Sophos VPN mezi lokalitami je nahoře, ale neprochází provoz: licence, nebo trasa?

Vytvořit asociaci IPsec, vidět trasu v tabulce a přesto z pobočky narazit na vypršení je známá kombinace u Sophos Firewall. U Sophos Firewall má tato kombinace nejméně dvě běžná vysvětlení: mezeru v předávání, nebo podmínku licence Base, která drží tunel nahoře, zatímco data přestanou procházet. Obě dávají téměř shodné příznaky, takže jediná cesta je sbírat nezávislé důkazy pro každé z nich. Obě jsou dost časté na to, aby se žádné nedalo předpokládat.

Tunel může být nahoře a přesto nepřenášet data

Asociace IPsec je bezpečnostní vztah, ne slib předávat pakety. Fáze 1 a fáze 2 se mohou dokončit, i když je politika vybírající provoz, trasa k vzdálenému prefixu nebo sama datová cesta špatně. Zobrazení tunelu odpovídá na jednu otázku a ostatní nechává otevřené.

Začněte tím, že pojmenujete, které prefixy mají procházet a kterým směrem. Tunel bez zajímavého provozu vypadá na stavové stránce stejně jako tunel porouchaný.

Co licence Base pokrývá

Sophos uvádí VPN pod licencí Base, odděleně od Network Protection a Central Orchestration. Vypršelý volitelný modul je proto vlastní problém a ne automatický důkaz, že IPsec mezi lokalitami potřebuje nový placený balík. Zapište model zařízení, verzi, identitu registrace a stav Base Firewall. Potom to sladíte se záznamy vlastníka účtu přes podporovaný licenční proces a sériová čísla držte mimo veřejné poznámky.

Pravidlo mění i platforma. Cloudová, virtuální a softwarová zařízení dostávají licenci Base bez data vypršení, zatímco licence Base hardwarové jednotky končí na konci životnosti. Pozastavená registrace je třetí stav mezi platnou a vypršelou a zaslouží stejné důkazy místo dohadu.

Dokažte trasu, než obviníte licenci

Dokažte cestu předávání nezávisle. Zeptejte se zařízení, kterou trasu by použilo pro vzdálený prefix, a pak potvrďte, že bezpečnostní politika vybírá tento provoz a že na druhé straně existuje cesta odpovědi. Chybějící trasa ke vzdálenému prefixu zůstává problémem směrování, ať je licence jakkoli zdravá.

ip route get 10.80.20.10

Opačný směr je stejně důležitý jako směr dopředu. Pobočka, která dosáhne na centrálu, ale ne naopak, má mezeru ve zpětné trase nebo politice, ne poruchu datové cesty. Před vyvozováním závěrů zachyťte jeden povolený tok v obou směrech.

Veďte dva záznamy, aby byla příští oprava poctivá

Veďte dva oddělené záznamy a opatřete je datem. První pokrývá nárok: co ukázala licenční stránka, které předplatné platilo a kdy bylo synchronizováno. Druhý pokrývá předávání: prefixy, trasy, bezpečnostní asociace a směrové počítadla pro jeden tok. Když se příznak po opravě změní, záznamy ukážou, které vysvětlení bylo skutečně správné.

ipsec status

Tato kázeň je důležitá, protože oprava licence a oprava trasy vypadají po úspěšném pingu stejně. Pokud jste změnili obojí najednou, zjistili jste, že služba funguje, a nic o tom, proč nefungovala. Změňte jednu věc, znovu změřte stejný tok a průvodce vypršením určí, co samo o sobě nárok vysvětlit může.