O VPN de sitio a sitio de Sophos está activo pero non pasa tráfico: licenza ou ruta?

Establecer unha asociación IPsec, ver a ruta na táboa e aínda así sufrir un tempo de espera esgotado desde a sucursal é unha combinación habitual en Sophos Firewall. En Sophos Firewall esa combinación ten polo menos dúas explicacións correntes: unha lagoa no reenvío ou unha condición da licenza Base que mantén o túnel activo mentres os datos deixan de pasar. Ambas producen síntomas case idénticos, así que a única forma de saír é reunir probas independentes para cada unha. As dúas son o bastante frecuentes como para que ningunha poida darse por suposta.

Un túnel pode estar activo sen datos

Unha asociación IPsec é unha relación de seguridade, non unha promesa de reenviar paquetes. A fase 1 e a fase 2 poden completarse mentres a política que selecciona o tráfico, a ruta cara ao prefixo remoto ou o propio camiño de datos son incorrectos. A pantalla do túnel responde unha pregunta e deixa as outras abertas.

Comece por nomear que prefixos deben cruzar e en que dirección. Un túnel sen tráfico interesante vese igual que un túnel roto nunha páxina de estado.

Que cobre a licenza Base

Sophos inclúe a VPN baixo a licenza Base, separada de Network Protection e Central Orchestration. Un módulo opcional caducado é, por tanto, un problema propio e non unha proba automática de que o IPsec de sitio a sitio necesite un paquete de pago novo. Anote o modelo do aparello, a versión, a identidade de rexistro e o estado de Base Firewall. Despois concilie iso cos rexistros do titular da conta mediante o proceso de licenzas admitido, e manteña os números de serie fóra das notas públicas.

A plataforma tamén cambia a regra. Os aparellos na nube, virtuais e de software obteñen unha licenza Base sen data de caducidade, mentres que a licenza Base dunha unidade de hardware remata ao final da vida útil. Un rexistro suspendido é un terceiro estado entre válido e caducado, e merece as mesmas probas en lugar dunha conxectura.

Demostre a ruta antes de culpar a licenza

Demostre o camiño de reenvío de forma independente. Pregunte ao aparello que ruta usaría para o prefixo remoto e logo confirme que a política de seguridade selecciona ese tráfico e que o camiño de resposta existe no outro lado. Unha ruta ausente cara ao prefixo remoto segue sendo un problema de encamiñamento, por san que estea a licenza.

ip route get 10.80.20.10

A dirección inversa importa tanto como a directa. Unha sucursal que alcanza a central pero non ao revés ten unha lagoa na ruta de volta ou na política, non un fallo do camiño de datos. Capture un fluxo permitido en ambas as direccións antes de sacar conclusións.

Manteña dous rexistros para que a próxima reparación sexa honesta

Manteña dous rexistros separados e datados. O primeiro cobre o dereito: que mostraba a páxina de licenzas, que subscrición se aplicaba e cando se sincronizou. O segundo cobre o reenvío: prefixos, rutas, asociacións de seguridade e contadores direccionais para un fluxo. Cando o síntoma cambia tras unha reparación, os rexistros mostran que explicación era realmente correcta.

ipsec status

Esa disciplina importa porque unha reparación de licenza e unha reparación de ruta vense idénticas desde un ping correcto. Se se cambiaron ambas á vez, aprendeu que o servizo funciona e nada sobre por que non o facía. Cambie unha cousa, volva medir ese mesmo fluxo, e a guía de caducidade resolve que pode explicar o dereito por si só.