VPN паміж пляцоўкамі Sophos падняты, але трафік не ідзе: ліцэнзія ці маршрут?

Усталяваць асацыяцыю IPsec, убачыць маршрут у табліцы і ўсё ж атрымаць тайм-аўт з філіяла — знаёмая камбінацыя на Sophos Firewall. На Sophos Firewall гэтая камбінацыя мае як мінімум два звычайныя тлумачэнні: прабел у перасылцы або ўмова ліцэнзіі Base, якая пакідае тунель паднятым, пакуль даныя перастаюць праходзіць. Яны даюць амаль аднолькавыя сімптомы, таму адзіны шлях — збіраць незалежныя доказы для кожнага з іх. Абодва сустракаюцца дастаткова часта, каб ні адзін нельга было меркаваць.

Тунель можа быць паднятым без даных

Асацыяцыя IPsec — гэта бяспечныя адносіны, а не абяцанне перасылаць пакеты. Фаза 1 і фаза 2 могуць завяршыцца, пакуль палітыка, што выбірае трафік, маршрут да аддаленага прэфікса або сам шлях даных памылковыя. Дысплей тунеля адказвае на адно пытанне і пакідае астатнія адкрытымі.

Пачніце з таго, каб назваць, якія прэфіксы павінны перасякаць і ў якім кірунку. Тунель без цікавага трафіку выглядае на старонцы стану гэтак жа, як зламаны тунель.

Што ахоплівае ліцэнзія Base

Sophos змяшчае VPN у раздзел ліцэнзіі Base асобна ад Network Protection і Central Orchestration. Таму няспраўная опцыянальная прылада — гэта ўласная праблема, а не аўтаматычны доказ таго, што IPsec паміж пляцоўкамі патрэбны новы платны пакет. Занясуйце мадэль прылады, рэліз, ідэнтычнасць рэгістрацыі і стан Base Firewall. Затым звярніце гэта з запісамі ўладальніка ўліковага запісу праз падтрыманы працэс ліцэнзавання, і трымайце серыйныя нумары па-за публічнымі нататкамі.

Платформа таксама змяняе правіла. Хмарныя, віртуальныя і праграмныя прылады атрымліваюць ліцэнзію Base без даты заканчэння, тады як ліцэнзія Base апаратнага блока сканчаецца ў канцы тэрміну службы. Прыпыненая рэгістрацыя — трэці стан паміж сапраўдным і скончаным, і яна заслугоўвае тых жа доказаў замест здагадкі.

Дакажыце маршрут, перш чым вінаваціць ліцэнзію

Дакажыце шлях перасылкі незалежна. Спытайце прыладу, які маршрут яна выкарыстала б для аддаленага прэфікса, затым пацвердзіце, што палітыка бяспекі выбірае гэты трафік і што зваротны шлях існуе на іншым баку. Адсутны маршрут да аддаленага прэфікса застаецца праблемай маршрутызацыі, наколькі б здаровай ні была ліцэнзія.

ip route get 10.80.20.10

Зваротны кірунак важны гэтак жа, як прамы. Філіял, які дасягае галаўнога офіса, але не наадварот, мае прабел у зваротным маршруце або палітыцы, а не збой шляху даных. Зафіксуйце адзін дазволены паток у абодвух кірунках, перш чым рабіць высновы.

Трымайце два запісы, каб наступнае выпраўленне было сумленным

Трымайце два асобныя запісы і датуйце іх. Першы ахоплівае права: што паказвала старонка ліцэнзавання, якая падпіска дзейнічала і калі яна была сінхранізавана. Другі ахоплівае перасылку: прэфіксы, маршруты, асацыяцыі бяспекі і кірункавыя лічыльнікі для аднаго патоку. Калі сімптом змяніўся пасля выпраўлення, запісы пакажуць, якое тлумачэнне было сапраўды правільным.

ipsec status

Гэтая дысцыпліна важная, бо рамонт ліцэнзіі і рамонт маршруту выглядаюць аднолькава пасля паспяховага ping. Калі абодва змянілі адначасова, вы даведаліся, што сэрвіс працуе, і нічога пра тое, чаму ён не працаваў. Змяніце адну рэч, затым зноў вымерайце той жа паток, і кіраўніцтва па заканчэнні тэрміну вызначыць, што можа патлумачыць само права.