Sophos-Standort-zu-Standort-VPN steht, aber es fließt kein Verkehr: Lizenz oder Route?

Eine IPsec-Assoziation aufzubauen, die Route in der Tabelle zu sehen und aus der Filiale trotzdem in ein Timeout zu laufen, ist eine vertraute Kombination bei Sophos Firewall. Auf Sophos Firewall hat diese Kombination mindestens zwei alltägliche Erklärungen: eine Lücke in der Weiterleitung oder eine Bedingung der Base-Lizenz, die den Tunnel aufrecht erhält, während der Datenfluss stoppt. Beide erzeugen nahezu identische Symptome, deshalb führt nur der Weg über getrennte Belege für jede Erklärung weiter. Beide sind so verbreitet, dass keine von ihnen vorausgesetzt werden darf.

Ein Tunnel kann stehen, ohne Daten zu übertragen

Eine IPsec-Assoziation ist eine Sicherheitsbeziehung und kein Versprechen, Pakete weiterzuleiten. Phase 1 und Phase 2 können abgeschlossen sein, während die Richtlinie für die Verkehrsauswahl, die Route zum entfernten Präfix oder der Datenpfad selbst falsch ist. Die Tunnelanzeige beantwortet eine Frage und lässt die übrigen offen.

Bestimmen Sie zuerst, welche Präfixe in welche Richtung übertragen werden sollen. Ein Tunnel ohne interessanten Verkehr sieht auf einer Statusseite genauso aus wie ein defekter Tunnel.

Was die Base-Lizenz abdeckt

Sophos führt VPN unter der Base-Lizenz, getrennt von Network Protection und Central Orchestration. Ein abgelaufenes optionales Modul ist daher ein eigenes Problem und kein automatischer Beleg dafür, dass Site-to-Site-IPsec ein neues kostenpflichtiges Paket braucht. Halten Sie Gerätemodell, Release, Registrierungsidentität und den Status der Base Firewall fest. Gleichen Sie das dann über den vorgesehenen Lizenzprozess mit den Unterlagen des Kontoinhabers ab, und halten Sie Seriennummern aus öffentlichen Notizen heraus.

Auch die Plattform ändert die Regel. Cloud-, virtuelle und Software-Appliances erhalten eine Base-Lizenz ohne Ablaufdatum, während die Base-Lizenz einer Hardwareeinheit am Ende der Lebensdauer ausläuft. Eine ausgesetzte Registrierung ist ein dritter Zustand zwischen gültig und abgelaufen, und sie verdient dieselben Belege statt einer Vermutung.

Beweisen Sie die Route, bevor Sie die Lizenz beschuldigen

Beweisen Sie den Weiterleitungspfad unabhängig. Fragen Sie die Appliance, welche Route sie für das entfernte Präfix verwenden würde, und bestätigen Sie dann, dass die Sicherheitsrichtlinie diesen Verkehr auswählt und der Antwortpfad auf der Gegenseite existiert. Eine fehlende Route zum entfernten Präfix bleibt ein Routingproblem, so gesund die Lizenz auch sein mag.

ip route get 10.80.20.10

Die Gegenrichtung zählt genauso viel wie die Hinrichtung. Eine Filiale, die die Zentrale erreicht, aber nicht umgekehrt, hat eine Lücke bei Rückroute oder Richtlinie und keinen Fehler im Datenpfad. Erfassen Sie einen erlaubten Fluss in beide Richtungen, bevor Sie Schlüsse ziehen.

Führen Sie zwei Aufzeichnungen, damit die nächste Reparatur ehrlich bleibt

Führen Sie zwei getrennte Aufzeichnungen und datieren Sie beide. Die erste deckt den Anspruch ab: was die Lizenzseite zeigte, welches Abonnement galt und wann es synchronisiert wurde. Die zweite deckt die Weiterleitung ab: Präfixe, Routen, Sicherheitsassoziationen und Richtungszähler für einen Fluss. Ändert sich das Symptom nach einer Reparatur, zeigen die Aufzeichnungen, welche Erklärung tatsächlich zutraf.

ipsec status

Diese Disziplin zählt, weil eine Lizenzreparatur und eine Routenreparatur bei einem erfolgreichen Ping gleich aussehen. Wurden beide gleichzeitig geändert, wissen Sie, dass der Dienst funktioniert, und nichts darüber, warum er es nicht tat. Ändern Sie eine Sache, messen Sie denselben Fluss erneut, und der Leitfaden zum Ablauf klärt, was allein der Anspruch erklären kann.