Sophosのサイト間VPNは起動しているのに通信が流れない：ライセンスかルートか

IPsecアソシエーションを確立し、テーブルにルートが見えているのに支店からはタイムアウトするのは、Sophos Firewallでよくある組み合わせです。Sophos Firewallでは、その組み合わせに少なくとも二つのありふれた説明があります。転送の抜けか、Baseライセンスの条件がトンネルを起動したままデータの通過を止めているかです。症状はほぼ同じなので、それぞれについて独立した証拠を集める以外に道はなく、どちらも十分に一般的でどちらかを前提にはできません。

トンネルはデータなしで起動していられる

IPsecアソシエーションはセキュリティの関係であり、パケット転送の約束ではありません。トラフィックを選ぶポリシー、遠隔プレフィックスへのルート、あるいはデータパスそのものが誤っていても、フェーズ1とフェーズ2は完了できます。トンネル画面は一つの問いに答えるだけで、残りは開いたままにします。

まず、どのプレフィックスがどちらの方向に越えるべきかを名指しします。関心のあるトラフィックがないトンネルは、ステータス画面では壊れたトンネルと同じに見えます。

Baseライセンスが覆う範囲

SophosはVPNをBaseライセンスの下に置き、Network ProtectionやCentral Orchestrationとは分けています。したがって期限切れのオプションモジュールはそれ自体の問題であり、サイト間IPsecに新たな有償バンドルが必要だという自動的な証拠にはなりません。アプライアンスのモデル、リリース、登録ID、Base Firewallの状態を記録します。そのうえで、サポートされるライセンス手続きを通じてアカウント所有者の記録と突き合わせ、シリアル番号は公開メモの外に置きます。

プラットフォームによって規則も変わります。クラウド、仮想、ソフトウェアのアプライアンスは期限のないBaseライセンスを受けますが、ハードウェア筐体のBaseライセンスは寿命の終わりに切れます。停止された登録は有効と期限切れの間の第三の状態であり、推測ではなく同じ証拠に値します。

ライセンスを責める前にルートを証明する

転送経路を独立に証明します。遠隔プレフィックスに使うルートをアプライアンスに尋ね、次にセキュリティポリシーがそのトラフィックを選ぶことと、反対側に戻り経路があることを確かめます。遠隔プレフィックスへのルートが欠けていれば、ライセンスがどれほど健全でもルーティングの問題のままです。

ip route get 10.80.20.10

逆方向は順方向と同じだけ重要です。本社には届くが逆は届かない支店は、戻りルートかポリシーの抜けであり、データパスの故障ではありません。結論を出す前に、許可されたフローを一つ両方向で取得します。

次の修正を誠実にするために記録を二つ持つ

別々の記録を二つ持ち、日付を入れます。一つ目は権利を扱い、ライセンス画面が何を示したか、どのサブスクリプションが適用され、いつ同期されたかを記します。二つ目は転送を扱い、プレフィックス、ルート、セキュリティアソシエーション、一つのフローに対する方向別カウンタを記します。修正後に症状が変われば、どちらの説明が実際に正しかったかを記録が示します。

ipsec status

この規律が要るのは、ライセンスの修理とルートの修理が、成功したpingからは同じに見えるからです。両方を一度に変えたなら、サービスが動くことは分かっても、なぜ動かなかったかは何も分かりません。一つの物を変え、それから同じフローを測り直すことで、期限切れの手引きが、権利だけで説明できる範囲を定めます。