Check Point VSX VPN: selecció d'enllaç o un desajust del par?

Dos canvis diferents produeixen el mateix símptoma quan un túnel lloc a lloc de Check Point deixa d'aixecar-se: el par veu una adreça externa diferent o rebutja la identitat IKE que ara rep. En una captura feta des d'un sol costat, tots dos semblen idèntics. Decidir quin dels dos teniu requereix tres comprovacions, i cap d'elles no és el plafó de selecció d'enllaç.

Si us equivoqueu en l'ordre, ajusteu la selecció d'origen per arreglar un desajust d'identitat. Així és com el mateix túnel s'arregla dues vegades i es torna a trencar després del següent canvi de ruta.

Tres condicions que separen els dos casos

Condició primera: l'extrem configurat del par coincideix amb l'adreça que arriba realment? Si els paquets arriben a la passarel·la remota des d'una adreça que aquesta no associa amb el vostre objecte de par, la negociació falla abans que s'intercanviï cap identitat. Condició segona: la identitat IKE de la proposta coincideix amb el valor que espera el par? Això és autenticació, no transport. Condició tercera: l'opció que voleu canviar està admesa per a aquest sistema virtual en aquesta versió? Cap paràmetre visible no respon cap d'aquestes preguntes.

Si falla la primera condició, teniu un problema d'encaminament o de traducció. Si falla la segona, teniu un problema de contracte amb el par. Si la tercera és desconeguda, atureu la configuració.

Primer construïu el registre del par extern

Anoteu el sistema virtual, la versió del programari i el nivell d'actualització instal·lat abans de tocar res. Després registreu les interfícies externes, la ruta cap al par remot, les adreces d'origen esperades abans i després del NAT i l'extrem configurat del par remot.

Guardeu els prefixos protegits interns en una part separada d'aquell registre. Canviar un origen extern i canviar una adreça de LAN protegida són operacions diferents que només coincideixen en la mateixa política.

Afegiu la direcció a cada captura que conserveu. Una negociació iniciada localment i una resposta al par remot poden seleccionar de manera diferent, així que una captura sense etiquetar és una prova feble. Etiqueteu el fitxer amb el sistema virtual i l'iniciador.

Llegiu què separa realment la selecció d'enllaç

La guia de Check Point sobre la selecció d'enllaç a R81.20 separa tres coses que la gent fusiona en una: com resol el par remot l'adreça de la passarel·la, quina ruta transporta el trànsit sortint i quina IP d'origen s'utilitza. Cadascuna respon una pregunta diferent. Cap d'elles no canvia la identitat que autentica el par.

Aquesta separació explica per què un canvi de ruta pot alterar l'adreça externa visible sense tocar la identitat IKE, i per què un canvi d'identitat pot trencar un túnel l'encaminament del qual és perfecte.

L'RFC 7296 traça la mateixa línia per al mateix IKE: la càrrega d'identificació no és l'adreça de transport. Els fabricants implementen aquesta divisió, no la redefineixen.

Decidiu amb proves, no amb el plafó de paràmetres

Si el par informa d'una identitat desconeguda o que no coincideix, arregleu l'objecte de par o la configuració d'identitat, no la selecció d'origen. Si el par no informa de res i la vostra captura mostra paquets que surten d'una adreça inesperada, arregleu primer l'encaminament o la traducció. Si tots dos semblen correctes i el túnel encara falla, captureu al costat remot i compareu què ha rebut. Només quan l'adreça i la identitat coincideixen i el camí continua sent equivocat, una opció de selecció d'enllaç esdevé candidate.

Abans de configurar aquesta opció a VSX, obteniu les indicacions de funcions admeses de la versió corresponent o una declaració explícita del fabricant per al context del sistema virtual. Un informe antic que una funció no estava disponible és història, no una prohibició actual, i un plafó de paràmetres no és una declaració de suport.

Concilieu els dos extrems i conserveu el registre

Quan tingueu un disseny admès, reviseu l'abast extern, la configuració de l'extrem del par i l'acord d'identitat junts, com un sol contracte. Després planifiqueu l'acceptació per a tres casos: la connexió inicial, la connexió iniciada pel costat remot i la fallada que espereu quan es trenca el camí.

Guardeu les adreces externes observades al costat del context actiu del sistema virtual. Així, el següent canvi de ruta es compara amb un contracte documentat i no amb el record que algú té del valor per defecte.