Check Point VSX VPN: اختيار الرابط أم عدم تطابق النظير؟

تنتج تغييران مختلفان العَرَض نفسه عندما يتوقف نفق موقع-إلى-موقع في Check Point عن الارتفاع: إما أن يرى النظير عنوانًا خارجيًا مختلفًا، أو أن يرفض هوية IKE التي يتلقاها الآن. وفي التقاط مأخوذ من جهة واحدة يبدو الاثنان متطابقين. وتحديد أيّهما لديك يستلزم ثلاث عمليات تحقّق، ولا واحدة منها هي لوحة اختيار الرابط.

إن أخطأت الترتيب فستضبط اختيار المصدر لإصلاح عدم تطابق في الهوية. وهكذا يُصلَح النفق نفسه مرتين وينكسر مرة أخرى بعد تغيير المسار التالي.

ثلاثة شروط تفصل الحالتين

الشرط الأول: هل تطابق نقطة النهاية المهيّأة عند النظير العنوان الذي يصل فعلًا؟ إذا وصلت الحزم إلى البوابة البعيدة من عنوان لا يربطه النظير بكائن النظير الخاص بك، فإن التفاوض يفشل قبل تبادل أي هوية. الشرط الثاني: هل تطابق هوية IKE في المقترح القيمة التي يتوقعها النظير؟ ذلك توثيق، وليس نقلًا. الشرط الثالث: هل الخيار الذي تريد تغييره مدعوم لهذا النظام الظاهري في هذا الإصدار؟ لا إعداد مرئي يجيب عن أي من هذه الأسئلة.

إذا فشل الشرط الأول فلديك مشكلة توجيه أو ترجمة. وإذا فشل الشرط الثاني فلديك مشكلة في عقد النظير. وإذا كان الشرط الثالث مجهولًا فأوقف الإعداد.

ابنِ سجل النظير الخارجي أولًا

دوّن النظام الظاهري وإصدار البرنامج ومستوى التحديث المثبّت قبل أن تمسّ أي شيء. ثم سجّل الواجهات الخارجية، والمسار نحو النظير البعيد، وعناوين المصدر المتوقعة قبل NAT وبعده، ونقطة النهاية المهيّأة عند النظير البعيد.

احتفظ بالبادئات الداخلية المحمية في جزء منفصل من ذلك السجل. فتغيير مصدر خارجي وتغيير عنوان شبكة محلية محمية عمليتان مختلفتان تجتمعان في السياسة نفسها بالمصادفة.

أضف الاتجاه إلى كل التقاط تحتفظ به. فالتفاوض الذي يبدأ محليًا والرد على النظير البعيد قد يختاران اختلافًا، لذا فالتقاط بلا تسمية دليل ضعيف. سمِّ الملف بالنظام الظاهري والمبادر.

اقرأ ما يفصله اختيار الرابط فعلًا

يفصل دليل اختيار الرابط في R81.20 من Check Point ثلاثة أمور يدمجها الناس في واحد: كيف يحل النظير البعيد عنوان البوابة، وأي مسار يحمل حركة المرور الصادرة، وأي عنوان IP مصدر يُستخدم. كل منها يجيب عن سؤال مختلف. ولا واحد منها يغيّر الهوية التي يوثّقها النظير.

يفسّر هذا الفصل لماذا يمكن لتغيير المسار أن يغيّر العنوان الخارجي الظاهر دون المساس بهوية IKE، ولماذا يمكن لتغيير الهوية أن يكسر نفقًا توجيهه سليم تمامًا.

يرسم RFC 7296 الخط الفاصل نفسه بالنسبة إلى IKE: حِمل التعريف ليس عنوان النقل. والمصنّعون ينفّذون هذا الفصل ولا يعيدون تعريفه.

قرّر بالأدلة لا بلوحة الإعدادات

إذا أبلغ النظير عن هوية مجهولة أو غير مطابقة، فأصلح كائن النظير أو إعداد الهوية، لا اختيار المصدر. وإذا لم يبلغ النظير عن شيء وأظهر التقاطك حزمًا تغادر من عنوان غير متوقع، فأصلح التوجيه أو الترجمة أولًا. وإذا بدا الاثنان سليمين وظل النفق فاشلًا، فالتقط على الجهة البعيدة وقارن ما استقبلته. ولا يصبح خيار من خيارات اختيار الرابط مرشحًا إلا عندما يتوافق العنوان والهوية ويبقى المسار خاطئًا.

قبل تهيئة ذلك الخيار على VSX، احصل على إرشادات الميزات المدعومة للإصدار المطابق أو على بيان صريح من المورّد يخص سياق النظام الظاهري. فتقرير أقدم بأن ميزة ما كانت غير متاحة هو تاريخ وليس حظرًا حاليًا، ولوحة الإعدادات ليست بيان دعم.

وفّق بين الطرفين واحتفظ بالسجل

بعد أن يصبح لديك تصميم مدعوم، راجع إمكانية الوصول الخارجي وإعداد نقطة نهاية النظير واتفاق الهوية معًا كعقد واحد. ثم خطّط للقبول في ثلاث حالات: الاتصال الأولي، والاتصال الذي يبدأه الطرف البعيد، والفشل الذي تتوقعه عند انقطاع المسار.

احفظ العناوين الخارجية المرصودة بجوار سياق النظام الظاهري النشط. وبذلك يقارن تغيير المسار التالي بعقد موثّق بدلًا من ذاكرة أحدهم عن الوضع الافتراضي.