Check Point VSX VPN: Link Selection, yoxsa peer uyğunsuzluğu?

Check Point saytlararası tunel qalxmağı dayandırdıqda iki fərqli dəyişiklik eyni simptomu verir: peer fərqli xarici ünvan görür, ya da indi aldığı IKE kimliyini rədd edir. Bir tərəfdən götürülmüş ələ keçirmədə hər ikisi eyni görünür. Hansının olduğunu müəyyən etmək üçün üç yoxlama lazımdır və bunlardan heç biri Link Selection paneli deyil.

Sıranı səhv salsanız, kimlik uyğunsuzluğunu düzəltmək üçün mənbə seçimini tənzimləyirsiniz. Eyni tunel belə iki dəfə düzəldilir və növbəti marşrut dəyişikliyindən sonra yenidən pozulur.

İki halı ayıran üç şərt

Birinci şərt: peer-in konfiqurasiya edilmiş son nöqtəsi həqiqətən gələn ünvanla üst-üstə düşürmü? Paketlər uzaq şlüzə sizin peer obyektinizlə əlaqələndirmədiyi ünvandan çatırsa, danışıqlar hər hansı kimlik mübadiləsindən əvvəl uğursuz olur. İkinci şərt: təklifdəki IKE kimliyi peer-in gözlədiyi dəyərlə üst-üstə düşürmü? Bu autentifikasiyadır, nəqliyyat deyil. Üçüncü şərt: dəyişmək istədiyiniz seçim bu buraxılışda bu virtual sistem üçün dəstəklənirmi? Görünən heç bir parametr bu sualların heç birinə cavab vermir.

Birinci şərt pozulursa, marşrut və ya tərcümə probleminiz var. İkinci şərt pozulursa, peer müqaviləsi ilə bağlı probleminiz var. Üçüncü şərt bilinmirsə, konfiqurasiyanı dayandırın.

Əvvəlcə xarici peer qeydini qurun

Bir şeyə toxunmadan əvvəl virtual sistemi, proqram buraxılışını və quraşdırılmış yeniləmə səviyyəsini yazın. Sonra xarici interfeysləri, uzaq peerə doğru marşrutu, NAT-dan əvvəl və sonra gözlənilən mənbə ünvanlarını və uzaq peer-in konfiqurasiya edilmiş son nöqtəsini qeyd edin.

Daxili qorunan prefiksləri həmin qeydin ayrı hissəsində saxlayın. Xarici mənbəni dəyişmək və qorunan LAN ünvanını dəyişmək eyni siyasətdə təsadüfən bir yerdə duran fərqli əməliyyatlardır.

Saxladığınız hər ələ keçirməyə istiqamət əlavə edin. Yerli başladılan danışıqlar və uzaq peerə cavab fərqli seçim edə bilər, ona görə etiketlənməmiş ələ keçirmə zəif sübutdur. Faylı virtual sistem və təşəbbüskarla işarələyin.

Link Selection-ın həqiqətən nəyi ayırdığını oxuyun

Check Point-in R81.20 Link Selection təlimatı insanların bir yerə yığdığı üç şeyi ayırır: uzaq peer şlüz ünvanını necə həll edir, çıxan trafiki hansı marşrut daşıyır və hansı mənbə IP istifadə olunur. Hər biri başqa suala cavab verir. Onların heç biri peer-in autentifikasiya etdiyi kimliyi dəyişmir.

Bu ayrım marşrut dəyişikliyinin IKE kimliyinə toxunmadan görünən xarici ünvanı niyə dəyişə bildiyini və kimlik dəyişikliyinin marşrutlaşdırması qüsursuz olan tuneli niyə poza bildiyini izah edir.

RFC 7296 IKE-in özü üçün eyni xətti çəkir: identifikasiya yükü nəqliyyat ünvanı deyil. İstehsalçılar bu bölgünü tətbiq edir, onu yenidən təyin etmirlər.

Qərari sübutla verin, ayarlar paneli ilə yox

Peer naməlum və ya uyğun olmayan kimlik bildirirsə, mənbə seçimini deyil, peer obyektini və ya kimlik konfiqurasiyasını düzəldin. Peer heç nə bildirmirsə və ələ keçirməniz paketlərin gözlənilməz ünvandan çıxdığını göstərirsə, əvvəlcə marşrutlaşdırmanı və ya tərcüməni düzəldin. Hər ikisi düzgün görünür və tunel yenə də qalxmırsa, uzaq tərəfdə ələ keçirmə götürün və onun nə aldığını müqayisə edin. Yalnız ünvan və kimlik uyğun gəldikdə və yol yenə də səhv olduqda Link Selection seçimi namizədə çevrilir.

Bu seçimi VSX-də konfiqurasiya etməzdən əvvəl uyğun buraxılışın dəstəklənən funksiyalar üzrə təlimatını və ya virtual sistem konteksti üçün istehsalçının açıq bəyanatını əldə edin. Funksiyanın əvvəllər mövcud olmadığına dair köhnə hesabat tarixdir, hazırkı qadağa deyil, və ayarlar paneli dəstək bəyanatı deyil.

Hər iki tərəfi uzlaşdırın və qeydi saxlayın

Dəstəklənən dizayn əldə etdikdən sonra xarici əlçatanlığı, peer son nöqtəsinin konfiqurasiyasını və kimlik razılaşmasını birlikdə, vahid müqavilə kimi nəzərdən keçirin. Sonra üç hal üçün qəbulu planlaşdırın: ilkin bağlantı, uzaq tərəfin başlatdığı bağlantı və yol qırıldıqda gözlədiyiniz nasazlıq.

Müşahidə olunan xarici ünvanları aktiv virtual sistem kontekstinin yanında saxlayın. Bundan sonra növbəti marşrut dəyişikliyi kiminsə defolt barədə yaddaşı ilə deyil, sənədləşdirilmiş müqavilə ilə müqayisə edilir.