SSG-140 da site2site vpn oluştururken multiple subnet tanımlama.

Eski firmware'lerde bu özellik biraz kısıtlıydı fakat yeni firmware'de

VPNs > AutoKey IKE > Proxy ID kısmından VPN arkasındaki Subnetleri tanımlaman mümkün..

Seyit hocam, hızır gibi yetiştin. Yukarıdaki bölümden sadece bir tane subnet girebiliyorum. Karşı tarafla "Route-based VPN" yaptım. Route-based yapınca ikinci subnet için ikinci bir ipsec tunnel yapmak gerekiyormuş. Bu vpn'i wizard'ı kullanarak yaptım ve tunnel 3 ile bind durumda. İkinci ipsec tunnel'i nasıl yapacağım? 

Wizard'ı kullanıp herşeyi aynı yapıp ikinci subnet'i girip sonladırsam tunnel 4 olarak kurulsa; ikisi beraber çalışırmı???

Resim aşağıda.

Resim

ikinci bir tunnelde açabilirsin fakat açmanın gereği yok.. Route base VPN yapıyorsun..

Network > Routing > Routing Entries

kısmında karşı subnete doğru bir destination route yazabilirsin. Ayrıca destination route'dan sonra Policy tabindan bir adet policy yazman gerekiyor.

 10.30.55.65 /24 tunnel.1

192.168.55.0 /24 tunnel.1

 Aynı tünel içerisine istediğin kadar subnet alıp karşı tarafa route edebilirsin.. 

Seyit bey, aynen yukarıdaki gibi yaptım, erişemiyorum. karşı tarafla görüşüp check edeceğim.

1 adet rule eklemen gerekiyor.. Eklediğin rule'da trafiğin senden çıktığını görüyorsan karşı taraflada görüşebilirsin.

Seyit bey, yukarıda "resim aşağıda"  deyip eklediğim bir resim var. orada "proxy ID" checklenmiş ve karşı taraf ve benim ip'im girilmiş durumda. proxy ID işaretlendiği zaman vpn "roure-based vpn" den "policy-based vpn" 'e dönüşüyormuş doğrumudur? Eğer policy-based'e dönüşüyorsa subnet'i başka türlümü eklemeliyim. Karşı taraf bana bu şekilde dönüş yaptı. haklılık  payı varmıdır. trace aldığımda trafik internete doğru değilde firewall da tıkanıyor yani tunnel'e zorluyor. Karşı taraf ise paket görmediğini söylüyor bende ping' cevap alamıyorum. Diğer subnet'e gidiyorum sorun yok.

İkinci subnet için yukarıda belirttiğiniz gibi tanımları yaptım, hem routing hemde policy bölümü tamam. Eğer bu taraf mantık olarak tamamsa karşı tarafa dönüş yapacağım.

1.Destination route'lara girip, 2. Rule olarak set etmiş isen tunnel ayakta ise trafiği karşıya route edecektir. Destination route yazdığında Proxy-ID yazmana gerek kalmayacak.

resim

Seyit bey, proxy-ID'yı kaldırınca ve sadece ekte görüdüğünüz routingler kaldığında erişim kesiliyor. Zaten bu vpn zor oturmuştu. Proxy-ID'yi işaretleyip subnet'i girince düzelmişti. Bildiğiniz üzere Vpn-wizard dan vpn kurunca ilgili subnet için routing otomatik olarak oluşuyor. Ben şimdi ikinci subnet olarak routing ve policy girdim. Karşı taraf paket'in gelmediğini söyledi. Benim aklıma takılan bir soru var.

Q- proxy-ID'yi işaretleyince vpn "route-based" den "policy-based'' emi dönüyor. Böyle birşey varmı? Eğer böyle birşey yoksa benim yaptığım tanımlar akla yatkın. Sorun karşı tarafta demektir. 

Zaten karşı tarafın network'ü biraz karışık, sorun orda olabilir. Karşı tarafa şunu söylemek istiyorum. Proxy-ID'yi seçince policy-based olmuyor, bu şekilde çalışması lazım demek istiyorum. Eğer policy-based'e dönüyorsa o zaman nerden girerim diye düşünüyorum ama aklıma "route destination" ve "policy" den başka yer gelmiyor.

Yardımlarınız için şimdiden çok teşekkürler.

Multiple subnet için screen OS'u 6.3'e upgrade etmem gerekiyor. Benim sürüm 5.4.

http://kb.juniper.net/InfoCenter/index?page=content&id=KB16008&actp=RSS

Tersten gösterip multiple proxy-ID girebilirmiyim acaba? Bir yöntemi varmıdır.

firmware'i upgrade etmen gerekecek..

Seyit bey, juniper'i bir ara version atarak en son versiyon'a upgrade ettik. 5.4.0rx den 5.4.0r15'e daha sonra 6.3.0.r10'a upgrade ettik.

Yine multiple network için vpn kuramadık.