Check Point VSX VPN: выбар спасылкі ці неадпаведнасць партнёра?

Дзве розныя змены даюць аднолькавы сімптом, калі тунель паміж пляцоўкамі Check Point перастае ўздымацца: партнёр бачыць іншы знешні адрас або адхіляе ідэнтычнасць IKE, якую цяпер атрымлівае. На запісе з аднаго боку яны выглядаюць аднолькава. Каб вызначыць, які з двух выпадаў у вас, патрэбныя тры праверкі, і ні адна з іх не звязана з панэллю выбару спасылкі.

Памыліцеся з парадкам — і вы наладжваеце выбар крыніцы, каб выправіць неадпаведнасць ідэнтычнасці. Менавіта так адзін і той жа тунель выпраўляюць двойчы, і ён зноў ламаецца пасля чарговай змены маршруту.

Тры ўмовы, якія раздзяляюць два выпадкі

Умова першая: ці супадае наладжаны канчатковы пункт партнёра з адрасам, які фактычна прыходзіць? Калі пакеты дасягаюць далёкага шлюза з адраса, які ён не звязвае з вашым аб'ектам партнёра, перамовы спыняюцца яшчэ да абмену якой-небудзь ідэнтычнасцю. Умова другая: ці супадае ідэнтычнасць IKE у прапанове з чаканым значэннем партнёра? Гэта аўтэнтыфікацыя, а не транспарт. Умова трэцяя: ці падтрымліваецца патрэбная вам опцыя для гэтай віртуальнай сістэмы ў гэтым выпуску? Бачная налада не адказвае ні на адно з гэтых пытанняў.

Калі першая ўмова не выконваецца, у вас праблема маршрутызацыі або трансляцыі. Калі не выконваецца другая, у вас праблема кантракту з партнёрам. Калі трэцяя невядомая, спыніце наладжванне.

Спачатку складзіце запіс знешняга партнёра

Запішыце віртуальную сістэму, выпуск праграмнага забеспячэння і ўсталяваны ўзровень абнаўлення, перш чым нешта чапаць. Затым зафіксуйце знешнія інтэрфейсы, маршрут да далёкага партнёра, чаканыя адрасы крыніцы да і пасля NAT, а таксама наладжаны канчатковы пункт далёкага партнёра.

Трымайце ўнутраныя абароненыя прэфіксы ў асобнай частцы гэтага запісу. Змена знешняй крыніцы і змена абароненага адрасу LAN — гэта розныя аперацыі, якія проста апынуліся ў адной палітыцы.

Дадавайце кірунак да кожнага запісу, які захоўваеце. Перамовы, пачатыя лакальна, і адказ далёкаму партнёру могуць выбіраць па-рознаму, таму запіс без пазнакі — слабы доказ. Пазначце файл віртуальнай сістэмай і ініцыятарам.

Чытайце, што насамрэч раздзяляе выбар спасылкі

Кіраўніцтва Check Point па выбары спасылкі R81.20 раздзяляе тры рэчы, якія людзі звычайна зліваюць у адну: як далёкі партнёр вызначае адрас шлюза, які маршрут нясе знешні трафік і які зыходны IP выкарыстоўваецца. Кожнае адказвае на сваё пытанне. Ні адно з іх не змяняе ідэнтычнасць, якую аўтэнтыфікуе партнёр.

Гэтае раздзяленне тлумачыць, чаму змена маршруту можа змяніць бачны знешні адрас, не закрануўшы ідэнтычнасць IKE, і чаму змена ідэнтычнасці можа зламаць тунель, маршрутызацыя якога бездакорная.

RFC 7296 праводзіць тую ж мяжу для самога IKE: карысная нагрузка ідэнтыфікацыі — гэта не транспартны адрас. Пастаўшчыкі рэалізуюць гэтае раздзяленне, а не перавызначаюць яго.

Вырашайце па доказах, а не па панэлі налад

Калі партнёр паведамляе пра невядомую або несупадаючую ідэнтычнасць, выпраўляйце аб'ект партнёра або канфігурацыю ідэнтычнасці, а не выбар крыніцы. Калі партнёр нічога не паведамляе, а ваш запіс паказвае пакеты, што выходзяць з нечаканага адрасу, спачатку выпраўляйце маршрутызацыю або трансляцыю. Калі і тое, і другое выглядае правільна, а тунель усё яшчэ не ўздымаецца, зрабіце запіс на далёкім баку і параўнайце, што ён атрымаў. Толькі калі адрас і ідэнтычнасць згаджаюцца, а шлях усё яшчэ няправільны, варыянт выбару спасылкі становіцца кандыдатам.

Перш чым наладжваць гэты варыянт на VSX, атрымайце рэкамендацыі па падтрымліваемых функцыях для адпаведнага выпуску або відавочную заяву пастаўшчыка для кантэксту віртуальнай сістэмы. Старая справаздача пра недоступнасць функцыі — гэта гісторыя, а не цяперашняя забарона, і панэль налад не з'яўляецца заявай аб падтрымцы.

Узгадніце абодва бакі і захавайце запіс

Калі ў вас ёсць падтрымліваемы праект, разгледзьце знешнюю дасяжнасць, канфігурацыю канчатковага пункта партнёра і ўзгадненне ідэнтычнасці разам, як адзін кантракт. Затым сплануйце прыёмку для трох выпадкаў: пачатковае злучэнне, злучэнне, ініцыяванае далёкім бокам, і збой, якога вы чакаеце пры разрыве шляху.

Захоўвайце назіраныя знешнія адрасы побач з актыўным кантэкстам віртуальнай сістэмы. Тады наступная змена маршруту параўноўваецца з дакументаваным кантрактам, а не з чыімісьці ўспамінамі пра значэнне па змаўчанні.