Sophos 사이트 간 VPN은 올라와 있는데 트래픽이 지나지 않는다: 라이선스인가 경로인가

IPsec 연결을 수립하고 표에서 경로를 확인했는데도 지사에서 시간 초과가 나는 것은 Sophos Firewall에서 익숙한 조합입니다. Sophos Firewall에서 그 조합에는 적어도 두 가지 평범한 설명이 있습니다. 전달의 빈틈, 또는 Base 라이선스의 조건이 터널을 올려 둔 채 데이터 통과를 멈추게 하는 경우입니다. 증상이 거의 같으므로 각각에 대해 독립적인 증거를 모으는 것 외에는 길이 없고, 둘 다 충분히 흔해서 어느 쪽도 전제할 수 없습니다.

터널은 데이터 없이도 올라와 있을 수 있다

IPsec 연결은 보안 관계이지 패킷 전달의 약속이 아닙니다. 트래픽을 고르는 정책, 원격 프리픽스로 가는 경로, 또는 데이터 경로 자체가 틀려도 1단계와 2단계는 완료될 수 있습니다. 터널 화면은 한 가지 질문에만 답하고 나머지는 열어 둡니다.

어떤 프리픽스가 어느 방향으로 건너가야 하는지 이름 붙이는 것부터 시작하십시오. 흥미로운 트래픽이 없는 터널은 상태 페이지에서 고장 난 터널과 똑같이 보입니다.

Base 라이선스가 포괄하는 범위

Sophos는 VPN을 Base 라이선스 아래에 두며 Network Protection과 Central Orchestration과 분리합니다. 따라서 만료된 선택 모듈은 그 자체의 문제이고, 사이트 간 IPsec에 새 유료 번들이 필요하다는 자동 증거가 아닙니다. 어플라이언스 모델, 릴리스, 등록 ID, Base Firewall 상태를 기록하십시오. 그런 다음 지원되는 라이선스 절차를 통해 계정 소유자의 기록과 대조하고, 일련번호는 공개 메모 밖에 두십시오.

플랫폼에 따라 규칙도 달라집니다. 클라우드, 가상, 소프트웨어 어플라이언스는 만료일 없는 Base 라이선스를 받지만, 하드웨어 장치의 Base 라이선스는 수명이 끝나면 만료됩니다. 정지된 등록은 유효와 만료 사이의 세 번째 상태이며, 추측 대신 같은 증거를 받을 자격이 있습니다.

라이선스를 탓하기 전에 경로를 증명하십시오

전달 경로를 독립적으로 증명하십시오. 원격 프리픽스에 어떤 경로를 쓸지 어플라이언스에 묻고, 그다음 보안 정책이 그 트래픽을 선택하는지와 반대편에 응답 경로가 있는지 확인하십시오. 원격 프리픽스로 가는 경로가 없으면 라이선스가 아무리 건강해도 라우팅 문제로 남습니다.

ip route get 10.80.20.10

반대 방향은 정방향만큼 중요합니다. 본사에는 닿지만 그 반대는 안 되는 지사는 반환 경로나 정책의 빈틈이지 데이터 경로의 고장이 아닙니다. 결론을 내리기 전에 허용된 흐름 하나를 양방향으로 잡으십시오.

다음 수정이 정직하도록 기록을 두 개 두십시오

별도의 기록 두 개를 두고 날짜를 붙이십시오. 첫째는 권한으로, 라이선스 화면이 무엇을 보여 주었는지, 어떤 구독이 적용되었는지, 언제 동기화되었는지입니다. 둘째는 전달로, 프리픽스, 경로, 보안 연결, 한 흐름에 대한 방향별 카운터입니다. 수정 뒤 증상이 바뀌면 어느 설명이 실제로 맞았는지 기록이 보여 줍니다.

ipsec status

이 규율이 중요한 이유는 라이선스 수리와 경로 수리가 성공한 ping에서는 똑같이 보이기 때문입니다. 둘을 한꺼번에 바꿨다면 서비스가 동작한다는 것만 배웠고 왜 동작하지 않았는지는 아무것도 모르므로, 한 가지를 바꾸고 같은 흐름을 다시 측정하십시오. 그리고 만료 안내서가 권한만으로 설명할 수 있는 범위를 정합니다.