Check Point VSX VPN: επιλογή ζεύξης ή αναντιστοιχία ομότιμου;

Δύο διαφορετικές αλλαγές παράγουν το ίδιο σύμπτωμα όταν μια σήραγγα Check Point από τοποθεσία σε τοποθεσία σταματά να σηκώνεται: το ομότιμο βλέπει διαφορετική εξωτερική διεύθυνση ή απορρίπτει την ταυτότητα IKE που λαμβάνει τώρα. Σε μια καταγραφή από τη μία πλευρά και τα δύο μοιάζουν ίδια. Για να αποφασίσετε ποια περίπτωση έχετε χρειάζονται τρεις έλεγχοι, και κανένας τους δεν είναι ο πίνακας επιλογής ζεύξης.

Αν μπερδέψετε τη σειρά, ρυθμίζετε την επιλογή πηγής για να διορθώσετε μια αναντιστοιχία ταυτότητας. Έτσι η ίδια σήραγγα διορθώνεται δύο φορές και σπάει ξανά μετά την επόμενη αλλαγή διαδρομής.

Τρεις συνθήκες που χωρίζουν τις δύο περιπτώσεις

Συνθήκη πρώτη: ταιριάζει το ρυθμισμένο τελικό σημείο του ομότιμου με τη διεύθυνση που φτάνει πραγματικά; Αν τα πακέτα φτάνουν στην απομακρυσμένη πύλη από διεύθυνση που εκείνη δεν συνδέει με το αντικείμενο ομότιμου σας, η διαπραγμάτευση αποτυγχάνει πριν ανταλλαγεί οποιαδήποτε ταυτότητα. Συνθήκη δεύτερη: ταιριάζει η ταυτότητα IKE στην πρόταση με την τιμή που περιμένει το ομότιμο; Αυτό είναι πιστοποίηση, όχι μεταφορά. Συνθήκη τρίτη: είναι η επιλογή που θέλετε να αλλάξετε υποστηριζόμενη για αυτό το εικονικό σύστημα σε αυτή την έκδοση; Καμία ορατή ρύθμιση δεν απαντά σε αυτά τα ερωτήματα.

Αν αποτύχει η πρώτη συνθήκη, έχετε πρόβλημα δρομολόγησης ή μετάφρασης. Αν αποτύχει η δεύτερη, έχετε πρόβλημα συμβολαίου με το ομότιμο. Αν η τρίτη είναι άγνωστη, σταματήστε τη διαμόρφωση.

Χτίστε πρώτα το αρχείο του εξωτερικού ομότιμου

Σημειώστε το εικονικό σύστημα, την έκδοση λογισμικού και το εγκατεστημένο επίπεδο ενημέρωσης πριν αγγίξετε οτιδήποτε. Μετά καταγράψτε τις εξωτερικές διεπαφές, τη διαδρομή προς το απομακρυσμένο ομότιμο, τις αναμενόμενες διευθύνσεις πηγής πριν και μετά το NAT, και το ρυθμισμένο τελικό σημείο του απομακρυσμένου ομότιμου.

Κρατήστε τα εσωτερικά προστατευμένα προθέματα σε ξεχωριστό μέρος αυτού του αρχείου. Η αλλαγή μιας εξωτερικής πηγής και η αλλαγή μιας προστατευμένης διεύθυνσης LAN είναι διαφορετικές ενέργειες που τυχαίνει να ζουν στην ίδια πολιτική.

Προσθέστε κατεύθυνση σε κάθε καταγραφή που κρατάτε. Μια τοπικά αρχόμενη διαπραγμάτευση και μια απάντηση προς το απομακρυσμένο ομότιμο μπορεί να επιλέξουν διαφορετικά, οπότε μια καταγραφή χωρίς σήμανση είναι αδύναμη απόδειξη. Σημάνετε το αρχείο με το εικονικό σύστημα και τον εκκινητή.

Διαβάστε τι πραγματικά χωρίζει η επιλογή ζεύξης

Ο οδηγός Check Point για την επιλογή ζεύξης στο R81.20 χωρίζει τρία πράγματα που οι άνθρωποι τα συγχωνεύουν σε ένα: πώς το απομακρυσμένο ομότιμο επιλύει μια διεύθυνση πύλης, ποια διαδρομή μεταφέρει την εξερχόμενη κίνηση και ποια διεύθυνση IP πηγής χρησιμοποιείται. Κάθε ένα απαντά σε διαφορετικό ερώτημα. Κανένα τους δεν αλλάζει την ταυτότητα που πιστοποιεί το ομότιμο.

Αυτός ο διαχωρισμός εξηγεί γιατί μια αλλαγή διαδρομής μπορεί να αλλάξει την ορατή εξωτερική διεύθυνση χωρίς να αγγίξει την ταυτότητα IKE, και γιατί μια αλλαγή ταυτότητας μπορεί να σπάσει μια σήραγγα της οποίας η δρομολόγηση είναι άψογη.

Το RFC 7296 χαράζει την ίδια γραμμή για το ίδιο το IKE: το ωφέλιμο φορτίο αναγνώρισης δεν είναι η διεύθυνση μεταφοράς. Οι κατασκευαστές υλοποιούν αυτόν τον διαχωρισμό, δεν τον επαναπροσδιορίζουν.

Αποφασίστε με αποδείξεις, όχι με τον πίνακα ρυθμίσεων

Αν το ομότιμο αναφέρει άγνωστη ή μη ταιριαστή ταυτότητα, διορθώστε το αντικείμενο ομότιμου ή τη διαμόρφωση ταυτότητας, όχι την επιλογή πηγής. Αν το ομότιμο δεν αναφέρει τίποτα και η καταγραφή σας δείχνει πακέτα να φεύγουν από απρόσμενη διεύθυνση, διορθώστε πρώτα τη δρομολόγηση ή τη μετάφραση. Αν και τα δύο φαίνονται σωστά και η σήραγγα εξακολουθεί να αποτυγχάνει, καταγράψτε στην απομακρυσμένη πλευρά και συγκρίνετε τι έλαβε. Μόνο όταν διεύθυνση και ταυτότητα συμφωνούν και η διαδρομή παραμένει λάθος γίνεται μια επιλογή ζεύξης υποψήφια.

Πριν διαμορφώσετε αυτή την επιλογή στο VSX, πάρτε την καθοδήγηση υποστηριζόμενων λειτουργιών της αντίστοιχης έκδοσης ή ρητή δήλωση του προμηθευτή για το πλαίσιο του εικονικού συστήματος. Μια παλαιότερη αναφορά ότι μια λειτουργία δεν ήταν διαθέσιμη είναι ιστορία, όχι τρέχουσα απαγόρευση, και ένας πίνακας ρυθμίσεων δεν είναι δήλωση υποστήριξης.

Εναρμονίστε τα δύο άκρα και κρατήστε το αρχείο

Μόλις έχετε ένα υποστηριζόμενο σχέδιο, εξετάστε την εξωτερική προσβασιμότητα, τη διαμόρφωση του τελικού σημείου ομότιμου και τη συμφωνία ταυτότητας μαζί, ως ένα συμβόλαιο. Στη συνέχεια σχεδιάστε την αποδοχή για τρεις περιπτώσεις: την αρχική σύνδεση, τη σύνδεση που ξεκινά η απομακρυσμένη πλευρά και την αποτυχία που περιμένετε όταν σπάσει η διαδρομή.

Αποθηκεύστε τις παρατηρούμενες εξωτερικές διευθύνσεις δίπλα στο πλαίσιο του ενεργού εικονικού συστήματος. Έτσι η επόμενη αλλαγή διαδρομής συγκρίνεται με ένα τεκμηριωμένο συμβόλαιο και όχι με την ανάμνηση κάποιου για την προεπιλογή.