Sophos сайттар арасындағы VPN қосылып тұр, бірақ трафик өтпейді: лицензия ма әлде маршрут па?

IPsec ассоциациясын орнату, кестеде маршрутты көру және бәрібір филиалдан уақыттың бітуі — Sophos Firewall-да таныс үйлесім. Sophos Firewall-да бұл үйлесімнің кемінде екі қарапайым түсіндірмесі бар: жіберудегі олқылық немесе Base лицензиясының туннельді қосулы ұстап, деректердің өтуін тоқтататын шарты. Олар бірдей дерлік белгілер береді, сондықтан жалғыз жол — әрқайсысы үшін дербес дәлел жинау. Екеуі де жеткілікті жиі, сондықтан ешқайсысын болжауға болмайды.

Туннель деректерсіз де қосулы тұра алады

IPsec ассоциациясы — қауіпсіздік қатынасы, пакеттерді жіберу уәдесі емес. Трафикті таңдайтын саясат, қашықтағы префикске маршрут немесе деректер жолының өзі қате болса да, 1-фаза мен 2-фаза аяқталуы мүмкін. Туннель дисплейі бір сұраққа жауап береді, қалғандарын ашық қалдырады.

Қай префикстер қай бағытта өтуі керектігін атаудан бастаңыз. Қызықты трафигі жоқ туннель күй бетінде бұзылған туннель сияқты көрінеді.

Base лицензиясы нені қамтиды

Sophos VPN-ді Base лицензиясының астына, Network Protection және Central Orchestration-нан бөлек тізеді. Сондықтан мерзімі біткен қосымша модуль — өз алдына мәселе, ал сайттар арасындағы IPsec-ке жаңа ақылы бума керек екеніне автоматты дәлел емес. Құрылғы үлгісін, шығарылымын, тіркеу сәйкестігін және Base Firewall күйін жазып алыңыз. Содан кейін оны қолдау көрсетілетін лицензиялау процесі арқылы шот иесінің жазбаларымен сәйкестендіріңіз және сериялық нөмірлерді жария жазбалардан тыс ұстаңыз.

Платформа да ережені өзгертеді. Бұлттық, виртуалды және бағдарламалық құрылғылар мерзімі жоқ Base лицензиясын алады, ал аппараттық блоктың Base лицензиясы қызмет мерзімінің соңында бітеді. Тоқтатылған тіркеу — жарамды мен мерзімі біткеннің арасындағы үшінші күй, ол болжамның орнына сол дәлелге лайық.

Лицензияны кінәламас бұрын маршрутты дәлелдеңіз

Жіберу жолын дербес дәлелдеңіз. Құрылғыдан қашықтағы префикс үшін қай маршрутты қолданатынын сұраңыз, содан кейін қауіпсіздік саясаты сол трафикті таңдайтынын және жауап жолы екінші жақта бар екенін растаңыз. Қашықтағы префикске жетпейтін маршрут лицензия қаншалықты сау болса да маршруттау мәселесі болып қалады.

ip route get 10.80.20.10

Кері бағыт алға бағыттай сонша маңызды. Бас кеңсеге жететін, бірақ керісінше жетпейтін филиалда қайтару маршрутының немесе саясаттың олқылығы бар, деректер жолының ақауы емес. Қорытынды жасамас бұрын бір рұқсат етілген ағынды екі бағытта түсіріңіз.

Келесі түзету адал болуы үшін екі жазба ұстаңыз

Екі бөлек жазба ұстап, оларға күн қойыңыз. Біріншісі құқықты қамтиды: лицензия беті не көрсетті, қай жазылым қолданылды және қашан синхрондалды. Екіншісі жіберуді қамтиды: префикстер, маршруттар, қауіпсіздік ассоциациялары және бір ағын үшін бағыттық есептегіштер. Түзетуден кейін белгі өзгерсе, жазбалар қай түсіндірменің шын мәнінде дұрыс болғанын көрсетеді.

ipsec status

Бұл тәртіп маңызды, өйткені лицензия жөндеуі мен маршрут жөндеуі сәтті ping-нен бірдей көрінеді. Екеуі бірден өзгертілсе, сіз қызметтің жұмыс істейтінін білдіңіз, ал неге істемегені туралы ештеңе білмедіңіз. Бір нәрсені өзгертіңіз, содан кейін сол ағынды қайта өлшеңіз, және мерзім нұсқаулығы тек құқықтың нені түсіндіре алатынын шешеді.