Check Point VSX VPN: ĉu elektado de ligilo aŭ miskongruo de samtavolo?
Registru la eksteran adreson, la identecon IKE, la tradukon kaj la subtenatan funkciparon antaŭ ol tuŝi elektadon de ligilo ĉe Check Point VSX-enirejo.
Du malsamaj ŝanĝoj produktas la saman simptomon kiam Check Point-tunelo inter du ejoj ĉesas leviĝi: la samtavolo vidas alian eksteran adreson, aŭ ĝi rifuzas la identecon IKE kiun ĝi nun ricevas. Sur kaptaĵo el unu flanko ili aspektas identaj. Por decidi kiun vi havas, necesas tri kontroloj, kaj neniu el ili estas la panelo de elektado de ligilo.
Se vi eraras pri la ordo, vi agordas elekton de fonto por ripari miskongruon de identeco. Tiel la sama tunelo ripariĝas dufoje kaj rompiĝas denove post la sekva itinŝanĝo.
Tri kondiĉoj kiuj apartigas la du kazojn
Kondiĉo unua: ĉu la agordita finpunkto de la samtavolo kongruas kun la adreso kiu efektive alvenas? Se pakaĵoj atingas la malproksiman enirejon el adreso kiun ĝi ne asocias kun via samtavola objekto, la intertraktado malsukcesas antaŭ ol iu ajn identeco interŝanĝiĝas. Kondiĉo dua: ĉu la identeco IKE en la propono kongruas kun la valoro kiun la samtavolo atendas? Tio estas aŭtentikigo, ne transporto. Kondiĉo tria: ĉu la opcio kiun vi volas ŝanĝi estas subtenata por ĉi tiu virtuala sistemo en ĉi tiu eldono? Neniu videbla agordo respondas iun el tiuj demandoj.
Se la unua kondiĉo malsukcesas, vi havas itineran aŭ tradukan problemon. Se la dua malsukcesas, vi havas problemon pri la samtavola kontrakto. Se la tria estas nekonata, ĉesu agordi.
Unue konstruu la registron de la ekstera samtavolo
Skribu la virtualan sistemon, la softvaran eldonon kaj la instalitan ĝisdatigan nivelon antaŭ ol tuŝi ion ajn. Poste registru la eksterajn interfacojn, la itineron al la malproksima samtavolo, la atendatajn fontadresojn antaŭ kaj post NAT, kaj la agorditan finpunkton de la malproksima samtavolo.
Tenadu la internajn protektitajn prefiksojn en aparta parto de tiu registro. Ŝanĝi eksteran fonton kaj ŝanĝi protektitan LAN-adreson estas malsamaj operacioj kiuj hazarde loĝas en la sama politiko.
Aldonu direkton al ĉiu kaptaĵo kiun vi konservas. Loke iniciatita intertraktado kaj respondo al la malproksima samtavolo povas elekti malsame, do kaptaĵo sen etikedo estas malforta pruvo. Etikedu la dosieron per la virtuala sistemo kaj la iniciatinto.
Legu kion elektado de ligilo efektive apartigas
La gvidilo de Check Point pri elektado de ligilo en R81.20 apartigas tri aferojn kiujn homoj kunfandas en unu: kiel la malproksima samtavolo solvas enirejan adreson, kiu itinero portas la elirantan trafikon, kaj kiu fonta IP estas uzata. Ĉiu respondas al malsama demando. Neniu el ili ŝanĝas la identecon kiun la samtavolo aŭtentikigas.
Tiu apartigo klarigas kial itinŝanĝo povas ŝanĝi la videblan eksteran adreson sen tuŝi la identecon IKE, kaj kial identecŝanĝo povas rompi tunelon kies itinado estas perfekta.
RFC 7296 desegnas la saman limon por IKE mem: la identiga ŝarĝo ne estas la transporta adreso. Vendistoj implementas tiun apartigon, ili ne redefinas ĝin.
Decidu per pruvoj, ne per la agorda panelo
Se la samtavolo raportas nekonatan aŭ malkongruan identecon, ripari la samtavolan objekton aŭ la identecan agordon, ne la elekton de fonto. Se la samtavolo raportas nenion kaj via kaptaĵo montras pakaĵojn elirantajn el neatendita adreso, unue ripari itinadon aŭ tradukon. Se ambaŭ aspektas ĝustaj kaj la tunelo ankoraŭ malsukcesas, kaptu ĉe la malproksima flanko kaj komparu kion ĝi ricevis. Nur kiam adreso kaj identeco kongruas kaj la vojo ankoraŭ malĝustas, iu opcio de elektado de ligilo fariĝas kandidato.
Antaŭ ol agordi tiun opcion ĉe VSX, akiru la gvidadon pri subtenataj funkcioj de la koncerna eldono aŭ eksplicitan deklaron de la vendisto por la kunteksto de la virtuala sistemo. Pli malnova raporto ke funkcio ne haveblis estas historio, ne nuna malpermeso, kaj agorda panelo ne estas subtena deklaro.
Harmonigu ambaŭ finojn kaj konservu la registron
Kiam vi havas subtenatan dezajnon, revizuu eksteran atingeblon, la agordon de la samtavola finpunkto kaj la identecan interkonsenton kune, kiel unu kontrakton. Poste planu akcepton por tri kazoj: la komenca konekto, konekto iniciatita de la malproksima flanko, kaj la fiasko kiun vi atendas kiam la vojo rompiĝas.
Konservu la observitajn eksterajn adresojn apud la kunteksto de la aktiva virtuala sistemo. Tiam la sekva itinŝanĝo kompariĝos kun dokumentita kontrakto anstataŭ kun ies memoro pri la defaŭlto.