Sophos-toimipaikkojen välinen VPN on ylhäällä mutta liikennettä ei kulje: lisenssi vai reitti?

IPsec-yhteyden muodostaminen, reitin näkeminen taulukossa ja silti aikakatkaisu sivukonttorista on tuttu yhdistelmä Sophos Firewallissa. Sophos Firewallissa tuolla yhdistelmällä on ainakin kaksi tavallista selitystä: aukko edelleenlähetyksessä tai Base-lisenssin ehto, joka pitää tunnelin ylhäällä samalla kun tiedot lakkaavat kulkemasta. Ne tuottavat lähes samat oireet, joten ainoa tapa päästä eteenpäin on kerätä riippumattomat todisteet kummastakin. Molemmat ovat riittävän yleisiä, ettei kumpaakaan voi olettaa.

Tunneli voi olla ylhäällä ilman tietoja

IPsec-yhteys on turvasuhde, ei lupaus välittää paketteja. Vaihe 1 ja vaihe 2 voivat valmistua, vaikka liikennettä valitseva käytäntö, reitti etäprefiksiin tai itse datapolku olisi väärä. Tunnelin näyttö vastaa yhteen kysymykseen ja jättää muut avoimiksi.

Aloita nimeämällä, mitkä prefiksit kulkevat ja mihin suuntaan. Tunneli ilman kiinnostavaa liikennettä näyttää tilasivulla samalta kuin rikkinäinen tunneli.

Mitä Base-lisenssi kattaa

Sophos listaa VPN:n Base-lisenssin alle, erillään Network Protectionista ja Central Orchestrationista. Siksi vanhentunut valinnainen moduuli on oma ongelmansa eikä automaattinen todiste siitä, että toimipaikkojen väliseen IPsec-yhteyteen tarvitaan uusi maksullinen paketti. Kirjaa laitteen malli, julkaisu, rekisteröintitunnus ja Base Firewallin tila. Sitten täsmäytä se tukiasiakkaan omistajan tietueisiin tuetun lisensointiprosessin kautta ja pidä sarjanumerot poissa julkisista muistiinpanoista.

Alusta muuttaa sääntöä myös. Pilvi-, virtuaali- ja ohjelmistolaitteet saavat Base-lisenssin ilman vanhenemispäivää, kun taas laitteistoratkaisun Base-lisenssi päättyy käyttöiän lopussa. Keskeytetty rekisteröinti on kolmas tila voimassa olevan ja vanhentuneen välissä, ja se ansaitsee samat todisteet arvauksen sijaan.

Todista reitti ennen kuin syytät lisenssiä

Todista edelleenlähetyksen polku riippumattomasti. Kysy laitteelta, mitä reittiä se käyttäisi etäprefiksiin, ja vahvista sitten, että turvakäytäntö valitsee kyseisen liikenteen ja että vastauspolku on olemassa toisella puolella. Puuttuva reitti etäprefiksiin pysyy reititysongelmana, oli lisenssi miten terve tahansa.

ip route get 10.80.20.10

Vastakkaisella suunnalla on yhtä paljon merkitystä kuin eteenpäin menevällä. Sivukonttorilla, joka tavoittaa pääkonttorin mutta ei päinvastoin, on aukko paluureitissä tai käytännössä, ei datapolun vika. Tallenna yksi sallittu virtaus molempiin suuntiin ennen johtopäätöksiä.

Pidä kahta kirjausta, jotta seuraava korjaus on rehellinen

Pidä kahta erillistä kirjausta ja päivää ne. Ensimmäinen kattaa oikeuden: mitä lisenssisivu näytti, mikä tilaus oli voimassa ja milloin se synkronoitiin. Toinen kattaa edelleenlähetyksen: prefiksit, reitit, turvayhteydet ja suuntakohtaiset laskurit yhtä virtausta varten. Kun oire muuttuu korjauksen jälkeen, kirjaukset osoittavat, mikä selitys oli todella oikea.

ipsec status

Tällä kurilla on merkitystä, koska lisenssin korjaus ja reitin korjaus näyttävät samoilta onnistuneesta pingistä. Jos molemmat muutettiin kerralla, opit että palvelu toimii, etkä mitään siitä, miksi se ei toiminut. Muuta yhtä asiaa, mittaa sitten sama virtaus uudelleen, ja vanhenemisopas ratkaisee, mitä pelkkä oikeus voi selittää.