El VPN de lloc a lloc de Sophos està aixecat però no passa trànsit: llicència o ruta?

Establir una associació IPsec, veure la ruta a la taula i, tot i això, patir un temps d’espera esgotat des de la sucursal és una combinació habitual a Sophos Firewall. A Sophos Firewall aquesta combinació té com a mínim dues explicacions corrents: una mancança de reenviament o una condició de la llicència Base que manté el túnel aixecat mentre les dades deixen de passar. Totes dues produeixen símptomes gairebé idèntics, així que l’única manera de sortir-se’n és recollir proves independents per a cadascuna. Totes dues són prou freqüents perquè no se’n pugui donar cap per suposada.

Un túnel pot estar aixecat sense dades

Una associació IPsec és una relació de seguretat, no una promesa de reenviar paquets. La fase 1 i la fase 2 poden completar-se mentre la política que selecciona el trànsit, la ruta cap al prefix remot o el mateix camí de dades són incorrectes. La pantalla del túnel respon una pregunta i deixa les altres obertes.

Comenceu per anomenar quins prefixos han de creuar i en quina direcció. Un túnel sense trànsit interessant sembla el mateix que un túnel trencat en una pàgina d’estat.

Què cobreix la llicència Base

Sophos inclou la VPN sota la llicència Base, separada de Network Protection i Central Orchestration. Un mòdul opcional caducat és, doncs, un problema propi i no una prova automàtica que l’IPsec de lloc a lloc necessiti un paquet de pagament nou. Anoteu el model de l’aparell, la versió, la identitat de registre i l’estat de Base Firewall. Després reconcilieu-ho amb els registres del titular del compte mitjançant el procés de llicenciament admès, i mantingueu els números de sèrie fora de les notes públiques.

La plataforma també canvia la regla. Els aparells al núvol, virtuals i de programari obtenen una llicència Base sense data de caducitat, mentre que la llicència Base d’una unitat de maquinari s’acaba al final de la vida útil. Una registració suspesa és un tercer estat entre vàlid i caducat, i mereix les mateixes proves en lloc d’una conjectura.

Demostreu la ruta abans de culpar la llicència

Demostreu el camí de reenviament de manera independent. Pregunteu a l’aparell quina ruta faria servir per al prefix remot, i després confirmeu que la política de seguretat selecciona aquest trànsit i que el camí de resposta existeix a l’altre costat. Una ruta absent cap al prefix remot continua sent un problema d’encaminament, per sana que estigui la llicència.

ip route get 10.80.20.10

La direcció inversa importa tant com la directa. Una sucursal que pot arribar a la central però no al revés té una mancança de ruta de tornada o de política, no una fallada del camí de dades. Captureu un flux permès en totes dues direccions abans de treure conclusions.

Porteu dos registres perquè la propera reparació sigui honesta

Porteu dos registres separats i dateu-los. El primer cobreix el dret: què mostrava la pàgina de llicències, quina subscripció s’aplicava i quan es va sincronitzar. El segon cobreix el reenviament: prefixos, rutes, associacions de seguretat i comptadors direccionals per a un flux. Quan el símptoma canvia després d’una reparació, els registres mostren quina explicació era realment correcta.

ipsec status

Aquesta disciplina importa perquè una reparació de llicència i una reparació de ruta semblen idèntiques des d’un ping correcte. Si es van canviar totes dues alhora, heu après que el servei funciona i res sobre per què no ho feia. Canvieu una cosa, torneu a mesurar el mateix flux, i la guia de caducitat resol què pot explicar el dret tot sol.