Check Point VSX VPN: 링크 선택인가, 피어 불일치인가?

Check Point 사이트 간 터널이 더 이상 올라오지 않을 때 서로 다른 두 변경이 같은 증상을 만듭니다. 피어가 다른 외부 주소를 보거나, 지금 받는 IKE ID를 거부하는 경우입니다. 한쪽에서 뜬 캡처에서는 둘이 똑같아 보입니다. 어느 쪽인지 판단하려면 세 가지 확인이 필요하며, 그중 어느 것도 링크 선택 화면이 아닙니다.

순서를 틀리면 ID 불일치를 고치려고 소스 선택을 조정하게 됩니다. 이렇게 해서 같은 터널이 두 번 고쳐지고 다음 경로 변경 뒤에 다시 깨집니다.

두 경우를 가르는 세 가지 조건

첫째 조건은 피어에 설정된 엔드포인트가 실제로 도착하는 주소와 일치하는가입니다. 패킷이 피어가 자기 피어 개체와 연결하지 않는 주소에서 원격 게이트웨이에 도달하면, 어떤 ID도 교환되기 전에 협상이 실패합니다. 둘째 조건은 제안에 담긴 IKE ID가 피어가 기대하는 값과 일치하는가입니다. 그것은 인증이지 전송이 아닙니다. 셋째 조건은 바꾸려는 옵션이 이 릴리스의 이 가상 시스템에서 지원되는가입니다. 화면에 보이는 설정은 이 질문들에 답하지 않습니다.

첫째 조건이 어긋나면 경로 지정이나 변환 문제입니다. 둘째가 어긋나면 피어와의 약정 문제입니다. 셋째가 불명확하면 설정을 멈추십시오.

먼저 외부 피어 기록을 만드십시오

무엇이든 건드리기 전에 가상 시스템, 소프트웨어 릴리스, 설치된 업데이트 수준을 적으십시오. 그다음 외부 인터페이스, 원격 피어로 향하는 경로, NAT 전후의 예상 소스 주소, 원격 피어의 설정된 엔드포인트를 기록하십시오.

내부 보호 접두사는 그 기록의 별도 부분에 두십시오. 외부 소스를 바꾸는 일과 보호된 LAN 주소를 바꾸는 일은 같은 정책에 우연히 함께 있을 뿐 서로 다른 작업입니다.

보관하는 모든 캡처에 방향을 붙이십시오. 로컬에서 시작한 협상과 원격 피어에 대한 응답은 다르게 선택할 수 있으므로, 표시가 없는 캡처는 약한 증거입니다. 파일 이름에 가상 시스템과 시작 측을 적으십시오.

링크 선택이 실제로 무엇을 분리하는지 읽으십시오

Check Point의 R81.20 링크 선택 안내서는 사람들이 하나로 합쳐 버리는 세 가지를 분리합니다. 원격 피어가 게이트웨이 주소를 어떻게 해석하는지, 어느 경로가 나가는 트래픽을 나르는지, 어느 소스 IP가 쓰이는지입니다. 각각 다른 질문에 답합니다. 어느 것도 피어가 인증하는 ID를 바꾸지 않습니다.

그 분리가 있기에 경로 변경이 IKE ID를 건드리지 않고 겉으로 보이는 외부 주소를 바꿀 수 있고, ID 변경이 경로 지정이 완벽한 터널을 깰 수 있습니다.

RFC 7296은 IKE 자체에도 같은 선을 긋습니다. 식별 페이로드는 전송 주소가 아닙니다. 공급업체는 그 분리를 구현하며 다시 정의하지 않습니다.

설정 화면이 아니라 증거로 판단하십시오

피어가 알 수 없거나 일치하지 않는 ID를 보고하면 소스 선택이 아니라 피어 개체나 ID 설정을 고치십시오. 피어가 아무것도 보고하지 않고 캡처에서 패킷이 예상 밖의 주소에서 나가는 것이 보이면 먼저 경로 지정이나 변환을 고치십시오. 둘 다 맞아 보이는데도 터널이 실패하면 원격 측에서 캡처하여 무엇을 받았는지 비교하십시오. 주소와 ID가 일치하고 경로가 여전히 틀릴 때에만 링크 선택 옵션이 후보가 됩니다.

VSX에서 그 옵션을 설정하기 전에 해당 릴리스의 지원 기능 안내나 가상 시스템 맥락에 대한 공급업체의 명시적 진술을 확보하십시오. 어떤 기능이 제공되지 않았다는 오래된 보고는 이력일 뿐 현재의 금지가 아니며, 설정 화면은 지원 진술이 아닙니다.

양쪽 끝을 맞추고 기록을 남기십시오

지원되는 설계를 확보했다면 외부 도달 가능성, 피어 엔드포인트 설정, ID 합의를 하나의 계약으로 함께 검토하십시오. 그다음 세 경우에 대한 승인을 계획하십시오. 최초 연결, 원격 측이 시작한 연결, 경로가 끊길 때 예상하는 실패입니다.

관측된 외부 주소는 활성 가상 시스템 맥락 옆에 저장하십시오. 그러면 다음 경로 변경은 누군가의 기본값 기억이 아니라 문서화된 계약과 비교됩니다.