Juniper 基于路由的×××

基于路由的×××

1. 概念

a. 不须要Policy去触发×××隧道的创建

b. 须要去创建一个Tunnel接口，专门来传输×××的数据流量

* 一个Tunnel接口能够绑定给多个×××实例

c. 到达私网的×××流量须要使用该Tunnel接口（到达对方私网网段的出接口为Tunnel接口）

d. 基于路由的×××的优点：

1.一直有效

2. 不会受到Policy的影响

3. 能够使用动态路由协议（基于策略的×××将不能使用动态路由协议）

* 到达对方网段的路由条目的出接口必须是Tunnel接口

2. Tunnel接口

a. 绑定Zone

b. 配置IP地址（借用地址）

c. 指定Tunnel接口的Number

特性：

a. 能够给Tunnel接口配置私网地址

b. Tunnel接口的地址不可以和物理接口冲突（在同一个VR下）

c. 能够配置MIP或VIP

d. 两台设备做Route-Based ××× Tunnel接口的地址网段必须属于同一个网段

e. Tunnel接口地址能够借用其余的物理接口IP地址，但不能作MIP/VIP

3. ×××的配置

a. 创建一个Tunnel接口

set interface tunn.1 zone untrust

set interface tunn.1 ip 172.16.1.1/24

或

set interface tunn.1 ip unnumbered interface eth3

b. 创建一个IKE的网关

set ike gateway to-y2 address 1.1.1.2 outgoing-interface eth3 preshare cjclub proposal pre-g2-3des-md5

c. 创建一个×××

set *** y1-y2 gateway to-y2 sec-level standard

将×××网关绑定到Tunnel接口

set *** y1-y2 bind interface tunn.1

d. 配置到达Peer的网段路由

set route 10.1.2.0/24 interface tunn.1

e. 创建Policy

若是Tunnel接口与源接口在同一个Zone，不须要Policy

若是Tunnel接口与源接口在不一样的Zone，必须配置Policy

基于路由的错误点：

a. Tunnel接口和源接口在同一个Zone，不须要策略，

但IntraZone的Block要Off

b. 路由错误

c. 策略不容许