Check Point VSX VPN : sélection de lien ou inadéquation de pair ?

Deux modifications différentes produisent le même symptôme lorsqu'un tunnel site à site Check Point ne monte plus : le pair voit une autre adresse externe, ou il rejette l'identité IKE qu'il reçoit désormais. Sur une capture prise d'un seul côté, les deux se ressemblent. Décider laquelle des deux vous avez demande trois vérifications, et aucune d'elles n'est le panneau de sélection de lien.

Si vous vous trompez d'ordre, vous ajustez la sélection de source pour corriger une inadéquation d'identité. C'est ainsi qu'un même tunnel est réparé deux fois puis retombe en panne après le changement de route suivant.

Trois conditions qui séparent les deux cas

Première condition : le point de terminaison configuré du pair correspond-il à l'adresse qui arrive réellement ? Si les paquets atteignent la passerelle distante depuis une adresse qu'elle n'associe pas à votre objet pair, la négociation échoue avant tout échange d'identité. Deuxième condition : l'identité IKE de la proposition correspond-elle à la valeur attendue par le pair ? C'est de l'authentification, pas du transport. Troisième condition : l'option que vous voulez modifier est-elle prise en charge pour ce système virtuel sur cette version ? Aucun réglage visible ne répond à ces questions.

Si la première condition échoue, vous avez un problème de routage ou de traduction. Si la deuxième échoue, vous avez un problème de contrat de pair. Si la troisième est inconnue, arrêtez de configurer.

Établissez d'abord le relevé du pair externe

Notez le système virtuel, la version logicielle et le niveau de mise à jour installé avant de toucher à quoi que ce soit. Relevez ensuite les interfaces externes, la route vers le pair distant, les adresses source attendues avant et après le NAT, ainsi que le point de terminaison configuré du pair distant.

Gardez les préfixes protégés internes dans une partie distincte de ce relevé. Modifier une source externe et modifier une adresse de LAN protégée sont deux opérations différentes qui se trouvent par hasard dans la même politique.

Ajoutez le sens à chaque capture que vous conservez. Une négociation lancée localement et une réponse au pair distant peuvent choisir différemment, donc une capture non étiquetée est une preuve faible. Étiquetez le fichier avec le système virtuel et l'initiateur.

Lisez ce que la sélection de lien sépare réellement

Le guide Check Point de la sélection de lien en R81.20 sépare trois choses que l'on confond volontiers : la façon dont le pair distant résout une adresse de passerelle, la route qui transporte le trafic sortant et l'IP source utilisée. Chacune répond à une question différente. Aucune ne change l'identité que le pair authentifie.

Cette séparation explique pourquoi un changement de route peut modifier l'adresse externe visible sans toucher à l'identité IKE, et pourquoi un changement d'identité peut casser un tunnel dont le routage est parfait.

La RFC 7296 trace la même frontière pour IKE lui-même : la charge d'identification n'est pas l'adresse de transport. Les constructeurs mettent en œuvre cette séparation, ils ne la redéfinissent pas.

Décidez sur preuves, pas sur panneau de réglages

Si le pair signale une identité inconnue ou non concordante, corrigez l'objet pair ou la configuration d'identité, pas la sélection de source. Si le pair ne signale rien et que votre capture montre des paquets partant d'une adresse inattendue, corrigez d'abord le routage ou la traduction. Si les deux semblent corrects et que le tunnel échoue encore, capturez du côté distant et comparez ce qu'il a reçu. C'est seulement lorsque l'adresse et l'identité concordent et que le chemin reste faux qu'une option de sélection de lien devient candidate.

Avant de configurer cette option sur VSX, obtenez les indications relatives aux fonctions prises en charge de la version correspondante ou une déclaration explicite du constructeur pour le contexte du système virtuel. Un ancien rapport indiquant qu'une fonction n'était pas disponible relève de l'histoire et non d'une interdiction actuelle, et un panneau de réglages n'est pas une déclaration de support.

Réconciliez les deux extrémités et conservez le relevé

Une fois que vous disposez d'une conception prise en charge, examinez ensemble la joignabilité externe, la configuration du point de terminaison du pair et l'accord d'identité, comme un seul contrat. Planifiez ensuite la recette pour trois cas : la connexion initiale, la connexion lancée par le côté distant et la panne que vous attendez lorsque le chemin se rompt.

Conservez les adresses externes observées à côté du contexte du système virtuel actif. Le prochain changement de route se comparera alors à un contrat documenté plutôt qu'au souvenir que quelqu'un garde de la valeur par défaut.