求解:


配置略(配置方法跟分支1一样,功能需求也一样)
【排错步骤】
1、首先再AF上抓包查看,分支2的数据还没有到总部的AF上,怀疑分支2本身有问题(忘记截图)
2、查看MIG上的配置,从配置上暂时没看出什么问题
3、思考。。。。。。懵逼。。。。。。放空。。。。。。
4、。。。。。。
5、继续。。。。。。
6、脑子突然清醒,这个分支貌似配置的时候VPN数据走的是DMZ口,需要修改两个地方
防火墙过滤规则(默认VPN-DMZ未放通)
708845d54f84c4274c.png
VPN内网口(默认内网口是LAN口),改成DMZ口
714195d54f86b6d66d.png

这个时候再到总部防火墙上看下,通了(激动。。。。。。)
375875d54f8a85c34a.png



NO4:求解:两个分支互相访问:求解:
这个就比较简单了,直接两个分支的MIG设备写隧道间路由即可。分支1配置
13405d5a20072cce0.png
分支2配置
136825d5a202152f5e.png
至此,所有功能故障全部排除以及解决,在中间,还有其他一些小问题,比如地址冲突,比如内网路由指向不对等。

重点已经标红处理







打赏鼓励作者,期待更多好文!

打赏
1人已打赏

琉影 发表于 2019-8-15 14:32
  
师傅  我来学习了
谁演青梅师傅 发表于 2019-8-15 14:33
  
小姐姐厉害啊
Sangfor_闪电回_朱丽 发表于 2019-8-16 09:37
  
终于等到你~~~
社区小伙伴们有福了,小姐姐会让大家的技能更上一层楼~~~

期待更多的优秀分享,感谢!
carl 发表于 2019-8-16 09:39
  
哇,小姐姐哦!
关注先!

这些排错经验也很有用,学习了,点赞!
sangfor_闪电回_小六 发表于 2019-8-19 11:26
  
您好,感谢您参与社区原创分享计划2,您的文章已被收录到计划中,分享激励将在专家小组评审结束后进行派发,再次感谢!
青青子兮 发表于 2019-8-19 16:23
  
感谢分享
秋水伊人 发表于 2019-8-21 11:39
  
感谢分享,学习了
蓝海 发表于 2019-8-21 11:39
  
感谢分享,学习了
Sangfor_29822 发表于 2019-8-22 12:51
  
感谢楼主分享。文章写的很优秀,楼主对某公司 VPN组网的配置及排错理解的比较透彻,排错思路也比较清晰。某公司 VPN组网业务不通的问题一般先检查配置问题,再检查路由问题,一般来说把配置和路由梳理清楚问题就解决了。
发表新帖
热门标签
全部标签>
每日一问
技术盲盒
技术笔记
每周精选
干货满满
技术咨询
信服课堂视频
秒懂零信任
自助服务平台操作指引
新版本体验
标准化排查
产品连连看
安装部署配置
GIF动图学习
功能体验
玩转零信任
2023技术争霸赛专题
安全攻防
每日一记
深信服技术支持平台
天逸直播
技术晨报
华北区交付直播
社区帮助指南
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
答题榜单公布
纪元平台
通用技术
卧龙计划
华北区拉练
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV

本版达人

adds

本周建议达人

无极剑圣

本周分享达人

新手25642...

本周提问达人