Sophos-site-til-site-VPN er oppe, men der går ingen trafik: licens eller rute?

At oprette en IPsec-association, se ruten i tabellen og alligevel få timeout fra filialen er en velkendt kombination på Sophos Firewall. På Sophos Firewall har den kombination mindst to almindelige forklaringer: et hul i videresendelsen eller en betingelse i Base-licensen, der lader tunnelen stå oppe, mens dataene holder op med at passere. De giver næsten identiske symptomer, så den eneste vej igennem er at indsamle uafhængig dokumentation for hver af dem. Begge er så almindelige, at ingen af dem kan forudsættes.

En tunnel kan være oppe uden data

En IPsec-association er et sikkerhedsforhold, ikke et løfte om at videresende pakker. Fase 1 og fase 2 kan fuldføres, mens politikken, der vælger trafikken, ruten til det fjerne præfiks eller selve datastien er forkert. Tunnelvisningen besvarer et spørgsmål og lader de andre stå åbne.

Begynd med at navngive, hvilke præfikser der skal krydse, og i hvilken retning. En tunnel uden interessant trafik ser på en statusside ud som en ødelagt tunnel.

Hvad Base-licensen dækker

Sophos anfører VPN under Base-licensen, adskilt fra Network Protection og Central Orchestration. Et udløbet valgfrit modul er derfor sit eget problem og ikke automatisk bevis for, at site-til-site-IPsec kræver en ny betalt pakke. Notér enhedsmodel, version, registreringsidentitet og Base Firewall-status. Afstem det derefter med kontoejerens registreringer via den understøttede licensproces, og hold serienumre ude af offentlige noter.

Platformen ændrer også reglen. Cloud-, virtuelle og softwareenheder får en Base-licens uden udløbsdato, mens en hardwareenheds Base-licens udløber ved levetidens ende. En suspenderet registrering er en tredje tilstand mellem gyldig og udløbet, og den fortjener den samme dokumentation i stedet for et gæt.

Bevis ruten, før du bebrejder licensen

Bevis videresendelsesstien uafhængigt. Spørg enheden, hvilken rute den ville bruge til det fjerne præfiks, og bekræft derefter, at sikkerhedspolitikken vælger den trafik, og at svarstien findes på den anden side. En manglende rute til det fjerne præfiks forbliver et routingproblem, uanset hvor sund licensen er.

ip route get 10.80.20.10

Den omvendte retning betyder lige så meget som den fremadrettede. En filial, der kan nå hovedkontoret men ikke omvendt, har et hul i returruten eller politikken, ikke en fejl i datastien. Optag én tilladt flow i begge retninger, før du drager konklusioner.

Hold to registreringer, så den næste rettelse er ærlig

Hold to adskilte registreringer og datér dem. Den første dækker rettigheden: hvad licenssiden viste, hvilket abonnement der gjaldt, og hvornår det blev synkroniseret. Den anden dækker videresendelsen: præfikser, ruter, sikkerhedsassociationer og retningsbestemte tællere for én flow. Når symptomet ændrer sig efter en rettelse, viser registreringerne, hvilken forklaring der faktisk var rigtig.

ipsec status

Den disciplin betyder noget, fordi en licensreparation og en rutereparation ser ens ud fra et vellykket ping. Hvis begge blev ændret på én gang, har du lært, at tjenesten virker, og intet om, hvorfor den ikke gjorde. Ændr én ting, mål den samme flow igen, og vejledningen om udløb afgør, hvad rettigheden alene kan forklare.