Check Point VSX VPN: ბმულის არჩევა თუ პარტნიორის შეუსაბამობა?
ჩაწერეთ გარე მისამართი, IKE იდენტობა, ტრანსლაცია და მხარდაჭერილი ფუნქციების ნაკრები, სანამ Check Point VSX კარიბჭეზე ბმულის არჩევას შეეხებით.
ორი განსხვავებული ცვლილება ერთსა და იმავე სიმპტომს იძლევა, როცა Check Point-ის საიტ-საიტზე გვირაბი აღარ ადის: პარტნიორი სხვა გარე მისამართს ხედავს, ან უარყოფს იმ IKE იდენტობას, რომელსაც ახლა იღებს. ერთი მხრიდან აღებულ ჩანაწერში ორივე ერთნაირად გამოიყურება. იმის დასადგენად, რომელი შემთხვევა გაქვთ, სამი შემოწმებაა საჭირო და არც ერთი მათგანი ბმულის არჩევის პანელი არ არის.
თუ თანმიმდევრობას შეცდებით, წყაროს არჩევანს აწყობთ იდენტობის შეუსაბამობის გამოსასწორებლად. ასე ერთი და იგივე გვირაბი ორჯერ სწორდება და შემდეგი მარშრუტის ცვლილების შემდეგ ისევ იშლება.
სამი პირობა, რომელიც ორ შემთხვევას ჰყოფს
პირველი პირობა: ემთხვევა თუ არა პარტნიორის კონფიგურირებული ბოლო წერტილი იმ მისამართს, რომელიც რეალურად მოდის? თუ პაკეტები შორეულ კარიბჭეს აღწევს მისამართიდან, რომელსაც ის თქვენს პარტნიორ-ობიექტს არ უკავშირებს, მოლაპარაკება იშლება ნებისმიერი იდენტობის გაცვლამდე. მეორე პირობა: ემთხვევა თუ არა შეთავაზებაში არსებული IKE იდენტობა იმ მნიშვნელობას, რომელსაც პარტნიორი ელოდება? ეს აუთენტიფიკაციაა და არა ტრანსპორტი. მესამე პირობა: მხარდაჭერილია თუ არა ის პარამეტრი, რომლის შეცვლაც გსურთ, ამ ვირტუალური სისტემისთვის ამ გამოშვებაში? არც ერთი ხილული პარამეტრი არ პასუხობს ამ კითხვებს.
თუ პირველი პირობა არ სრულდება, თქვენ გაქვთ მარშრუტიზაციის ან ტრანსლაციის პრობლემა. თუ მეორე არ სრულდება, პარტნიორთან ხელშეკრულების პრობლემაა. თუ მესამე უცნობია, შეწყვიტეთ კონფიგურაცია.
ჯერ გარე პარტნიორის ჩანაწერი შექმენით
სანამ რამეს შეეხებით, ჩაწერეთ ვირტუალური სისტემა, პროგრამული უზრუნველყოფის გამოშვება და დაყენებული განახლების დონე. შემდეგ დააფიქსირეთ გარე ინტერფეისები, მარშრუტი შორეული პარტნიორისკენ, NAT-ამდე და NAT-ის შემდეგ მოსალოდნელი წყაროს მისამართები და შორეული პარტნიორის კონფიგურირებული ბოლო წერტილი.
შიდა დაცული პრეფიქსები ამ ჩანაწერის ცალკე ნაწილში შეინახეთ. გარე წყაროს შეცვლა და დაცული LAN მისამართის შეცვლა სხვადასხვა ოპერაციაა, რომლებიც შემთხვევით ერთსა და იმავე პოლიტიკაში ცხოვრობენ.
ყოველ შენახულ ჩანაწერს მიმართულება დაუმატეთ. ლოკალურად დაწყებული მოლაპარაკება და შორეული პარტნიორისთვის მიცემული პასუხი შეიძლება სხვადასხვაგვარად აირჩიონ, ამიტომ იარლიყის გარეშე ჩანაწერი სუსტი მტკიცებულებაა. ფაილს იარლიყად ვირტუალური სისტემა და ინიციატორი დააწერეთ.
წაიკითხეთ, რას ჰყოფს სინამდვილეში ბმულის არჩევა
Check Point-ის R81.20-ის ბმულის არჩევის სახელმძღვანელო ჰყოფს სამ რამეს, რომელსაც ადამიანები ერთად აერთიანებენ: როგორ წყვეტს შორეული პარტნიორი კარიბჭის მისამართს, რომელი მარშრუტი ატარებს გამავალ ტრაფიკს და რომელი წყაროს IP გამოიყენება. თითოეული სხვა კითხვას პასუხობს. არც ერთი მათგანი არ ცვლის იმ იდენტობას, რომელსაც პარტნიორი აუთენტიფიცირებს.
ეს განცალკევება ხსნის, რატომ შეიძლება მარშრუტის ცვლილებამ შეცვალოს ხილული გარე მისამართი IKE იდენტობაზე ხელის შეუხებლად, და რატომ შეიძლება იდენტობის ცვლილებამ დააზიანოს გვირაბი, რომლის მარშრუტიზაციაც უნაკლოა.
RFC 7296 იმავე ხაზს ავლებს თავად IKE-ისთვის: იდენტიფიკაციის დატვირთვა ტრანსპორტის მისამართი არ არის. მწარმოებლები ამ განცალკევებას ახორციელებენ და ხელახლა არ განსაზღვრავენ.
გადაწყვიტეთ მტკიცებულებებით და არა პარამეტრების პანელით
თუ პარტნიორი იუწყება უცნობ ან შეუსაბამო იდენტობაზე, შეასწორეთ პარტნიორ-ობიექტი ან იდენტობის კონფიგურაცია და არა წყაროს არჩევანი. თუ პარტნიორი არაფერს იუწყება და თქვენი ჩანაწერი აჩვენებს, რომ პაკეტები მოულოდნელი მისამართიდან გადის, ჯერ მარშრუტიზაცია ან ტრანსლაცია შეასწორეთ. თუ ორივე სწორად გამოიყურება და გვირაბი მაინც ვერ ადის, გადაიღეთ შორეულ მხარეს და შეადარეთ, რა მიიღო მან. მხოლოდ მაშინ, როცა მისამართი და იდენტობა ემთხვევა და გზა მაინც არასწორია, ბმულის არჩევის რომელიმე პარამეტრი ხდება კანდიდატი.
VSX-ზე ამ პარამეტრის კონფიგურაციამდე მიიღეთ შესაბამისი გამოშვების მხარდაჭერილი ფუნქციების სახელმძღვანელო ან მწარმოებლის მკაფიო განცხადება ვირტუალური სისტემის კონტექსტისთვის. ძველი ცნობა, რომ ფუნქცია მიუწვდომელი იყო, ისტორიაა და არა მიმდინარე აკრძალვა, ხოლო პარამეტრების პანელი მხარდაჭერის განცხადება არ არის.
შეათანხმეთ ორივე ბოლო და შეინახეთ ჩანაწერი
როცა მხარდაჭერილი დიზაინი გექნებათ, ერთად გადახედეთ გარე ხელმისაწვდომობას, პარტნიორის ბოლო წერტილის კონფიგურაციას და იდენტობის შეთანხმებას, როგორც ერთ ხელშეკრულებას. შემდეგ დაგეგმეთ მიღება სამი შემთხვევისთვის: საწყისი კავშირი, შორეული მხარის მიერ დაწყებული კავშირი და ის წარუმატებლობა, რომელსაც გზის გაწყვეტისას ელით.
დაკვირვებული გარე მისამართები აქტიური ვირტუალური სისტემის კონტექსტის გვერდით შეინახეთ. მაშინ შემდეგი მარშრუტის ცვლილება დოკუმენტირებულ ხელშეკრულებას შეადარებს და არა ვინმეს მეხსიერებას ნაგულისხმევ მნიშვნელობაზე.