Check Point VSX VPN: keppelkar of in pear-misferhâlding?

Twa ferskillende feroaringen jouwe itselde symptoom as in Check Point-tunnel tusken twa lokaasjes net mear omheech komt: de pear sjocht in oar ekstern adres, of hy wiist de IKE-identiteit ôf dy't er no krijt. Op in opname fan ien kant lykje se itselde. Om te bepalen hokker fan de twa jo hawwe, binne trije kontrôles nedich, en gjin fan dy is it paniel foar keppelkar.

Krijt jo de oarder ferkeard, dan stelle jo de boarnkar yn om in misferhâlding yn identiteit te reparearjen. Sa wurdt deselde tunnel twa kear reparearre en brekt er wer nei de folgjende rûteferoaring.

Trije betingsten dy't de beide gefallen skiede

Betingst ien: komt it konfigurearre einpunt fan 'e pear oerien mei it adres dat echt oankomt? As pakketten it fiere gateway berikke fan in adres dat it net mei jo pear-objekt ferbynt, mislearret de ûnderhanneling foar't der ek mar ien identiteit útwiksele wurdt. Betingst twa: komt de IKE-identiteit yn it foarstel oerien mei de wearde dy't de pear ferwachtet? Dat is autentikaasje, gjin transport. Betingst trije: is de opsje dy't jo feroarje wolle stipe foar dit firtuele systeem op dizze ferzje? Gjin sichtbere ynstelling beantwurdet ien fan dy fragen.

As betingst ien mislearret, hawwe jo in rûte- of oersettingsprobleem. As betingst twa mislearret, hawwe jo in probleem mei it pear-kontrakt. As betingst trije ûnbekend is, stopje dan mei konfigurearjen.

Bou earst it register fan 'e eksterne pear

Skriuw it firtuele systeem, de softwareferzje en it ynstallearre bywurkingsnivo op foardat jo wat oanreitsje. Registrearje dan de eksterne ynterfaces, de rûte nei de fiere pear, de ferwachte boarne-adressen foar en nei NAT, en it konfigurearre einpunt fan 'e fiere pear.

Hâld de ynnere beskerme prefiksen yn in apart diel fan dat register. In eksterne boarne feroarje en in beskerme LAN-adres feroarje binne ferskillende operaasjes dy't tafallich yn itselde belied libje.

Foegje rjochting ta oan elke opname dy't jo bewarje. In lokaal begûn ûnderhanneling en in antwurd oan 'e fiere pear kinne oars selektearje, dat in opname sûnder label is swak bewiis. Label it bestân mei it firtuele systeem en de inisjatyfnimmer.

Lês wat keppelkar echt skiedt

De hantlieding fan Check Point oer keppelkar yn R81.20 skiedt trije dingen dy't minsken ta ien gearfoegje: hoe't de fiere pear in gateway-adres oplost, hokker rûte it útgeande ferkear draacht, en hokker boarne-IP brûkt wurdt. Elk beantwurdet in oare fraach. Gjin fan dy feroaret de identiteit dy't de pear autentisearret.

Dy skieding ferklearret wêrom't in rûteferoaring it sichtbere eksterne adres feroarje kin sûnder de IKE-identiteit oan te reitsjen, en wêrom't in identiteitsferoaring in tunnel brekke kin waans rûtebepaling perfekt is.

RFC 7296 lûkt deselde grins foar IKE sels: de identifikaasje-lading is net it transportadres. Leveransiers ymplementearje dy splitsing, se definiearje dy net opnij.

Beslis mei bewiis, net mei it ynstellingspaniel

As de pear in ûnbekende of net oerienkommende identiteit rapportearret, reparearje dan it pear-objekt of de identiteitskonfiguraasje, net de boarnkar. As de pear neat rapportearret en jo opname lit sjen dat pakketten fan in ûnferwachte adres ôfgeane, reparearje dan earst rûtebepaling of oersetting. As beide goed lykje en de tunnel dochs mislearret, meitsje dan in opname oan 'e fiere kant en fergelykje wat dy ûntfong. Pas as adres en identiteit oerienkomme en it paad noch ferkeard is, wurdt in opsje foar keppelkar in kandidaat.

Foardat jo dy opsje op VSX konfigurearje, krije dan de lieding oer stipe funksjes fan 'e oerienkommende ferzje of in eksplisite ferklearring fan 'e leveransier foar de kontekst fan it firtuele systeem. In âlder rapport dat in funksje net beskikber wie, is skiednis, gjin aktueel ferbod, en in ynstellingspaniel is gjin stipeferklearring.

Ferbine beide einen en hâld it register

As jo ienris in stipe ûntwerp hawwe, besjoch dan eksterne berikberens, de konfiguraasje fan it pear-einpunt en de identiteitsoerienkomst tegearre, as ien kontrakt. Plan dan de akseptaasje foar trije gefallen: de earste ferbining, in ferbining dy't fan 'e fiere kant begûn is, en de flater dy't jo ferwachtsje as it paad brekt.

Bewarje de waarnommen eksterne adressen njonken de kontekst fan it aktive firtuele systeem. Dan fergeliket de folgjende rûteferoaring mei in dokumintearre kontrakt ynstee fan mei immen syn oantins oan 'e standertwearde.