Sophos VPN между сайтове е вдигнат, но няма трафик: лиценз или маршрут?

Да установите IPsec асоциация, да видите маршрута в таблицата и въпреки това да получите изтичане на времето от клона е позната комбинация в Sophos Firewall. В Sophos Firewall тази комбинация има поне две обикновени обяснения: празнина в препращането или условие на лиценза Base, което оставя тунела вдигнат, докато данните спрат да преминават. Те дават почти идентични симптоми, затова единственият път е да се съберат независими доказателства за всяко от тях. И двете са достатъчно чести, за да не може нито едно да се предполага.

Тунелът може да е вдигнат без данни

IPsec асоциацията е отношения по сигурност, а не обещание за препращане на пакети. Фаза 1 и фаза 2 могат да завършат, докато политиката, която избира трафика, маршрутът към отдалечения префикс или самият път на данните са грешни. Дисплеят на тунела отговаря на един въпрос и оставя останалите отворени.

Започнете с това да назовете кои префикси трябва да преминат и в каква посока. Тунел без интересен трафик изглежда на страницата със състояние също като повреден тунел.

Какво покрива лицензът Base

Sophos изброява VPN под лиценза Base, отделно от Network Protection и Central Orchestration. Затова изтекъл опционален модул е собствен проблем, а не автоматично доказателство, че IPsec между сайтове се нуждае от нов платен пакет. Запишете модела на устройството, версията, самоличността на регистрацията и състоянието на Base Firewall. След това съгласувайте това със записите на собственика на акаунта чрез поддържания лицензионен процес и дръжте серийните номера извън публични бележки.

Платформата също променя правилото. Облачните, виртуалните и софтуерните устройства получават лиценз Base без дата на изтичане, докато лицензът Base на хардуерно устройство изтича в края на живота. Спряната регистрация е трето състояние между валидно и изтекло и заслужава същите доказателства вместо предположение.

Докажете маршрута, преди да обвините лиценза

Докажете пътя на препращане независимо. Попитайте устройството кой маршрут би използвало за отдалечения префикс, после потвърдете, че политиката за сигурност избира този трафик и че обратният път съществува на другата страна. Липсващият маршрут към отдалечения префикс остава проблем с маршрутизацията, колкото и здрав да е лицензът.

ip route get 10.80.20.10

Обратната посока има същото значение като правата. Клон, който достига до централата, но не обратно, има празнина във връщащия маршрут или политиката, а не отказ на пътя на данните. Запишете един разрешен поток в двете посоки, преди да правите изводи.

Водете два записа, за да бъде следващата поправка честна

Водете два отделни записа и ги датирайте. Първият покрива правото: какво показа страницата за лицензиране, кой абонамент е бил приложен и кога е синхронизиран. Вторият покрива препращането: префикси, маршрути, асоциации по сигурност и насочени броячи за един поток. Когато симптомът се промени след поправка, записите показват кое обяснение всъщност е било правилно.

ipsec status

Тази дисциплина е важна, защото поправка на лиценз и поправка на маршрут изглеждат еднакво от успешен ping. Ако и двете са променени наведнъж, научили сте, че услугата работи, и нищо за това защо не е работила. Променете едно нещо, после измерете същия поток отново, и ръководството за изтичане решава какво може да обясни самото право.