Sophos-tunnel staan op maar dra geen verkeer nie: lisensie of roete?

Om ’n IPsec-vereniging op te stel, die roete in die tabel te sien en steeds uit die tak te time-out, is ’n bekende Sophos Firewall-kombinasie. Op Sophos Firewall het daardie kombinasie minstens twee gewone verklarings: ’n leemte in die aanstuur, of ’n toestand van die Base-lisensie wat die tonnel regop hou terwyl data ophou vloei. Albei lewer byna identiese simptome, so die enigste manier deur is om onafhanklike bewyse vir elkeen te versamel. Albei is algemeen genoeg dat nie een daarvan aanvaar kan word nie.

’n Tonnel kan regop wees sonder data

’n IPsec-vereniging is ’n sekuriteitsverhouding, nie ’n belofte om pakkette aan te stuur nie. Fase 1 en fase 2 kan voltooi terwyl die beleid wat verkeer kies, die roete na die afgeleë prefiks of die datapad self verkeerd is. Die tonnelvertoning beantwoord een vraag en laat die ander oop.

Begin deur te noem watter prefikse moet oorgaan en in watter rigting. ’n Tonnel sonder interessante verkeer lyk op ’n statusblad soos ’n stukkende tonnel.

Wat die Base-lisensie dek

Sophos lys VPN onder die Base-lisensie, apart van Network Protection en Central Orchestration. ’n Vervalle opsionele module is dus sy eie probleem en nie outomaties bewys dat site-to-site IPsec ’n nuwe betaalde bundel nodig het nie. Teken die toestelmodel, vrystelling, registrasie-identiteit en Base Firewall-status aan. Versoen dit dan deur die ondersteunde lisensieproses met die rekeningeienaar se rekords, en hou reeksnommers uit openbare notas.

Die platform verander ook die reël. Wolk-, virtuele en sagteware-toestelle kry ’n Base-lisensie sonder vervaldatum, terwyl ’n hardeware-eenheid se Base-lisensie aan die einde van sy lewensduur verstryk. ’n Opgeskorte registrasie is ’n derde toestand tussen geldig en verval, en dit verdien dieselfde bewyse eerder as ’n raaiskoot.

Bewys die roete voordat jy die lisensie blameer

Bewys die aanstuurpad onafhanklik. Vra die toestel watter roete dit vir die afgeleë prefiks sou gebruik, en bevestig dan dat die sekuriteitsbeleid daardie verkeer kies en dat die antwoordpad aan die ander kant bestaan. ’n Ontbrekende roete na die afgeleë prefiks bly ’n roeteprobleem, maak nie saak hoe gesond die lisensie is nie.

ip route get 10.80.20.10

Die teenoorgestelde rigting saak net so veel soos die heenrigting. ’n Tak wat die hoofkwartier kan bereik maar nie omgekeerd nie, het ’n terugroete- of beleidsleemte, nie ’n fout in die datapad nie. Neem een toegelate vloei in beide rigtings op voordat jy gevolgtrekkings maak.

Hou twee rekords sodat die volgende herstelling eerlik is

Hou twee aparte rekords en dateer hulle. Die eerste dek die reg: wat die lisensieblad gewys het, watter subskripsie gegeld het en wanneer dit gesinchroniseer is. Die tweede dek die aanstuur: prefikse, roetes, sekuriteitsverenigings en rigtingtellers vir een vloei. Wanneer die simptoom ná ’n herstelling verander, wys die rekords watter verklaring werklik korrek was.

ipsec status

Daardie dissipline saak, want ’n lisensieherstel en ’n roeteherstel lyk dieselfde vanaf ’n suksesvolle ping. As albei gelyk verander is, het jy geleer dat die diens werk en niks oor hoekom dit nie gewerk het nie. Verander een ding, meet dieselfde vloei weer, en die gids oor verval maak duidelik wat die reg alleen kan verduidelik.