Check Point VSX VPN: Link-Auswiel oder eng Peer-Differenz?

Zwee verschidde Ännerungen erginn datselwecht Symptom, wann en Check-Point-Tunnel tëscht zwou Plazen net méi eropkënnt: de Peer gesäit eng aner extern Adress, oder hien akzeptéiert d'IKE-Identitéit net, déi hien elo kritt. Op enger Opnam vun enger Säit gesinn déi zwou identesch aus. Fir ze entscheeden, wéi eng vun deenen zwou Dir hutt, brauch et dräi Kontrollen, an der keng ass de Link-Auswiel-Panneau.

Wann d'Reiefolleg falsch ass, justéiert Dir d'Quellauswiel, fir eng Identitéitsdifferenz ze behiewen. Sou gëtt dee selwechten Tunnel zweemol reparéiert an hie brécht nom nächste Routtenännnerung erëm.

Dräi Bedéngungen, déi déi zwou Fäll trennen

Bedingung eent: passt den ageriichten Endpunkt vum Peer zu der Adress, déi tatsächlech ukommt? Wann d'Paketen op d'distanéiert Gateway vun enger Adress ukommen, déi si net mat Ärem Peer-Objekt verbënnt, da schläit d'Verhandlung fehl, ier eng Identitéit ausgetosch gëtt. Bedingung zwee: passt d'IKE-Identitéit am Virschlag zu deem Wäert, deen de Peer erwaart? Dat ass Authentifizéierung, net Transport. Bedingung dräi: ass d'Optioun, déi Dir wëllt änneren, fir dëst virtueilt System op dëser Versioun ënnerstëtzt? Keng sichtbar Astellung beäntwert dës Froen.

Wann d'éischt Bedingung fehlschléit, hutt Dir e Routing- oder Iwwersetzungsproblem. Wann déi zweet fehlschléit, hutt Dir e Problem mam Peer-Kontrakt. Wann déi drëtt onbekannt ass, stoppt d'Konfiguréieren.

Baut d'éischt de Rekord vum externen Peer op

Schreift dat virtueilt System, d'Softwareversioun an den installéierte Update-Niveau op, ier Dir eppes beréiert. Duerno registréiert d'extern Interfacen, d'Route Richtung distanéierte Peer, déi erwaart Quelladressen virun an no NAT an den ageriichten Endpunkt vum distanéierte Peer.

Hält déi intern geschützt Prefixen an engem separaten Deel vun deem Rekord. Eng extern Quell änneren an eng geschützt LAN-Adress änneren sinn zwou verschidden Operatiounen, déi zoufälleg an der selwechter Politik liewen.

Füügt Richtung zu all Opnam derbäi, déi Dir behält. Eng lokal ugefaang Verhandlung an eng Äntwert un den distanéierte Peer kënnen ënnerschiddlech auswielen, dofir ass eng Opnam ouni Etikett e schwaache Beweis. Etikettéiert d'Datei mam virtueilt System an dem Initiator.

Liest, wat d'Link-Auswiel tatsächlech trennt

Dem Check Point säi Guide fir d'Link-Auswiel an R81.20 trennt dräi Saachen, déi d'Leit zu enger verschmëlzen: wéi den distanéierte Peer eng Gateway-Adress opléist, wéi eng Route den ausgängegen Trafik dréit a wéi eng Quell-IP benotzt gëtt. All eenzelt beäntwert eng aner Fro. Keng dovun ännert d'Identitéit, déi de Peer authentifizéiert.

Dee Gruef erkläert, firwat eng Routtenännnerung déi sichtbar extern Adress ka änneren, ouni d'IKE-Identitéit ze beréieren, a firwat eng Identitéitsännnerung en Tunnel ka briechen, deem seng Routage perfekt ass.

D'RFC 7296 zitt déi selwecht Grenz fir IKE selwer: d'Identifikatiounslass ass net d'Transportadress. D'Fabrikanten ëmsetzen dës Trennung, si definéieren se net nei.

Entscheet mat Beweiser, net mam Astellungs-Panneau

Wann de Peer eng onbekannt oder net passend Identitéit mellt, verbessert d'Peer-Objekt oder d'Identitéitskonfiguratioun, net d'Quellauswiel. Wann de Peer näischt mellt an Är Opnam weist Paketen, déi vun enger onerwaarter Adress fortginn, verbessert d'éischt d'Routage oder d'Iwwersetzung. Wann béides richteg ausgesäit an den Tunnel nach ëmmer feelt, maacht eng Opnam op der distanéierter Säit a vergläicht, wat si kritt huet. Eréischt wann Adress an Identitéit iwwerenee stëmmen an de Wee nach ëmmer falsch ass, gëtt eng Optioun vun der Link-Auswiel en Kandidat.

Ier Dir déi Optioun op VSX konfiguréiert, kritt d'Leedung fir ënnerstëtzt Funktiounen vun der passender Versioun oder eng ausdrécklech Ausso vum Hiersteller fir de Kontext vum virtueilt System. E méi ale Rapport, datt eng Funktioun net disponibel war, ass Geschicht an net eng aktuell Verbuet, an en Astellungs-Panneau ass keng Ënnerstëtzungsausso.

Bréngt béid Enner an Einklang a behält de Rekord

Wann Dir en ënnerstëtzten Design hutt, iwwerpréift extern Erreechbarkeet, d'Konfiguratioun vum Peer-Endpunkt an d'Identitéitsofstëmmung zesummen, als ee Kontrakt. Duerno plangt d'Akzeptanz fir dräi Fäll: déi éischt Verbindung, eng Verbindung, déi vun der distanéierter Säit ugefaang gëtt, an de Feeler, deen Dir erwaart, wann de Wee brécht.

Späichert déi observéiert extern Adressen nieft dem Kontext vum aktive virtueilt System. Dann vergläicht déi nächst Routtenännnerung mat engem dokumentéierte Kontrakt amplaz mat jiddem sengem Erënnerung un de Standardwäert.