Check Point VSX VPN: pemilihan tautan atau ketidakcocokan peer?

Dua perubahan berbeda menghasilkan gejala yang sama ketika terowongan situs-ke-situs Check Point berhenti muncul: peer melihat alamat eksternal yang berbeda, atau menolak identitas IKE yang kini diterimanya. Pada tangkapan paket dari satu sisi, keduanya tampak identik. Untuk memutuskan mana yang Anda hadapi diperlukan tiga pemeriksaan, dan tidak satu pun berupa panel pemilihan tautan.

Jika urutannya salah, Anda menyetel pemilihan sumber untuk memperbaiki ketidakcocokan identitas. Begitulah terowongan yang sama diperbaiki dua kali dan rusak lagi setelah perubahan rute berikutnya.

Tiga syarat yang memisahkan kedua kasus

Syarat pertama: apakah titik akhir yang dikonfigurasi pada peer cocok dengan alamat yang benar-benar tiba? Jika paket mencapai gateway jauh dari alamat yang tidak diasosiasikan olehnya dengan objek peer Anda, negosiasi gagal sebelum ada identitas yang dipertukarkan. Syarat kedua: apakah identitas IKE dalam proposal cocok dengan nilai yang diharapkan peer? Itu autentikasi, bukan transportasi. Syarat ketiga: apakah opsi yang ingin Anda ubah didukung untuk sistem virtual ini pada rilis ini? Tidak ada pengaturan yang terlihat yang menjawab pertanyaan-pertanyaan itu.

Jika syarat pertama gagal, Anda punya masalah perutean atau terjemahan. Jika syarat kedua gagal, Anda punya masalah kontrak dengan peer. Jika syarat ketiga tidak diketahui, hentikan konfigurasi.

Susun dulu catatan peer eksternal

Tuliskan sistem virtual, rilis perangkat lunak, dan tingkat pembaruan yang terpasang sebelum menyentuh apa pun. Lalu catat antarmuka eksternal, rute menuju peer jauh, alamat sumber yang diharapkan sebelum dan sesudah NAT, serta titik akhir yang dikonfigurasi pada peer jauh.

Simpan prefiks terlindungi bagian dalam pada bagian terpisah dari catatan itu. Mengubah sumber eksternal dan mengubah alamat LAN terlindungi adalah dua operasi berbeda yang kebetulan berada dalam kebijakan yang sama.

Tambahkan arah pada setiap tangkapan yang Anda simpan. Negosiasi yang dimulai secara lokal dan balasan kepada peer jauh dapat memilih secara berbeda, jadi tangkapan tanpa label adalah bukti lemah. Beri label berkas dengan sistem virtual dan pemrakarsa.

Baca apa yang sebenarnya dipisahkan pemilihan tautan

Panduan Check Point tentang pemilihan tautan pada R81.20 memisahkan tiga hal yang orang gabungkan menjadi satu: bagaimana peer jauh menyelesaikan alamat gateway, rute mana yang membawa lalu lintas keluar, dan alamat IP sumber mana yang dipakai. Masing-masing menjawab pertanyaan berbeda. Tidak satu pun mengubah identitas yang diautentikasi peer.

Pemisahan itulah yang menjelaskan mengapa perubahan rute dapat mengubah alamat eksternal yang terlihat tanpa menyentuh identitas IKE, dan mengapa perubahan identitas dapat memutus terowongan yang peruteannya sempurna.

RFC 7296 menarik garis yang sama untuk IKE sendiri: muatan identifikasi bukanlah alamat transportasi. Vendor mengimplementasikan pemisahan itu, bukan mendefinisikannya ulang.

Putuskan dengan bukti, bukan dengan panel pengaturan

Jika peer melaporkan identitas yang tidak dikenal atau tidak cocok, perbaiki objek peer atau konfigurasi identitas, bukan pemilihan sumber. Jika peer tidak melaporkan apa pun dan tangkapan Anda menunjukkan paket keluar dari alamat yang tak terduga, perbaiki perutean atau terjemahan lebih dulu. Jika keduanya tampak benar dan terowongan tetap gagal, tangkap di sisi jauh dan bandingkan apa yang diterimanya. Hanya ketika alamat dan identitas sepakat sedangkan jalurnya masih salah, sebuah opsi pemilihan tautan menjadi kandidat.

Sebelum mengonfigurasi opsi itu di VSX, dapatkan panduan fitur yang didukung untuk rilis yang sesuai atau pernyataan tegas dari vendor untuk konteks sistem virtual. Laporan lama bahwa suatu fitur tidak tersedia adalah sejarah, bukan larangan saat ini, dan panel pengaturan bukan pernyataan dukungan.

Selaraskan kedua ujung dan simpan catatannya

Setelah memiliki desain yang didukung, tinjau keterjangkauan eksternal, konfigurasi titik akhir peer, dan kesepakatan identitas bersama-sama, sebagai satu kontrak. Lalu rencanakan penerimaan untuk tiga kasus: koneksi awal, koneksi yang dimulai sisi jauh, dan kegagalan yang Anda harapkan saat jalur terputus.

Simpan alamat eksternal yang diamati di samping konteks sistem virtual yang aktif. Perubahan rute berikutnya kemudian membandingkan dengan kontrak yang terdokumentasi, bukan dengan ingatan seseorang tentang nilai bawaan.