Le VPN site à site Sophos est monté mais aucun trafic ne passe : licence ou route ?

Établir une association IPsec, voir la route dans la table et malgré tout expirer depuis l’agence est une combinaison courante sur Sophos Firewall. Sur Sophos Firewall, cette combinaison a au moins deux explications ordinaires : une lacune dans le transfert, ou une condition de la licence Base qui maintient le tunnel monté pendant que les données cessent de passer. Les deux produisent des symptômes presque identiques, aussi le seul moyen de trancher est-il de réunir des preuves indépendantes pour chacune. Toutes deux sont assez fréquentes pour qu’aucune ne puisse être supposée.

Un tunnel peut être monté sans données

Une association IPsec est une relation de sécurité, pas une promesse de transmettre des paquets. La phase 1 et la phase 2 peuvent aboutir alors que la politique qui sélectionne le trafic, la route vers le préfixe distant ou le chemin de données lui-même sont faux. L’affichage du tunnel répond à une question et laisse les autres ouvertes.

Commencez par nommer quels préfixes doivent traverser et dans quel sens. Un tunnel sans trafic intéressant ressemble à un tunnel cassé sur une page d’état.

Ce que couvre la licence Base

Sophos classe le VPN sous la licence Base, séparément de Network Protection et de Central Orchestration. Un module optionnel expiré est donc son propre problème et non la preuve automatique que l’IPsec site à site exige un nouveau pack payant. Notez le modèle de l’appliance, la version, l’identité d’enregistrement et l’état de Base Firewall. Rapprochez ensuite cela des registres du titulaire du compte via le processus de licence pris en charge, et gardez les numéros de série hors des notes publiques.

La plateforme change aussi la règle. Les appliances cloud, virtuelles et logicielles reçoivent une licence Base sans date d’expiration, tandis que celle d’une unité matérielle s’arrête en fin de vie. Un enregistrement suspendu est un troisième état entre valide et expiré, et il mérite les mêmes preuves plutôt qu’une conjecture.

Prouvez la route avant d’accuser la licence

Prouvez le chemin de transfert de façon indépendante. Demandez à l’appliance quelle route elle utiliserait pour le préfixe distant, puis confirmez que la politique de sécurité sélectionne ce trafic et que le chemin de retour existe de l’autre côté. Une route absente vers le préfixe distant reste un problème de routage, aussi saine que soit la licence.

ip route get 10.80.20.10

Le sens inverse compte autant que le sens aller. Une agence qui joint le siège mais pas l’inverse a une lacune de route de retour ou de politique, pas une panne du chemin de données. Capturez un flux autorisé dans les deux sens avant de conclure.

Tenez deux registres pour que la prochaine correction soit honnête

Tenez deux registres distincts et datez-les. Le premier couvre le droit : ce que montrait la page de licence, quel abonnement s’appliquait et quand il a été synchronisé. Le second couvre le transfert : préfixes, routes, associations de sécurité et compteurs directionnels pour un flux. Quand le symptôme change après une correction, les registres montrent quelle explication était réellement la bonne.

ipsec status

Cette discipline compte parce qu’une réparation de licence et une réparation de route se ressemblent depuis un ping réussi. Si les deux ont été modifiées en même temps, vous avez appris que le service fonctionne et rien sur la raison pour laquelle il ne fonctionnait pas. Changez une chose, remesurez ce même flux, et le guide d’expiration tranche ce que le droit seul peut expliquer.