Juniper SRX: Site-to-Site IPSec VPN с использованием pre-shared-key

[@amarao]

А какой командой можно отключить бэкдор NSA в оборудовании juniper?

[@begizardov]

Он отключается только аппаратно, выдергиванием всех кабелей (в том числе питания) и помещением железки в сейф

[@amarao]

Нет, можно использовать host-to-host security с использованием программных решений. В этом случае бэкдор в juniper оказывается если не выключен, то значительно ослаблен.

Так что тезис простой: чувствительная информация не должна покидать хост незашифрованной.

[@Turbid]

а что скажите про сопряжение openswan и srx?

[@begizardov]

На выходных попробую поднять, но не обещаю. С OpenSWAN дела раньше не имел.

[@eurypterid]

я сопрягал, в целом работает. Есть проблемы с гранулярностью SA — требуется явно указать proxy-id для каждого соедиенния со стороны SRX. Поддержка нескольких proxy-id для одного соединения появилась в JunOS буквально пару месяцев назад, фича еще сырая, и все равно с динамическим роутингом все будет непросто. Пока что если за SRX находится несколько неагрегируемых сетей — лучше по старинке делать gre-over-ipsec.