Check Point VSX VPN: skakelseleksie of 'n eweknie-wanpassing?

Twee verskillende veranderinge veroorsaak dieselfde simptoom wanneer 'n Check Point-tunnel tussen twee persele nie meer opkom nie: die eweknie sien 'n ander buitenste adres, of dit verwerp die IKE-identiteit wat dit nou ontvang. Op 'n opname van een kant lyk albei identies. Om te bepaal watter een jy het, verg drie kontroles, en nie een daarvan is die skakelseleksie-paneel nie.

Kry jy die volgorde verkeerd, dan stel jy bronkeuse in om 'n identiteitswanpassing reg te maak. So word dieselfde tonnel twee keer reggemaak en breek dit weer ná die volgende roeteverandering.

Drie toestande wat die twee gevalle skei

Toestand een: stem die eweknie se gekonfigureerde eindpunt ooreen met die adres wat werklik aankom? As pakkette by die afgeleë gateway aankom vanaf 'n adres wat dit nie met jou eweknie-objek verbind nie, misluk die onderhandeling voordat enige identiteit uitgeruil word. Toestand twee: stem die IKE-identiteit in die voorstel ooreen met die waarde wat die eweknie verwag? Dit is verifikasie, nie vervoer nie. Toestand drie: word die opsie wat jy wil verander ondersteun vir hierdie virtuele stelsel op hierdie uitgawe? 'n Sigbare instelling beantwoord nie een van hierdie vrae nie.

As toestand een misluk, het jy 'n roete- of vertalingsprobleem. As toestand twee misluk, het jy 'n probleem met die eweknie-kontrak. As toestand drie onbekend is, stop met konfigureer.

Bou eers die buitenste-eweknie-rekord

Skryf die virtuele stelsel, die sagteware-uitgawe en die geïnstalleerde opdateringsvlak neer voordat jy enigiets aanraak. Teken dan die eksterne koppelvlakke aan, die roete na die afgeleë eweknie, die verwagte bronadresse voor en ná NAT, en die afgeleë eweknie se gekonfigureerde eindpunt.

Hou die binneste beskermde prefikse in 'n aparte deel van daardie rekord. Om 'n buitenste bron te verander en om 'n beskermde LAN-adres te verander is verskillende bewerkings wat toevallig in dieselfde beleid sit.

Voeg rigting by elke opname wat jy hou. 'n Plaaslik geïnisieerde onderhandeling en 'n antwoord aan die afgeleë eweknie kan anders selekteer, so 'n opname sonder etiket is swak bewyse. Merk die lêer met die virtuele stelsel en die inisieerder.

Lees wat skakelseleksie werklik skei

Check Point se R81.20-gids vir skakelseleksie skei drie dinge wat mense tot een saamvoeg: hoe die afgeleë eweknie 'n gateway-adres oplos, watter roete die uitgaande verkeer dra, en watter bron-IP gebruik word. Elkeen beantwoord 'n ander vraag. Nie een van hulle verander watter identiteit die eweknie verifieer nie.

Daardie skeiding verduidelik waarom 'n roeteverandering die sigbare buitenste adres kan verander sonder om die IKE-identiteit te raak, en waarom 'n identiteitsverandering 'n tonnel kan breek waarvan die roetering perfek is.

RFC 7296 trek dieselfde lyn vir IKE self: die identifikasie-lading is nie die vervoeradres nie. Verskaffers implementeer daardie splitsing, hulle herdefinieer dit nie.

Besluit met bewyse, nie met die instellingspaneel nie

As die eweknie 'n onbekende of wanypassende identiteit rapporteer, maak die eweknie-objek of die identiteitskonfigurasie reg, nie die bronkeuse nie. As die eweknie niks rapporteer en jou opname wys pakkette wat van 'n onverwagte adres vertrek, maak eers roetering of vertaling reg. As albei reg lyk en die tonnel steeds misluk, neem 'n opname aan die afgeleë kant en vergelyk wat dit ontvang het. Eers wanneer adres en identiteit ooreenstem en die pad steeds verkeerd is, word 'n skakelseleksie-opsie die kandidaat.

Voordat jy daardie opsie op VSX konfigureer, kry die betrokke uitgawe se leiding oor ondersteunde funksies of 'n uitdruklike verklaring van die verskaffer vir die virtuele-stelsel-konteks. 'n Ouer verslag dat 'n funksie onbeskikbaar was, is geskiedenis, nie 'n huidige verbod nie, en 'n instellingspaneel is nie 'n ondersteuningsverklaring nie.

Versoen albei kante en hou die rekord

Sodra jy 'n ondersteunde ontwerp het, hersien eksterne bereikbaarheid, die eweknie-eindpuntkonfigurasie en die identiteitsooreenkoms saam, as een kontrak. Beplan dan aanvaarding vir drie gevalle: die eerste verbinding, 'n verbinding wat deur die afgeleë kant geïnisieer word, en die mislukking wat jy verwag wanneer die pad breek.

Stoor die waargenome buitenste adresse langs die aktiewe virtuele-stelsel-konteks. Die volgende roeteverandering vergelyk dan met 'n gedokumenteerde kontrak eerder as met iemand se herinnering aan die verstekwaarde.