Sophos site-to-site VPN on üleval, kuid liiklust ei liigu: litsents või marsruut?

IPsec-assotsiatsiooni loomine, marsruudi nägemine tabelis ja sellest hoolimata harukontorist aegumine on Sophos Firewallis tuttav kombinatsioon. Sophos Firewallis on sellel kombinatsioonil vähemalt kaks tavalist seletust: lünk edasisaatmises või Base-litsentsi tingimus, mis jätab tunneli üles, samal ajal kui andmed lakkavad läbimast. Need tekitavad peaaegu identsed sümptomid, seega ainus tee on koguda igaühe kohta sõltumatud tõendid. Mõlemad on piisavalt tavalised, et kumbagi ei saa eeldada.

Tunnel võib olla üleval ilma andmeteta

IPsec-assotsiatsioon on turvasuhe, mitte lubadus pakette edasi saata. Faas 1 ja faas 2 võivad lõppeda, samal ajal kui liiklust valiv poliitika, marsruut kaugprefiksini või andmetee ise on vale. Tunneli kuva vastab ühele küsimusele ja jätab teised lahtiseks.

Alustage sellest, et nimetage, millised prefiksid peaksid ületama ja mis suunas. Tunnel ilma huvitava liikluseta näeb olekulehel välja sama nagu katkine tunnel.

Mida Base-litsents katab

Sophos loetleb VPN-i Base-litsentsi all, eraldi Network Protectionist ja Central Orchestrationist. Seega on aegunud valikmoodul omaette probleem, mitte automaatne tõend selle kohta, et saidiülesele IPsec-ile on vaja uut tasulist paketti. Kirjutage üles seadme mudel, väljalase, registreerimise identiteet ja Base Firewalli olek. Seejärel viige see toetatud litsentsimisprotsessi kaudu vastavusse kontoomaniku kirjetega ja hoidke seerianumbrid avalikest märkmetest väljas.

Platvorm muudab ka reeglit. Pilve-, virtuaal- ja tarkvaraseadmed saavad Base-litsentsi ilma aegumiskuupäevata, samas kui riistvaraüksuse Base-litsents lõpeb eluea lõpus. Peatatud registreerimine on kolmas olek kehtiva ja aegunud vahel ning see väärib samu tõendeid, mitte oletust.

Tõestage marsruut, enne kui litsentsi süüdistate

Tõestage edasisaatmise tee iseseisvalt. Küsige seadmelt, millist marsruuti see kaugprefiksi jaoks kasutaks, seejärel kinnitage, et turbepoliitika valib selle liikluse ja et vastusetee on teisel pool olemas. Puuduv marsruut kaugprefiksini jääb marsruutimisprobleemiks, ükskõik kui terve litsents on.

ip route get 10.80.20.10

Vastassuund loeb sama palju kui edasisuund. Harukontoril, mis jõuab peakontorisse, kuid mitte vastupidi, on lünk tagasitee marsruudis või poliitikas, mitte andmetee rike. Enne järelduste tegemist jäädvustage üks lubatud voog mõlemas suunas.

Pidage kahte kirjet, et järgmine parandus oleks aus

Pidage kahte eraldi kirjet ja dateerige need. Esimene katab õiguse: mida litsentsileht näitas, milline tellimus kehtis ja millal see sünkrooniti. Teine katab edasisaatmise: prefiksid, marsruudid, turvaassotsiatsioonid ja suunapõhised loendurid ühe voo kohta. Kui sümptom pärast parandust muutub, näitavad kirjed, milline seletus tegelikult õige oli.

ipsec status

See distsipliin loeb, sest litsentsi parandus ja marsruudi parandus näevad edukast pingist ühesugused välja. Kui mõlemad muudeti korraga, olete õppinud, et teenus töötab, ja mitte midagi sellest, miks see ei töötanud. Muutke üht asja, seejärel mõõtke sama voogu uuesti, ja aegumisjuhend otsustab, mida üksi õigus seletada suudab.