Check Point VSX VPN: selección de enlace ou un desaxuste do par?

Dous cambios distintos producen o mesmo síntoma cando un túnel de sitio a sitio de Check Point deixa de levantarse: o par ve un enderezo externo diferente ou rexeita a identidade IKE que agora recibe. Nunha captura tomada desde un só lado, ambos parecen idénticos. Decidir cal dos dous tes require tres comprobacións, e ningunha delas é o panel de selección de enlace.

Se te equivocas na orde, axustas a selección de orixe para corrixir un desaxuste de identidade. Así é como o mesmo túnel se arranxa dúas veces e volve romper tras o seguinte cambio de ruta.

Tres condicións que separan os dous casos

Condición primeira: o extremo configurado do par coincide co enderezo que chega realmente? Se os paquetes chegan á pasarela remota desde un enderezo que esta non asocia co teu obxecto de par, a negociación falla antes de que se intercambie calquera identidade. Condición segunda: a identidade IKE da proposta coincide co valor que espera o par? Iso é autenticación, non transporte. Condición terceira: a opción que queres cambiar está admitida para este sistema virtual nesta versión? Ningún axuste visible responde a estas preguntas.

Se falla a primeira condición, tes un problema de encamiñamento ou de tradución. Se falla a segunda, tes un problema de contrato co par. Se a terceira é descoñecida, deixa de configurar.

Constrúe primeiro o rexistro do par externo

Anota o sistema virtual, a versión do software e o nivel de actualización instalado antes de tocar nada. Despois rexistra as interfaces externas, a ruta cara ao par remoto, os enderezos de orixe esperados antes e despois do NAT e o extremo configurado do par remoto.

Mantén os prefixos protexidos internos nunha parte separada dese rexistro. Cambiar unha orixe externa e cambiar un enderezo de LAN protexida son operacións distintas que casualmente viven na mesma política.

Engade a dirección a cada captura que conserves. Unha negociación iniciada localmente e unha resposta ao par remoto poden seleccionar de forma distinta, así que unha captura sen etiquetar é unha proba feble. Etiqueta o ficheiro co sistema virtual e o iniciador.

Le o que a selección de enlace separa realmente

A guía de Check Point sobre a selección de enlace en R81.20 separa tres cousas que a xente funde nunha: como resolve o par remoto un enderezo de pasarela, que ruta transporta o tráfico saínte e que IP de orixe se usa. Cada unha responde a unha pregunta distinta. Ningunha delas cambia a identidade que autentica o par.

Esa separación explica por que un cambio de ruta pode alterar o enderezo externo visible sen tocar a identidade IKE, e por que un cambio de identidade pode romper un túnel cuxo encamiñamento é perfecto.

O RFC 7296 traza a mesma liña para o propio IKE: a carga de identificación non é o enderezo de transporte. Os fabricantes implementan esa separación, non a redefinen.

Decide con probas, non co panel de axustes

Se o par informa dunha identidade descoñecida ou que non coincide, corrixe o obxecto de par ou a configuración de identidade, non a selección de orixe. Se o par non informa nada e a túa captura mostra paquetes que saen dun enderezo inesperado, corrixe primeiro o encamiñamento ou a tradución. Se ambos parecen correctos e o túnel segue fallando, captura no lado remoto e compara o que recibiu. Só cando o enderezo e a identidade coinciden e o camiño segue sendo incorrecto, unha opción de selección de enlace pasa a ser candidata.

Antes de configurar esa opción en VSX, obtén a guía de funcións admitidas da versión correspondente ou unha declaración explícita do fabricante para o contexto do sistema virtual. Un informe antigo de que unha función non estaba dispoñible é historia, non unha prohibición actual, e un panel de axustes non é unha declaración de soporte.

Concilia ambos os extremos e conserva o rexistro

Cando teñas un deseño admitido, revisa o alcance externo, a configuración do extremo do par e o acordo de identidade xuntos, como un só contrato. Despois planifica a aceptación para tres casos: a conexión inicial, a conexión iniciada polo lado remoto e o fallo que esperas cando se rompe o camiño.

Garda os enderezos externos observados xunto ao contexto do sistema virtual activo. Así, o seguinte cambio de ruta compárase cun contrato documentado en lugar de co recordo que alguén teña do valor por defecto.