Sophos VPN između lokacija je podignut, ali nema saobraćaja: licenca ili ruta?

Uspostavljanje IPsec asocijacije, prikaz rute u tabeli i istovremeni timeout iz poslovnice poznata je kombinacija na Sophos Firewall-u. Na Sophos Firewall-u ta kombinacija ima najmanje dva obična objašnjenja: prazninu u prosljeđivanju ili uslov Base licence koji tunel drži podignutim dok podaci prestaju prolaziti. Oni daju gotovo identične simptome, pa je jedini način da se prođe kroz njih prikupljanje nezavisnih dokaza za svaki od njih. Oba su dovoljno česta da se nijedno ne može pretpostaviti.

Tunel može biti podignut bez podataka

IPsec asocijacija je sigurnosni odnos, a ne obećanje da će se paketi prosljeđivati. Faza 1 i faza 2 mogu se završiti dok su politika koja bira saobraćaj, ruta do udaljenog prefiksa ili sam put podataka pogrešni. Prikaz tunela odgovara na jedno pitanje, a ostala ostavlja otvorenim.

Počnite tako što ćete navesti koji prefiksi treba da pređu i u kojem smjeru. Tunel bez zanimljivog saobraćaja na statusnoj stranici izgleda isto kao pokvaren tunel.

Šta pokriva Base licenca

Sophos navodi VPN pod Base licencom, odvojeno od Network Protection i Central Orchestration. Istekli opcioni modul je stoga zaseban problem i nije automatski dokaz da IPsec između lokacija treba novi plaćeni paket. Zabilježite model uređaja, izdanje, identitet registracije i status Base Firewall-a. Zatim to uskladite sa evidencijom vlasnika računa kroz podržani proces licenciranja i držite serijske brojeve izvan javnih bilješki.

Platforma takođe mijenja pravilo. Cloud, virtuelni i softverski uređaji dobijaju Base licencu bez datuma isteka, dok Base licenca hardverske jedinice ističe na kraju životnog vijeka. Suspendovana registracija je treće stanje između važeće i istekle i zaslužuje iste dokaze umjesto nagađanja.

Dokažite rutu prije nego okrivite licencu

Dokažite put prosljeđivanja nezavisno. Pitajte uređaj koju bi rutu koristio za udaljeni prefiks, pa potvrdite da sigurnosna politika bira taj saobraćaj i da povratni put postoji na drugoj strani. Ruta koja nedostaje za udaljeni prefiks ostaje problem rutiranja bez obzira na to koliko je licenca zdrava.

ip route get 10.80.20.10

Obrnuti smjer je jednako važan kao i smjer naprijed. Poslovnica koja može doći do centrala ali ne i obrnuto ima prazninu u povratnoj ruti ili politici, a ne kvar na putu podataka. Zabilježite jedan dozvoljeni tok u oba smjera prije nego donesete zaključke.

Vodite dva zapisa da bi sljedeća popravka bila iskrena

Vodite dva odvojena zapisa i datirajte ih. Prvi pokriva pravo: šta je pokazala stranica licenciranja, koja je pretplata bila primijenjena i kada je sinhronizovana. Drugi pokriva prosljeđivanje: prefikse, rute, sigurnosne asocijacije i usmjerene brojače za jedan tok. Kada se simptom promijeni nakon popravke, zapisi pokazuju koje je objašnjenje zaista bilo tačno.

ipsec status

Ta disciplina je važna jer popravka licence i popravka rute izgledaju isto nakon uspješnog pinga. Ako je oboje promijenjeno odjednom, naučili ste da usluga radi i ništa o tome zašto nije radila. Promijenite jednu stvar, pa ponovo izmjerite isti tok, a vodič kroz istek određuje šta samo pravo može objasniti.