Il VPN da sito a sito Sophos è attivo ma non passa traffico: licenza o rotta?

Stabilire un’associazione IPsec, vedere la rotta nella tabella e comunque andare in timeout dalla filiale è una combinazione nota su Sophos Firewall. Su Sophos Firewall quella combinazione ha almeno due spiegazioni ordinarie: una lacuna nell’inoltro, oppure una condizione della licenza Base che lascia il tunnel attivo mentre i dati smettono di passare. Producono sintomi quasi identici, quindi l’unico modo per venirne fuori è raccogliere prove indipendenti per ciascuna. Entrambe sono abbastanza comuni che nessuna delle due può essere data per scontata.

Un tunnel può essere attivo senza dati

Un’associazione IPsec è una relazione di sicurezza, non una promessa di inoltrare pacchetti. La fase 1 e la fase 2 possono completarsi mentre la politica che seleziona il traffico, la rotta verso il prefisso remoto o il percorso dati stesso sono sbagliati. La schermata del tunnel risponde a una domanda e lascia aperte le altre.

Cominciate col nominare quali prefissi devono attraversare e in quale direzione. Un tunnel senza traffico interessante appare come un tunnel rotto in una pagina di stato.

Che cosa copre la licenza Base

Sophos elenca il VPN sotto la licenza Base, separatamente da Network Protection e Central Orchestration. Un modulo opzionale scaduto è quindi un problema a sé e non una prova automatica che l’IPsec da sito a sito richieda un nuovo pacchetto a pagamento. Annotate il modello dell’appliance, la release, l’identità di registrazione e lo stato di Base Firewall. Poi riconciliate il tutto con i registri del titolare dell’account tramite il processo di licenza supportato, e tenete i numeri di serie fuori dalle note pubbliche.

Anche la piattaforma cambia la regola. Le appliance cloud, virtuali e software ricevono una licenza Base senza data di scadenza, mentre quella di un’unità hardware scade a fine vita. Una registrazione sospesa è un terzo stato tra valida e scaduta, e merita le stesse prove invece di una congettura.

Dimostrate la rotta prima di accusare la licenza

Dimostrate il percorso di inoltro in modo indipendente. Chiedete all’appliance quale rotta userebbe per il prefisso remoto, poi confermate che la politica di sicurezza seleziona quel traffico e che il percorso di ritorno esiste dall’altro lato. Una rotta mancante verso il prefisso remoto resta un problema di routing, per quanto sana sia la licenza.

ip route get 10.80.20.10

La direzione inversa conta quanto quella diretta. Una filiale che raggiunge la sede ma non il contrario ha una lacuna nella rotta di ritorno o nella politica, non un guasto del percorso dati. Catturate un flusso consentito in entrambe le direzioni prima di trarre conclusioni.

Tenete due registri perché la prossima correzione sia onesta

Tenete due registri separati e datateli. Il primo copre il diritto: che cosa mostrava la pagina di licenza, quale abbonamento si applicava e quando è stato sincronizzato. Il secondo copre l’inoltro: prefissi, rotte, associazioni di sicurezza e contatori direzionali per un flusso. Quando il sintomo cambia dopo una correzione, i registri mostrano quale spiegazione era davvero corretta.

ipsec status

Questa disciplina conta perché una riparazione di licenza e una riparazione di rotta sembrano identiche da un ping riuscito. Se entrambe sono state cambiate insieme, avete imparato che il servizio funziona e nulla sul perché non funzionasse. Cambiate una cosa, poi rimisurate lo stesso flusso, e la guida alla scadenza stabilisce che cosa il diritto da solo può spiegare.