Check Point VSX VPN: lingi valik või partneri mittevastavus?

Kaks erinevat muudatust tekitavad sama sümptomi, kui Check Pointi saidi-tollisait tunnel enam ei tõuse: partner näeb teistsugust välist aadressit või lükkab tagasi IKE identiteedi, mille ta nüüd saab. Ühelt poolt tehtud salvestisel näevad mõlemad ühesugused välja. Selle kindlakstegemiseks, kumb neist teil on, on vaja kolme kontrolli ja ükski neist ei ole lingi valiku paneel.

Kui järjekord läheb sassi, hakkate allika valikut häälestama, et identiteedi mittevastavust parandada. Nii parandatakse sama tunnelit kaks korda ja see läheb järgmise marsruudimuudatuse järel uuesti katki.

Kolm tingimust, mis eristavad kahte juhtumit

Esimene tingimus: kas partneri konfigureeritud lõpp-punkt vastab aadressile, mis tegelikult saabub? Kui paketid jõuavad kauglüüsile aadressilt, mida see ei seosta teie partnerobjektiga, nurjub läbirääkimine enne mis tahes identiteedi vahetamist. Teine tingimus: kas ettepaneku IKE identiteet vastab väärtusele, mida partner ootab? See on autentimine, mitte transport. Kolmas tingimus: kas valik, mida soovite muuta, on selles versioonis selle virtuaalsüsteemi jaoks toetatud? Ükski nähtav säte ei vasta nendele küsimustele.

Kui esimene tingimus ei täitu, on teil marsruutimise või tõlke probleem. Kui teine ei täitu, on teil partnerlepingu probleem. Kui kolmas on teadmata, lõpetage konfigureerimine.

Koostage esmalt välispartneri kirje

Kirjutage üles virtuaalsüsteem, tarkvara versioon ja paigaldatud uuendustase, enne kui midagi puudutate. Seejärel kirjeldage välisliidesed, marsruut kaugpartneri poole, eeldatavad lähteaadressid enne ja pärast NAT-i ning kaugpartneri konfigureeritud lõpp-punkt.

Hoidke sisemised kaitstud prefiksid selle kirje eraldi osas. Välise allika muutmine ja kaitstud LAN-aadressi muutmine on erinevad toimingud, mis lihtsalt satuvad samasse poliitikasse.

Lisage igale säilitatavale salvestisele suund. Kohapeal algatatud läbirääkimine ja kaugpartnerile antav vastus võivad valida erinevalt, seega siltideta salvestis on nõrk tõend. Märkige faili virtuaalsüsteem ja algataja.

Lugege, mida lingi valik tegelikult eraldab

Check Pointi juhend lingi valiku kohta versioonis R81.20 eraldab kolm asja, mille inimesed üheks sulandavad: kuidas kaugpartner lüüsi aadressi lahendab, milline marsruut kannab väljuvat liiklust ja millist lähte-IP-d kasutatakse. Igaüks vastab erinevale küsimusele. Ükski neist ei muuda identiteeti, mida partner autendib.

See eraldamine selgitab, miks marsruudimuudatus võib nähtavat välist aadressi muuta ilma IKE identiteeti puutumata, ja miks identiteedimuudatus võib murda tunnelit, mille marsruutimine on laitmatu.

RFC 7296 tõmbab sama piiri IKE enda jaoks: identifitseerimise kasulik koormus ei ole transpordiaadress. Tootjad seda jaotust rakendavad, mitte ei määratle uuesti.

Otsustage tõendite, mitte seadete paneeli põhjal

Kui partner teatab tundmatust või sobimatust identiteedist, parandage partnerobjekti või identiteedi konfiguratsiooni, mitte allika valikut. Kui partner ei teata midagi ja teie salvestis näitab pakette ootamatult aadressilt, parandage esmalt marsruutimist või tõlget. Kui mõlemad näivad õiged ja tunnel ikka ei tõuse, salvestage kaugpool ja võrrelge, mida see vastu võttis. Alles siis, kui aadress ja identiteet klapivad ning tee on ikka vale, saab lingi valiku seadest kandidaat.

Enne selle seade konfigureerimist VSX-il hankige vastava versiooni toetatud funktsioonide juhis või tarnija selgesõnaline kinnitus virtuaalsüsteemi konteksti kohta. Vanem aruanne, et funktsioon polnud saadaval, on ajalugu, mitte kehtiv keeld, ja seadete paneel ei ole toeavaldus.

Viige mõlemad otsad kooskõlla ja hoidke kirjet

Kui teil on toetatud lahendus, vaadake väline kättesaadavus, partneri lõpp-punkti konfiguratsioon ja identiteedi kokkulepe koos üle ühe lepinguna. Seejärel planeerige vastuvõtt kolmeks juhtumiks: algne ühendus, kaugpoolt algatatud ühendus ja tõrge, mida ootate tee katkemisel.

Salvestage vaadeldud välised aadressid aktiivse virtuaalsüsteemi konteksti kõrvale. Siis võrdleb järgmine marsruudimuudatus dokumenteeritud lepinguga, mitte kellegi mäluga vaikeväärtusest.