Check Point VSX VPN: odabir veze ili nepodudarnost partnera?

Dvije različite promjene daju isti simptom kada se tunel od lokacije do lokacije u Check Pointu prestane dizati: partner vidi drugu vanjsku adresu ili odbija IKE identitet koji sada prima. Na snimci s jedne strane oboje izgleda isto. Da utvrdite koji od dva slučaja imate, potrebne su tri provjere i nijedna od njih nije ploča za odabir veze.

Ako pogriješite redoslijed, podešavate odabir izvora kako biste ispravili nepodudarnost identiteta. Tako se isti tunel ispravlja dvaput i ponovno pada nakon sljedeće promjene rute.

Tri uvjeta koja razdvajaju dva slučaja

Uvjet prvi: podudara li se konfigurirana krajnja točka partnera s adresom koja doista dolazi? Ako paketi dolaze do udaljenog pristupnika s adrese koju on ne povezuje s vašim partnerskim objektom, pregovaranje pada prije razmjene ikakvog identiteta. Uvjet drugi: podudara li se IKE identitet u prijedlogu s vrijednošću koju partner očekuje? To je autentifikacija, ne transport. Uvjet treći: je li opcija koju želite promijeniti podržana za ovaj virtualni sustav na ovom izdanju? Nijedna vidljiva postavka ne odgovara na ta pitanja.

Ako prvi uvjet ne prolazi, imate problem s usmjeravanjem ili prijevodom. Ako drugi ne prolazi, imate problem s ugovorom s partnerom. Ako je treći nepoznat, prestanite konfigurirati.

Najprije sastavite zapis o vanjskom partneru

Zapišite virtualni sustav, izdanje softvera i instaliranu razinu ažuriranja prije nego što bilo što dotaknete. Zatim zabilježite vanjska sučelja, rutu prema udaljenom partneru, očekivane izvorne adrese prije i poslije NAT-a te konfiguriranu krajnju točku udaljenog partnera.

Držite unutarnje zaštićene prefikse u odvojenom dijelu tog zapisa. Promjena vanjskog izvora i promjena zaštićene LAN adrese dvije su različite radnje koje slučajno žive u istoj politici.

Dodajte smjer svakoj snimci koju čuvate. Lokalno pokrenuto pregovaranje i odgovor udaljenom partneru mogu birati različito, pa je snimka bez oznake slab dokaz. Označite datoteku virtualnim sustavom i pokretačem.

Pročitajte što odabir veze zapravo razdvaja

Check Pointov vodič za odabir veze u R81.20 razdvaja tri stvari koje ljudi spajaju u jednu: kako udaljeni partner razrješava adresu pristupnika, koja ruta nosi odlazni promet i koja se izvorna IP adresa koristi. Svaka odgovara na drugo pitanje. Nijedna od njih ne mijenja identitet koji partner autentificira.

To razdvajanje objašnjava zašto promjena rute može promijeniti vidljivu vanjsku adresu bez diranja IKE identiteta i zašto promjena identiteta može slomiti tunel čije je usmjeravanje besprijekorno.

RFC 7296 povlači istu granicu za sam IKE: identifikacijski payload nije transportna adresa. Proizvođači primjenjuju tu podjelu, ne redefiniraju je.

Odlučujte dokazima, a ne pločom postavki

Ako partner prijavi nepoznat ili neusklađen identitet, ispravite partnerski objekt ili konfiguraciju identiteta, a ne odabir izvora. Ako partner ne prijavi ništa, a vaša snimka pokazuje pakete koji izlaze s neočekivane adrese, prvo ispravite usmjeravanje ili prijevod. Ako oboje izgleda ispravno, a tunel i dalje ne radi, snimite na udaljenoj strani i usporedite što je primila. Tek kada se adresa i identitet slažu, a put je i dalje pogrešan, opcija iz odabira veze postaje kandidat.

Prije konfiguriranja te opcije na VSX-u pribavite smjernice o podržanim značajkama za odgovarajuće izdanje ili izričitu izjavu proizvođača za kontekst virtualnog sustava. Starije izvješće da značajka nije bila dostupna je povijest, a ne trenutna zabrana, i ploča postavki nije izjava o podršci.

Uskladite oba kraja i sačuvajte zapis

Kada imate podržan dizajn, pregledajte vanjsku dostupnost, konfiguraciju partnerove krajnje točke i dogovor o identitetu zajedno, kao jedan ugovor. Zatim isplanirajte prihvat za tri slučaja: početnu vezu, vezu koju pokreće udaljena strana i kvar koji očekujete kada se put prekine.

Sačuvajte opažene vanjske adrese uz kontekst aktivnog virtualnog sustava. Sljedeća promjena rute tada se uspoređuje s dokumentiranim ugovorom, a ne s nečijim sjećanjem na zadanu vrijednost.