Check Point VSX VPN: Link Selection oder eine Peer-Fehlpaarung?

Zwei verschiedene Änderungen erzeugen dasselbe Symptom, wenn ein Check-Point-Tunnel zwischen zwei Standorten nicht mehr hochkommt: Der Peer sieht eine andere äußere Adresse, oder er weist die IKE-Identität zurück, die er jetzt erhält. Auf einem Mitschnitt von einer Seite sehen beide gleich aus. Um zu entscheiden, welchen Fall Sie haben, braucht es drei Prüfungen, und keine davon ist die Link-Selection-Maske.

Verwechseln Sie die Reihenfolge, stimmen Sie die Quellenauswahl ab, um eine Identitätsfehlpaarung zu beheben. So wird derselbe Tunnel zweimal repariert und bricht nach der nächsten Routenänderung erneut.

Drei Bedingungen, die die beiden Fälle trennen

Bedingung eins: Stimmt der konfigurierte Endpunkt des Peers mit der Adresse überein, die tatsächlich ankommt? Wenn Pakete das entfernte Gateway von einer Adresse erreichen, die es nicht mit Ihrem Peer-Objekt verbindet, scheitert die Verhandlung, bevor irgendeine Identität ausgetauscht wird. Bedingung zwei: Stimmt die IKE-Identität im Vorschlag mit dem Wert überein, den der Peer erwartet? Das ist Authentifizierung, nicht Transport. Bedingung drei: Ist die Option, die Sie ändern wollen, für dieses virtuelle System in dieser Version unterstützt? Keine sichtbare Einstellung beantwortet eine dieser Fragen.

Scheitert Bedingung eins, haben Sie ein Routing- oder Übersetzungsproblem. Scheitert Bedingung zwei, haben Sie ein Problem mit dem Peer-Vertrag. Ist Bedingung drei unbekannt, hören Sie mit dem Konfigurieren auf.

Erstellen Sie zuerst die Aufzeichnung des äußeren Peers

Notieren Sie das virtuelle System, die Softwareversion und den installierten Aktualisierungsstand, bevor Sie irgendetwas anfassen. Erfassen Sie dann die externen Schnittstellen, die Route zum entfernten Peer, die erwarteten Quelladressen vor und nach NAT sowie den konfigurierten Endpunkt des entfernten Peers.

Halten Sie die inneren geschützten Präfixe in einem getrennten Teil dieser Aufzeichnung. Eine äußere Quelle zu ändern und eine geschützte LAN-Adresse zu ändern sind verschiedene Vorgänge, die zufällig in derselben Richtlinie liegen.

Ergänzen Sie jede aufbewahrte Aufzeichnung um die Richtung. Eine lokal angestoßene Verhandlung und eine Antwort an den entfernten Peer können unterschiedlich auswählen, daher ist ein unmarkierter Mitschnitt ein schwacher Beweis. Beschriften Sie die Datei mit dem virtuellen System und dem Initiator.

Lesen Sie, was Link Selection tatsächlich trennt

Der Check-Point-Leitfaden zu Link Selection in R81.20 trennt drei Dinge, die Anwender zu einem verschmelzen: wie der entfernte Peer eine Gateway-Adresse auflöst, welche Route den ausgehenden Verkehr trägt und welche Quell-IP verwendet wird. Jede beantwortet eine andere Frage. Keine davon ändert die Identität, die der Peer authentifiziert.

Diese Trennung erklärt, warum eine Routenänderung die sichtbare äußere Adresse ändern kann, ohne die IKE-Identität zu berühren, und warum eine Identitätsänderung einen Tunnel zerbrechen kann, dessen Routing einwandfrei ist.

RFC 7296 zieht dieselbe Grenze für IKE selbst: Die Identifikations-Nutzlast ist nicht die Transportadresse. Hersteller setzen diese Trennung um, sie definieren sie nicht neu.

Entscheiden Sie mit Belegen, nicht mit der Einstellungsmaske

Meldet der Peer eine unbekannte oder nicht passende Identität, korrigieren Sie das Peer-Objekt oder die Identitätskonfiguration, nicht die Quellenauswahl. Meldet der Peer nichts und zeigt Ihr Mitschnitt Pakete von einer unerwarteten Adresse, korrigieren Sie zuerst Routing oder Übersetzung. Sieht beides richtig aus und der Tunnel scheitert weiterhin, zeichnen Sie auf der entfernten Seite auf und vergleichen Sie, was dort ankam. Erst wenn Adresse und Identität übereinstimmen und der Pfad weiterhin falsch ist, wird eine Link-Selection-Option zum Kandidaten.

Bevor Sie diese Option auf VSX konfigurieren, holen Sie sich die Hinweise zu unterstützten Funktionen der passenden Version oder eine ausdrückliche Herstellererklärung für den Kontext des virtuellen Systems. Ein älterer Bericht, eine Funktion sei nicht verfügbar gewesen, ist Geschichte und kein aktuelles Verbot, und eine Einstellungsmaske ist keine Support-Aussage.

Bringen Sie beide Enden zusammen und behalten Sie die Aufzeichnung

Sobald Sie ein unterstütztes Design haben, prüfen Sie externe Erreichbarkeit, die Endpunktkonfiguration des Peers und die Identitätsvereinbarung gemeinsam als einen Vertrag. Planen Sie dann die Abnahme für drei Fälle: Erstverbindung, vom entfernten Ende angestoßene Verbindung und der Ausfall, den Sie beim Bruch des Pfads erwarten.

Speichern Sie die beobachteten äußeren Adressen neben dem Kontext des aktiven virtuellen Systems. Die nächste Routenänderung vergleicht dann mit einem dokumentierten Vertrag statt mit jemandes Erinnerung an die Voreinstellung.