Sophos VPN inter ejoj funkcias sed neniu trafiko pasas: permesilo aŭ vojo?

Starigi IPsec-asocion, vidi la vojon en la tabelo kaj tamen fini per tempolimo el la filio estas konata kombinaĵo en Sophos Firewall. En Sophos Firewall tiu kombinaĵo havas almenaŭ du ordinarajn klarigojn: mankon en la plusendado, aŭ kondiĉon de la Base-permesilo kiu lasas la tunelon aktiva dum la datumoj ĉesas pasi. Ili produktas preskaŭ identajn simptomojn, do la sola maniero trapasi estas kolekti sendependajn pruvojn por ĉiu el ili. Ambaŭ estas sufiĉe oftaj ke neniu el ili povas esti supozata.

Tunelo povas esti aktiva sen datumoj

IPsec-asocio estas sekureca rilato, ne promeso plusendi pakaĵojn. Fazoj 1 kaj 2 povas finiĝi dum la politiko kiu elektas trafikon, la vojo al la fora prefikso aŭ la datuma vojo mem estas malĝusta. La tunela montraĵo respondas unu demandon kaj lasas la aliajn malfermaj.

Komencu nomante kiuj prefiksoj devus trapasi kaj en kiun direkton. Tunelo sen interesa trafiko aspektas same kiel rompita tunelo sur stata paĝo.

Kion kovras la Base-permesilo

Sophos listigas VPN sub la Base-permesilo, aparte de Network Protection kaj Central Orchestration. Kaduka laŭvola modulo do estas propra problemo kaj ne aŭtomata pruvo ke IPsec inter ejoj bezonas novan pagatan pakaĵon. Notu la modelon de la aparato, la eldonon, la registran identecon kaj la staton de Base Firewall. Poste kongruigu tion kun la rikordoj de la konta posedanto per la subtenata permesila procezo, kaj tenu serinumerojn ekster publikaj notoj.

La platformo ankaŭ ŝanĝas la regulon. Nubaj, virtualaj kaj programaj aparatoj ricevas Base-permesilon sen findato, dum la Base-permesilo de aparatuma unuo finiĝas je la fino de la vivo. Suspendita registrado estas tria stato inter valida kaj kaduka, kaj ĝi meritas la saman pruvon anstataŭ konjekton.

Pruvu la vojon antaŭ ol kulpigi la permesilon

Pruvu la plusendan vojon sendepende. Demandu la aparaton kiun vojon ĝi uzus por la fora prefikso, poste konfirmu ke la sekureca politiko elektas tiun trafikon kaj ke la responda vojo ekzistas aliflanke. Mankanta vojo al la fora prefikso restas enkursiga problemo, kiom ajn sana estas la permesilo.

ip route get 10.80.20.10

La inversa direkto gravas same kiel la antaŭena. Filio kiu povas atingi la sidejon sed ne inverse havas mankon en la revena vojo aŭ en la politiko, ne fiaskon de la datuma vojo. Registru unu permesitan fluon en ambaŭ direktoj antaŭ ol fari konkludojn.

Tenu du rikordojn por ke la sekva riparo estu honesta

Tenu du apartajn rikordojn kaj datu ilin. La unua kovras la rajton: kion montris la permesila paĝo, kiu abono validis kaj kiam ĝi sinkroniĝis. La dua kovras la plusendadon: prefiksoj, vojoj, sekurecaj asocioj kaj direktaĵaj nombriloj por unu fluo. Kiam la simptomo ŝanĝiĝas post riparo, la rikordoj montras kiun klarigon efektive ĝustis.

ipsec status

Tiu disciplino gravas ĉar permesila riparo kaj voja riparo aspektas identaj ekde sukcesa ping. Se ambaŭ estis ŝanĝitaj samtempe, vi lernis ke la servo funkcias kaj nenion pri kial ĝi ne funkciis. Ŝanĝu unu aferon, poste remezuru la saman fluon, kaj la gvidilo pri findato decidas kion nur la rajto povas klarigi.