Check Point VSX VPN: linkin valinta vai kumppanin yhteensopimattomuus?

Kaksi eri muutosta tuottaa saman oireen, kun Check Pointin toimipaikkojen välinen tunneli ei enää nouse: kumppani näkee eri ulkoisen osoitteen tai hylkää IKE-identiteetin, jonka se nyt saa. Yhdeltä puolelta otetussa tallenteessa molemmat näyttävät samalta. Sen ratkaiseminen, kumpi tapaus sinulla on, vaatii kolme tarkistusta, eikä mikään niistä ole linkin valinnan paneeli.

Jos järjestys menee väärin, säädät lähteen valintaa korjataksesi identiteetin yhteensopimattomuuden. Näin sama tunneli korjataan kahdesti ja hajoaa taas seuraavan reittimuutoksen jälkeen.

Kolme ehtoa, jotka erottavat kaksi tapausta

Ehto yksi: vastaako kumppanin määritetty päätepiste osoitetta, joka todella saapuu? Jos paketit saapuvat etäyhdyskäytävälle osoitteesta, jota se ei yhdistä kumppaniobjektiisi, neuvottelu epäonnistuu ennen kuin mitään identiteettiä vaihdetaan. Ehto kaksi: vastaako ehdotuksen IKE-identiteetti arvoa, jota kumppani odottaa? Se on todennus, ei siirto. Ehto kolme: onko muutettava asetus tuettu tälle virtuaalijärjestelmälle tässä versiossa? Mikään näkyvä asetus ei vastaa näihin kysymyksiin.

Jos ehto yksi ei täyty, sinulla on reititys- tai käännösongelma. Jos ehto kaksi ei täyty, sinulla on kumppanisopimuksen ongelma. Jos ehto kolme on tuntematon, lopeta määrittäminen.

Rakenna ensin ulkoisen kumppanin kirjaus

Kirjoita virtuaalijärjestelmä, ohjelmistoversio ja asennettu päivitystaso muistiin ennen kuin kosket mihinkään. Kirjaa sitten ulkoiset liitännät, reitti etäkumppania kohti, odotetut lähdeosoitteet ennen NATia ja sen jälkeen sekä etäkumppanin määritetty päätepiste.

Pidä sisäiset suojatut etuliitteet erillisessä osassa tätä kirjausta. Ulkoisen lähteen muuttaminen ja suojatun LAN-osoitteen muuttaminen ovat eri toimintoja, jotka sattuvat elämään samassa käytännössä.

Lisää suunta jokaiseen tallenteeseen, jonka säilytät. Paikallisesti aloitettu neuvottelu ja etäkumppanille annettu vastaus voivat valita eri tavoin, joten merkitsemätön tallenne on heikko todiste. Merkitse tiedosto virtuaalijärjestelmällä ja aloittajalla.

Lue, mitä linkin valinta todella erottaa

Check Pointin ohje linkin valinnasta versiossa R81.20 erottaa kolme asiaa, jotka ihmiset sulauttavat yhdeksi: miten etäkumppani selvittää yhdyskäytävän osoitteen, mikä reitti kuljettaa lähtevän liikenteen ja mitä lähde-IP:tä käytetään. Kukin vastaa eri kysymykseen. Mikään niistä ei muuta identiteettiä, jonka kumppani todentaa.

Tämä erottelu selittää, miksi reittimuutos voi muuttaa näkyvää ulkoista osoitetta koskematta IKE-identiteettiin, ja miksi identiteettimuutos voi rikkoa tunnelin, jonka reititys on moitteeton.

RFC 7296 vetää saman rajan IKE:lle itselleen: tunnistuksen hyötykuorma ei ole siirto-osoite. Valmistajat toteuttavat tämän jaon, eivät määrittele sitä uudelleen.

Päätä todisteilla, älä asetuspaneelilla

Jos kumppani ilmoittaa tuntemattomasta tai sopimattomasta identiteetistä, korjaa kumppaniobjekti tai identiteetin määritys, älä lähteen valintaa. Jos kumppani ei ilmoita mitään ja tallenteesi näyttää paketteja odottamattomasta osoitteesta, korjaa ensin reititys tai käännös. Jos molemmat näyttävät oikeilta ja tunneli epäonnistuu silti, tallenna etäpuolella ja vertaa, mitä se vastaanotti. Vasta kun osoite ja identiteetti täsmäävät ja polku on yhä väärä, linkin valinnan asetuksesta tulee ehdokas.

Ennen kuin määrität tämän asetuksen VSX:llä, hanki vastaavan version tuettujen ominaisuuksien ohjeistus tai toimittajan nimenomainen lausunto virtuaalijärjestelmän kontekstista. Vanhempi raportti ominaisuuden puuttumisesta on historiaa, ei nykyinen kielto, eikä asetuspaneeli ole tuki-ilmoitus.

Sovita molemmat päät yhteen ja säilytä kirjaus

Kun sinulla on tuettu suunnitelma, käy läpi ulkoinen tavoitettavuus, kumppanin päätepisteen määritys ja identiteettisopimus yhdessä yhtenä sopimuksena. Suunnittele sitten hyväksyntä kolmelle tapaukselle: ensimmäinen yhteys, etäpuolen aloittama yhteys ja se vika, jonka odotat polun katketessa.

Tallenna havaitut ulkoiset osoitteet aktiivisen virtuaalijärjestelmän kontekstin viereen. Silloin seuraava reittimuutos vertaa dokumentoituun sopimukseen eikä jonkun muistikuvaan oletusarvosta.