Check Point VSX VPN: избор на връзка или несъответствие на партньора?

Две различни промени дават един и същ симптом, когато тунел точка-точка в Check Point спре да се вдига: партньорът вижда различен външен адрес или отхвърля идентичността по IKE, която сега получава. На снемане от едната страна двете изглеждат еднакво. За да определите кое от двете имате, са нужни три проверки и нито една от тях не е панелът „Избор на връзка“.

Ако объркате реда, ще настройвате избора на източник, за да поправите несъответствие в идентичността. Така един и същ тунел се поправя два пъти и отново се чупи след следващата промяна на маршрута.

Три условия, които разделят двата случая

Условие първо: съвпада ли конфигурираната крайна точка на партньора с адреса, който действително пристига? Ако пакетите достигат до отдалечения шлюз от адрес, който той не свързва с вашия обект на партньор, договарянето се проваля, преди да се обмени каквато и да е идентичност. Условие второ: съвпада ли идентичността по IKE в предложението с очакваната стойност на партньора? Това е удостоверяване, а не транспорт. Условие трето: дали опцията, която искате да промените, е поддържана за тази виртуална система в тази версия? Никоя видима настройка не отговаря на тези въпроси.

Ако първото условие е нарушено, имате проблем с маршрутизацията или транслацията. Ако второто е нарушено, имате проблем с договора с партньора. Ако третото е неизвестно, спрете конфигурирането.

Първо изградете записа за външния партньор

Запишете виртуалната система, версията на софтуера и инсталираното ниво на обновяване, преди да пипате каквото и да е. След това отбележете външните интерфейси, маршрута към отдалечения партньор, очакваните адреси на източника преди и след NAT и конфигурираната крайна точка на отдалечения партньор.

Дръжте вътрешните защитени префикси в отделна част на този запис. Промяната на външен източник и промяната на защитен LAN адрес са различни операции, които просто живеят в една и съща политика.

Добавяйте посока към всяко снемане, което запазвате. Локално инициирано договаряне и отговор към отдалечения партньор могат да избират различно, затова снемане без етикет е слабо доказателство. Отбележете файла с виртуалната система и инициатора.

Прочетете какво всъщност разделя изборът на връзка

Ръководството на Check Point за избор на връзка в R81.20 разделя три неща, които хората обединяват в едно: как отдалеченият партньор решава адреса на шлюза, кой маршрут носи изходящия трафик и кой IP адрес на източника се използва. Всяко отговаря на различен въпрос. Нито едно от тях не променя идентичността, която партньорът удостоверява.

Това разделение обяснява защо промяна на маршрута може да промени видимия външен адрес, без да пипа идентичността по IKE, и защо промяна на идентичността може да счупи тунел, чиято маршрутизация е безупречна.

RFC 7296 чертае същата граница за самия IKE: полезният товар за идентификация не е транспортният адрес. Доставчиците реализират това разделение, а не го предефинират.

Решавайте с доказателства, не с панела с настройки

Ако партньорът съобщи за неизвестна или несъответстваща идентичност, поправете обекта на партньора или конфигурацията на идентичността, а не избора на източник. Ако партньорът не съобщи нищо, а снемането ви показва пакети, излизащи от неочакван адрес, първо поправете маршрутизацията или транслацията. Ако и двете изглеждат правилни, а тунелът все още не се вдига, направете снемане от отдалечената страна и сравнете какво е получила. Едва когато адресът и идентичността съвпадат, а пътят все още е грешен, опция от избора на връзка става кандидат.

Преди да конфигурирате тази опция на VSX, вземете указанията за поддържани функции за съответната версия или изрично изявление от доставчика за контекста на виртуалната система. По-стар доклад, че дадена функция не е била налична, е история, а не текуща забрана, и панелът с настройки не е изявление за поддръжка.

Съгласувайте двата края и пазете записа

Щом имате поддържан дизайн, прегледайте външната достижимост, конфигурацията на крайната точка на партньора и съгласуването на идентичността заедно, като един договор. След това планирайте приемане за три случая: първоначална връзка, връзка, инициирана от отдалечената страна, и отказът, който очаквате при прекъсване на пътя.

Запазете наблюдаваните външни адреси до контекста на активната виртуална система. Така следващата промяна на маршрута се сравнява с документиран договор, а не с нечий спомен за стойността по подразбиране.