Sophos site-nei-site VPN stiet oan mar der giet gjin ferkear troch: lisinsje of rûte?

In IPsec-assosjaasje opbouwe, de rûte yn de tabel sjen en dochs fan de filiaal út in time-out krije is in bekende kombinaasje op Sophos Firewall. Op Sophos Firewall hat dy kombinaasje teminsten twa gewoane ferklearrings: in gat yn it trochstjoeren, of in betingst fan de Base-lisinsje dy’t de tunnel oanhâldt wylst de gegevens ophâlde te passearjen. Se jouwe hast deselde symptomen, dat de iennichste wei der troch is om foar elk ûnôfhinklik bewiis te sammeljen. Beide binne sa gewoan dat gjinien fan beide oannaam wurde kin.

In tunnel kin oan wêze sûnder gegevens

In IPsec-assosjaasje is in feiligensrelaasje, gjin tasizzing om pakketten troch te stjoeren. Faze 1 en faze 2 kinne klear wurde wylst it belied dat ferkear kiest, de rûte nei it fiere prefiks of it gegevenspaad sels ferkeard is. It tunnelbyld beantwurdet ien fraach en lit de oaren iepen.

Begjin mei te neamen hokker prefiksen oergean moatte en yn hokker rjochting. In tunnel sûnder nijsgjirrich ferkear sjocht der op in statuspagina itselde út as in stikken tunnel.

Wat de Base-lisinsje beslacht

Sophos set VPN ûnder de Base-lisinsje, apart fan Network Protection en Central Orchestration. In ferfallen opsjonele module is dêrom in eigen probleem en net automatysk bewiis dat IPsec site-nei-site in nij betelle pakket nedich hat. Skriuw it model fan it apparaat, de ferzje, de registraasje-identiteit en de Base Firewall-status op. Ferlykje dat dan fia it stipe lisinsjeproses mei de records fan de accounteigner, en hâld searjenûmers bûten iepenbiere notysjes.

It platfoarm feroaret de regel ek. Cloud-, firtuele en software-apparaten krije in Base-lisinsje sûnder ferfaldatum, wylst de Base-lisinsje fan in hardware-ienheid op it ein fan de libbensdoer ôfrint. In opskoarte registraasje is in tredde steat tusken jildich en ferfallen, en dy fertsjinnet itselde bewiis ynstee fan in gissing.

Bewiis de rûte foardat jo de lisinsje de skuld jouwe

Bewiis it trochstjoerpaad ûnôfhinklik. Freegje it apparaat hokker rûte it foar it fiere prefiks brûke soe, en befêstigje dan dat it feiligensbelied dat ferkear kiest en dat it antwurdpaad oan de oare kant bestiet. In ûntbrekkende rûte nei it fiere prefiks bliuwt in routingprobleem, hoe sûn de lisinsje ek is.

ip route get 10.80.20.10

De tsjinoerstelde rjochting jildt likefolle as de rjochting foarút. In filiaal dy’t it haadkantoar berikke kin mar net oarsom hat in gat yn de weromrûte of it belied, net in steuring yn it gegevenspaad. Registrearje ien tastien stream yn beide rjochtingen foardat jo konklúzjes lûke.

Hâld twa records by sadat de folgjende reparaasje earlik is

Hâld twa aparte records by en jou se in datum. De earste beslacht it rjocht: wat de lisinsjepagina sjen liet, hokker abonnemint gou en wannear’t it syngronisearre waard. De twadde beslacht it trochstjoeren: prefiksen, rûtes, feiligensassosjaasjes en rjochtingsmjitters foar ien stream. As it symptoom nei in reparaasje feroaret, litte de records sjen hokker ferklearring echt goed wie.

ipsec status

Dy dissipline jildt, want in lisinsjereparaasje en in rûtereparaasje sjogge der itselde út fan in slagge ping. As beide tagelyk feroare binne, hawwe jo leard dat de tsjinst wurket en neat oer wêrom’t er dat net die. Feroarje ien ding, mjit dan deselde stream op ‘e nij, en it paad foar ferfal beslút wat it rjocht allinnich ferklearje kin.