Το VPN τοποθεσίας-σε-τοποθεσία Sophos είναι ενεργό αλλά δεν περνά κίνηση: άδεια ή διαδρομή;

Η δημιουργία συσχέτισης IPsec, η εμφάνιση της διαδρομής στον πίνακα και παρ’ όλα αυτά η λήξη χρόνου από το υποκατάστημα είναι ένας γνωστός συνδυασμός στο Sophos Firewall. Στο Sophos Firewall αυτός ο συνδυασμός έχει τουλάχιστον δύο συνηθισμένες εξηγήσεις: ένα κενό στην προώθηση ή μια συνθήκη της άδειας Base που αφήνει τη σήραγγα ενεργή ενώ τα δεδομένα σταματούν να περνούν. Παράγουν σχεδόν όμοια συμπτώματα, επομένως ο μόνος τρόπος να προχωρήσετε είναι να συλλέξετε ανεξάρτητα στοιχεία για καθένα. Και τα δύο είναι αρκετά συνηθισμένα ώστε κανένα να μην μπορεί να θεωρηθεί δεδομένο.

Μια σήραγγα μπορεί να είναι ενεργή χωρίς δεδομένα

Μια συσχέτιση IPsec είναι σχέση ασφάλειας, όχι υπόσχεση προώθησης πακέτων. Η φάση 1 και η φάση 2 μπορούν να ολοκληρωθούν ενώ η πολιτική που επιλέγει την κίνηση, η διαδρομή προς το απομακρυσμένο πρόθεμα ή η ίδια η διαδρομή δεδομένων είναι λανθασμένη. Η οθόνη της σήραγγας απαντά σε μία ερώτηση και αφήνει τις υπόλοιπες ανοιχτές.

Ξεκινήστε ονομάζοντας ποια προθέματα πρέπει να διασχίσουν και προς ποια κατεύθυνση. Μια σήραγγα χωρίς ενδιαφέρουσα κίνηση μοιάζει σε μια σελίδα κατάστασης με χαλασμένη σήραγγα.

Τι καλύπτει η άδεια Base

Η Sophos κατατάσσει το VPN στην άδεια Base, χωριστά από το Network Protection και το Central Orchestration. Έτσι, μια ληγμένη προαιρετική μονάδα είναι δικό της πρόβλημα και όχι αυτόματη απόδειξη ότι το IPsec τοποθεσίας-σε-τοποθεσία χρειάζεται νέο πληρωμένο πακέτο. Καταγράψτε το μοντέλο της συσκευής, την έκδοση, την ταυτότητα καταχώρισης και την κατάσταση του Base Firewall. Έπειτα συμβιβάστε τα με τα αρχεία του κατόχου του λογαριασμού μέσω της υποστηριζόμενης διαδικασίας αδειοδότησης και κρατήστε τους σειριακούς αριθμούς έξω από δημόσιες σημειώσεις.

Η πλατφόρμα αλλάζει επίσης τον κανόνα. Οι συσκευές cloud, εικονικές και λογισμικού λαμβάνουν άδεια Base χωρίς ημερομηνία λήξης, ενώ η άδεια Base μιας μονάδας υλικού λήγει στο τέλος της ζωής της. Μια ανασταλμένη καταχώριση είναι τρίτη κατάσταση μεταξύ έγκυρης και ληγμένης και αξίζει τα ίδια στοιχεία αντί για εικασία.

Αποδείξτε τη διαδρομή πριν κατηγορήσετε την άδεια

Αποδείξτε τη διαδρομή προώθησης ανεξάρτητα. Ρωτήστε τη συσκευή ποια διαδρομή θα χρησιμοποιούσε για το απομακρυσμένο πρόθεμα και μετά επιβεβαιώστε ότι η πολιτική ασφάλειας επιλέγει αυτή την κίνηση και ότι η διαδρομή απάντησης υπάρχει στην άλλη πλευρά. Μια διαδρομή που λείπει προς το απομακρυσμένο πρόθεμα παραμένει πρόβλημα δρομολόγησης, όσο υγιής κι αν είναι η άδεια.

ip route get 10.80.20.10

Η αντίστροφη κατεύθυνση μετρά όσο και η εμπρόσθια. Ένα υποκατάστημα που φτάνει στα κεντρικά αλλά όχι αντίστροφα έχει κενό στη διαδρομή επιστροφής ή στην πολιτική, όχι αστοχία στη διαδρομή δεδομένων. Καταγράψτε μία επιτρεπόμενη ροή και προς τις δύο κατευθύνσεις πριν βγάλετε συμπεράσματα.

Κρατήστε δύο αρχεία ώστε η επόμενη διόρθωση να είναι έντιμη

Κρατήστε δύο χωριστά αρχεία και χρονολογήστε τα. Το πρώτο καλύπτει το δικαίωμα: τι έδειχνε η σελίδα αδειοδότησης, ποια συνδρομή ίσχυε και πότε συγχρονίστηκε. Το δεύτερο καλύπτει την προώθηση: προθέματα, διαδρομές, συσχετίσεις ασφάλειας και κατευθυντικούς μετρητές για μία ροή. Όταν το σύμπτωμα αλλάξει μετά από διόρθωση, τα αρχεία δείχνουν ποια εξήγηση ήταν πραγματικά σωστή.

ipsec status

Αυτή η πειθαρχία μετρά, γιατί μια επισκευή άδειας και μια επισκευή διαδρομής φαίνονται ίδιες από ένα επιτυχημένο ping. Αν άλλαξαν και τα δύο ταυτόχρονα, μάθατε ότι η υπηρεσία λειτουργεί και τίποτα για το γιατί δεν λειτουργούσε. Αλλάξτε ένα πράγμα, μετά μετρήστε ξανά την ίδια ροή, και ο οδηγός λήξης καθορίζει τι μπορεί να εξηγήσει μόνο το δικαίωμα.