Check Point VSX VPN: сілтеме таңдау ма, әлде серіктес сәйкессіздігі ме?

Check Point сайт-аралық туннелі көтерілуін тоқтатқанда екі түрлі өзгеріс бірдей белгі береді: серіктес басқа сыртқы мекенжайды көреді немесе қазір алып отырған IKE тұлғасын қабылдамайды. Бір жақтан алынған жазуда екеуі бірдей көрінеді. Қай жағдай екенін анықтау үшін үш тексеру қажет, және олардың ешқайсысы сілтеме таңдау панелі емес.

Ретін шатастырсаңыз, тұлға сәйкессіздігін түзету үшін көз таңдауын реттейсіз. Осылайша бір туннель екі рет түзетіліп, келесі маршрут өзгерісінен кейін қайта бұзылады.

Екі жағдайды ажырататын үш шарт

Бірінші шарт: серіктестің конфигурацияланған соңғы нүктесі іс жүзінде келетін мекенжаймен сәйкесе ме? Егер пакеттер қашықтағы шлюзге оның серіктес нысаныңызбен байланыстырмайтын мекенжайдан жетсе, кез келген тұлға алмасуына дейін келіссөз сәтсіз аяқталады. Екінші шарт: ұсыныстағы IKE тұлғасы серіктес күтетін мәнмен сәйкесе ме? Бұл аутентификация, тасымал емес. Үшінші шарт: өзгерткіңіз келетін параметр осы шығарылымда осы виртуалды жүйе үшін қолдау көрсетіле ме? Көрінетін ешбір параметр бұл сұрақтарға жауап бермейді.

Бірінші шарт орындалмаса, маршруттау немесе трансляция мәселесі бар. Екіншісі орындалмаса, серіктеспен келісімшарт мәселесі бар. Үшіншісі белгісіз болса, конфигурациялауды тоқтатыңыз.

Алдымен сыртқы серіктес жазбасын құрыңыз

Бірдеңеге қол тигізбес бұрын виртуалды жүйені, бағдарламалық жасақтама шығарылымын және орнатылған жаңарту деңгейін жазыңыз. Содан кейін сыртқы интерфейстерді, қашықтағы серіктеске қарай маршрутты, NAT-қа дейінгі және одан кейінгі күтілетін көз мекенжайларын және қашықтағы серіктестің конфигурацияланған соңғы нүктесін тіркеңіз.

Ішкі қорғалған префикстерді сол жазбаның бөлек бөлігінде ұстаңыз. Сыртқы көзді өзгерту және қорғалған LAN мекенжайын өзгерту — бір саясатта кездейсоқ тұрған екі түрлі операция.

Әр сақталатын жазбаға бағыт қосыңыз. Жергілікті басталған келіссөз бен қашықтағы серіктеске берілген жауап әртүрлі таңдауы мүмкін, сондықтан белгісіз жазу әлсіз дәлел. Файлды виртуалды жүйемен және бастамашымен белгілеңіз.

Сілтеме таңдау шын мәнінде нені ажырататынын оқыңыз

Check Point-тің R81.20-дегі сілтеме таңдау нұсқаулығы адамдар біріктіріп жіберетін үш нәрсені ажыратады: қашықтағы серіктес шлюз мекенжайын қалай шешеді, қай маршрут шығыс трафигін тасымалдайды және қай көз IP пайдаланылады. Әрқайсысы басқа сұраққа жауап береді. Олардың ешқайсысы серіктес аутентификациялайтын тұлғаны өзгертпейді.

Осы ажырату маршрут өзгерісінің IKE тұлғасына тимей-ақ көрінетін сыртқы мекенжайды өзгерте алатынын және тұлға өзгерісінің маршрутталуы мінсіз туннельді бұза алатынын түсіндіреді.

RFC 7296 IKE-тің өзі үшін де сол шекараны сызады: сәйкестендіру жүктемесі тасымал мекенжайы емес. Өндірушілер бұл бөлуді іске асырады, оны қайта анықтамайды.

Дәлелмен шешіңіз, параметрлер панелімен емес

Серіктес белгісіз немесе сәйкес келмейтін тұлға туралы хабарласа, көз таңдауын емес, серіктес нысанын немесе тұлға конфигурациясын түзетіңіз. Серіктес ештеңе хабарламаса және жазуыңыз пакеттердің күтпеген мекенжайдан шығып жатқанын көрсетсе, әуелі маршруттауды немесе трансляцияны түзетіңіз. Екеуі де дұрыс көрінсе де туннель әлі көтерілмесе, қашықтағы жақтан жазу алып, оның не қабылдағанын салыстырыңыз. Мекенжай мен тұлға сәйкесіп, жол әлі де қате болғанда ғана сілтеме таңдау параметрі үміткерге айналады.

Осы параметрді VSX-те конфигурацияламас бұрын сәйкес шығарылымның қолдау көрсетілетін функциялары туралы нұсқаулықты немесе өндірушінің виртуалды жүйе контекстіне қатысты нақты мәлімдемесін алыңыз. Функцияның бұрын қолжетімсіз болғаны туралы ескірген есеп — тарих, қазіргі тыйым емес, ал параметрлер панелі қолдау туралы мәлімдеме емес.

Екі жақты үйлестіріп, жазбаны сақтаңыз

Қолдау көрсетілетін жобаңыз болса, сыртқы қолжетімділікті, серіктестің соңғы нүкте конфигурациясын және тұлға келісімін бірге, бір келісімшарт ретінде қарап шығыңыз. Содан кейін қабылдауды үш жағдайға жоспарлаңыз: бастапқы қосылым, қашықтағы жақ бастаған қосылым және жол үзілгенде күтетін ақау.

Бақыланған сыртқы мекенжайларды белсенді виртуалды жүйе контекстінің жанында сақтаңыз. Сонда келесі маршрут өзгерісі біреудің әдепкі мән туралы естелігімен емес, құжатталған келісімшартпен салыстырылады.