Check Point VSX VPN: estekaren hautaketa edo parearen desadostasuna?

Bi aldaketa desberdinek sintoma bera sortzen dute Check Pointeko gune arteko tunel bat altxatzeari uzten dionean: pareak kanpoko helbide desberdin bat ikusten du, edo orain jasotzen duen IKE identitatea baztertzen du. Alde batetik hartutako harrapaketa batean biak berdinak dirudite. Zein duzun erabakitzeko hiru egiaztapen behar dira, eta horietako bat ere ez da estekaren hautaketaren panela.

Ordena gaizki hartzen baduzu, iturburuaren hautaketa doitzen duzu identitatearen desadostasuna konpontzeko. Horrela tunel bera bi aldiz konpontzen da eta hurrengo bide aldaketaren ostean berriro hausten da.

Bi kasuak bereizten dituzten hiru baldintza

Lehen baldintza: parearen konfiguratutako muturrak benetan iristen den helbidearekin bat egiten du? Paketeak urruneko atebidera iristen badira zure pare objektuarekin lotzen ez duen helbide batetik, negoziazioa huts egiten du edozein identitate trukatu aurretik. Bigarren baldintza: proposameneko IKE identitatea pareak espero duen balioarekin bat egiten du? Hori autentifikazioa da, ez garraioa. Hirugarren baldintza: aldatu nahi duzun aukera sistema birtual honetarako onartuta dago bertsio honetan? Ikusgai dagoen ezarpen batek ere ez du erantzuten galdera horiei.

Lehen baldintzak huts egiten badu, bideratze edo itzulpen arazoa duzu. Bigarrenak huts egiten badu, parearekin duzun kontratu arazoa duzu. Hirugarrena ezezaguna bada, utzi konfiguratzen.

Eraiki lehenik kanpoko parearen erregistroa

Idatzi sistema birtuala, software bertsioa eta instalatutako eguneratze maila ezer ukitu aurretik. Ondoren erregistratu kanpoko interfazeak, urruneko parearekiko bidea, NAT aurretik eta ondoren espero diren iturburu helbideak, eta urruneko parearen konfiguratutako muturra.

Eduki barneko prefijo babestuak erregistro horren atal bereizi batean. Kanpoko iturburu bat aldatzea eta LAN helbide babestu bat aldatzea eragiketa desberdinak dira, politika berean bizi direnak kasualitatez.

Gehitu noranzkoa gordetzen duzun harrapaketa bakoitzari. Tokian abiatutako negoziazio batek eta urruneko pareari emandako erantzunak desberdin hautatu dezakete, beraz etiketatu gabeko harrapaketa ebidentzia ahula da. Etiketatu fitxategia sistema birtualarekin eta abiarazlearekin.

Irakurri estekaren hautaketak benetan zer bereizten duen

Check Pointek R81.20ko estekaren hautaketari buruzko gidak jendeak batera uzten dituen hiru gauza bereizten ditu: urruneko pareak nola ebazten duen atebidearen helbidea, zein bidek eramaten duen irteerako trafikoa eta zein iturburu IP erabiltzen den. Bakoitzak galdera desberdin bati erantzuten dio. Horietako batek ere ez du aldatzen pareak autentifikatzen duen identitatea.

Bereizketa horrek azaltzen du zergatik bide aldaketa batek kanpoko helbide ikusgai aldatu dezakeen IKE identitatea ukitu gabe, eta zergatik identitate aldaketa batek bideratze ezin hobea duen tunel bat hauts dezakeen.

RFC 7296k muga bera marrazten du IKErentzat berarentzat: identifikazio karga ez da garraio helbidea. Hornitzaileek bereizketa hori ezartzen dute, ez dute berdefinitzen.

Erabaki ebidentziekin, ez ezarpenen panelarekin

Pareak identitate ezezagun edo bat ez datorren baten berri ematen badu, konpondu pare objektua edo identitatearen konfigurazioa, ez iturburuaren hautaketa. Pareak ezer jakinarazten ez badu eta zure harrapaketak paketeak ustekabeko helbide batetik irteten erakusten baditu, konpondu lehenengo bideratzea edo itzulpena. Biak zuzenak badirudite eta tunelak oraindik huts egiten badu, harrapatu urruneko aldean eta erkatu zer jaso zuen. Helbidea eta identitatea bat datozenean eta bidea oraindik okerra denean soilik bihurtzen da estekaren hautaketaren aukera bat hautagai.

VSXn aukera hori konfiguratu aurretik, lortu dagokion bertsioaren onartutako eginbideen gida edo hornitzailearen berariazko adierazpena sistema birtualaren testuingururako. Eginbide bat erabilgarri ez zegoela zioen txosten zaharra historia da, ez oraingo debekua, eta ezarpenen panela ez da sostengu adierazpena.

Adiskidetu bi muturrak eta gorde erregistroa

Onartutako diseinu bat duzunean, berrikusi kanpoko irisgarritasuna, parearen muturraren konfigurazioa eta identitatearen akordioa elkarrekin, kontratu bakar gisa. Ondoren planifikatu onarpena hiru kasuetarako: hasierako konexioa, urruneko aldeak abiatutako konexioa eta bidea haustean espero duzun hutsegitea.

Gorde behatutako kanpoko helbideak sistema birtual aktiboaren testuinguruaren ondoan. Orduan hurrengo bide aldaketak dokumentatutako kontratu batekin alderatuko du, ez norbaitek balio lehenetsiari buruz duen oroitzapenarekin.