ה-VPN בין אתרים של Sophos פעיל אך אין תעבורה: רישיון או מסלול?

הקמת שיוך IPsec, ראיית המסלול בטבלה ועדיין פקיעת זמן מהסניף היא שילוב מוכר ב-Sophos Firewall. ב-Sophos Firewall יש לשילוב הזה לפחות שני הסברים שגרתיים: פער בשינוע, או תנאי ברישיון Base שמשאיר את המנהרה פעילה בעוד הנתונים מפסיקים לעבור. הם מייצרים תסמינים כמעט זהים, ולכן הדרך היחידה היא לאסוף ראיות בלתי תלויות לכל אחד מהם. שניהם נפוצים דיים כך שאי אפשר להניח אף אחד מהם.

מנהרה יכולה להיות פעילה בלי נתונים

שיוך IPsec הוא יחסי אבטחה, לא הבטחה לשנע מנות. שלב 1 ושלב 2 יכולים להסתיים בעוד המדיניות שבוחרת את התעבורה, המסלול אל הקידומת המרוחקת או נתיב הנתונים עצמו שגויים. תצוגת המנהרה עונה על שאלה אחת ומשאירה את האחרות פתוחות.

התחילו בשמות אילו קידומות אמורות לעבור ובאיזה כיוון. מנהרה בלי תעבורה מעניינת נראית בעמוד מצב כמו מנהרה שבורה.

מה מכסה רישיון Base

Sophos מפרטת את ה-VPN תחת רישיון Base, בנפרד מ-Network Protection ומ-Central Orchestration. לכן מודול אופציונלי שפג תוקפו הוא בעיה בפני עצמה ואינו ראיה אוטומטית לכך ש-IPsec בין אתרים זקוק לחבילה בתשלום חדשה. רשמו את דגם ההתקן, את המהדורה, את זהות הרישום ואת מצב Base Firewall. לאחר מכן התאימו זאת לרשומות של בעל החשבון דרך תהליך הרישוי הנתמך, והרחיקו מספרים סידוריים מהערות פומביות.

הפלטפורמה משנה גם את הכלל. התקני ענן, וירטואליים ותוכנה מקבלים רישיון Base בלי תאריך תפוגה, ואילו רישיון Base של יחידת חומרה נגמר בסוף החיים. רישום מושהה הוא מצב שלישי בין תקף לפג, והוא ראוי לאותן ראיות ולא לניחוש.

הוכיחו את המסלול לפני שמאשימים את הרישיון

הוכיחו את נתיב השינוע באופן עצמאי. שאלו את ההתקן באיזה מסלול ישתמש לקידומת המרוחקת, ואז אשרו שהמדיניות הביטחונית בוחרת את התעבורה הזו ושנתיב התשובה קיים בצד השני. מסלול חסר אל הקידומת המרוחקת נשאר בעיית ניתוב, גם אם הרישיון בריא לחלוטין.

ip route get 10.80.20.10

הכיוון ההפוך חשוב לא פחות מהכיוון קדימה. לסניף שמגיע למטה אך לא להיפך יש פער בנתיב חזרה או במדיניות, ולא כשל בנתיב הנתונים. תעדו זרימה מורשית אחת בשני הכיוונים לפני שמסיקים מסקנות.

נהלו שני תיעודים כדי שהתיקון הבא יהיה כן

נהלו שני תיעודים נפרדים ותארכו אותם. הראשון מכסה את הזכאות: מה הציג עמוד הרישוי, איזה מינוי חל ומתי סונכרן. השני מכסה את השינוע: קידומות, מסלולים, שיוכי אבטחה ומוני כיוון עבור זרימה אחת. כשהתסמין משתנה אחרי תיקון, התיעודים מראים איזה הסבר היה נכון באמת.

ipsec status

המשמעת הזו חשובה כי תיקון רישיון ותיקון מסלול נראים זהים מפינג מוצלח. אם שינו את שניהם בבת אחת, למדתם שהשירות עובד ושום דבר על הסיבה שהוא לא עבד. שנו דבר אחד, ואז מדדו שוב את אותה זרימה, ואת מה שהזכאות לבדה יכולה להסביר יקבע מדריך התפוגה.