Check Point VSX VPN: hivatkozásválasztás vagy partner-eltérés?

Két különböző változtatás ugyanazt a tünetet okozza, amikor egy Check Point telephelyek közötti alagút már nem jön fel: a partner más külső címet lát, vagy elutasítja azt az IKE-identitást, amelyet most kap. Az egyik oldalról készült felvételen mindkettő azonosnak látszik. Annak eldöntéséhez, melyik eset áll fenn, három ellenőrzés kell, és egyik sem a hivatkozásválasztás panelje.

Ha rossz a sorrend, a forrásválasztást hangolja, hogy kijavítson egy identitás-eltérést. Így ugyanaz az alagút kétszer javul meg, és a következő útvonalváltozás után újra elromlik.

Három feltétel, amely elválasztja a két esetet

Első feltétel: a partner beállított végpontja megegyezik-e azzal a címmel, amely ténylegesen megérkezik? Ha a csomagok olyan címről érkeznek a távoli átjáróhoz, amelyet az nem társít a partnerobjektumához, a tárgyalás még az identitáscsere előtt meghiúsul. Második feltétel: a javaslatban szereplő IKE-identitás megegyezik-e a partner által várt értékkel? Ez hitelesítés, nem átvitel. Harmadik feltétel: a módosítani kívánt beállítás támogatott-e ehhez a virtuális rendszerhez ezen a kiadáson? Egyetlen látható beállítás sem válaszol ezekre a kérdésekre.

Ha az első feltétel nem teljesül, útvonal- vagy fordítási problémája van. Ha a második nem teljesül, partnerszerződés-problémája van. Ha a harmadik ismeretlen, hagyja abba a konfigurálást.

Először a külső partner nyilvántartását készítse el

Mielőtt bármihez hozzányúlna, írja fel a virtuális rendszert, a szoftverkiadást és a telepített frissítési szintet. Ezután rögzítse a külső interfészeket, a távoli partner felé vezető útvonalat, a NAT előtti és utáni várt forráscímeket, valamint a távoli partner beállított végpontját.

Tartsa a belső védett előtagokat a nyilvántartás külön részében. A külső forrás módosítása és a védett LAN-cím módosítása két különböző művelet, amelyek véletlenül ugyanabban a házirendben élnek.

Adjon irányt minden megőrzött felvételhez. A helyben kezdeményezett tárgyalás és a távoli partnernek adott válasz eltérően választhat, ezért a címkézetlen felvétel gyenge bizonyíték. Címkézze a fájlt a virtuális rendszerrel és a kezdeményezővel.

Olvassa el, mit választ el valójában a hivatkozásválasztás

A Check Point R81.20-as hivatkozásválasztási útmutatója három dolgot választ el, amelyeket az emberek egybe szoktak vonni: hogyan oldja fel a távoli partner az átjáró címét, melyik útvonal viszi a kimenő forgalmat, és melyik forrás-IP-t használja. Mindegyik más kérdésre válaszol. Egyik sem változtatja meg azt az identitást, amelyet a partner hitelesít.

Ez az elválasztás magyarázza, miért változtathatja meg egy útvonalváltozás a látható külső címet anélkül, hogy hozzányúlna az IKE-identitáshoz, és miért törhet el egy identitásváltozás egy olyan alagutat, amelynek az útvonalválasztása kifogástalan.

Az RFC 7296 ugyanezt a határvonalat húzza meg magára az IKE-re: az azonosító adat nem az átviteli cím. A gyártók megvalósítják ezt a felosztást, nem újradefiniálják.

Bizonyítékok alapján döntsön, ne a beállítási panel alapján

Ha a partner ismeretlen vagy nem egyező identitást jelent, a partnerobjektumot vagy az identitáskonfigurációt javítsa, ne a forrásválasztást. Ha a partner semmit sem jelent, és a felvétele azt mutatja, hogy a csomagok váratlan címről indulnak, először az útvonalválasztást vagy a fordítást javítsa. Ha mindkettő helyesnek látszik, és az alagút mégsem jön fel, készítsen felvételt a távoli oldalon, és hasonlítsa össze, mit kapott. Csak akkor lesz egy hivatkozásválasztási beállítás jelölt, ha a cím és az identitás egyezik, és az útvonal továbbra is hibás.

Mielőtt ezt a beállítást VSX-en konfigurálja, szerezze be a megfelelő kiadás támogatott funkciókra vonatkozó útmutatását vagy a gyártó kifejezett nyilatkozatát a virtuális rendszer kontextusára. Egy régebbi jelentés arról, hogy egy funkció nem volt elérhető, történelem, nem jelenlegi tilalom, és a beállítási panel nem támogatási nyilatkozat.

Hangolja össze a két végét, és őrizze meg a nyilvántartást

Amint van támogatott terve, vizsgálja át együtt a külső elérhetőséget, a partner végpontjának konfigurációját és az identitásmegállapodást, egyetlen szerződésként. Ezután tervezze meg az átvételt három esetre: a kezdeti kapcsolatra, a távoli fél által kezdeményezett kapcsolatra és arra a hibára, amelyet az útvonal megszakadásakor vár.

Mentse a megfigyelt külső címeket az aktív virtuális rendszer kontextusa mellé. A következő útvonalváltozás így egy dokumentált szerződéshez hasonlítja magát, nem pedig valakinek az alapértékre vonatkozó emlékezetéhez.