Check Point VSX VPN: nuorodos pasirinkimas ar partnerio neatitikimas?

Du skirtingi pakeitimai sukelia tą patį simptomą, kai Check Point tunelis tarp aikštelių nustoja kilti: partneris mato kitą išorinį adresą arba atmeta IKE tapatybę, kurią dabar gauna. Vienoje pusėje padarytoje įraše abu atrodo vienodai. Norint nustatyti, kuris atvejis jūsų, reikia trijų patikrinimų, ir nė vienas jų nėra nuorodos pasirinkimo skydas.

Jei suklysite dėl tvarkos, derinsite šaltinio pasirinkimą, kad ištaisytumėte tapatybės neatitikimą. Taip pats tunelis sutaisomas du kartus ir vėl sugenda po kito maršruto pakeitimo.

Trys sąlygos, skiriančios du atvejus

Pirmoji sąlyga: ar sukonfigūruotas partnerio galinis taškas atitinka adresą, kuris iš tikrųjų atvyksta? Jei paketai pasiekia nuotolinį šliuzą iš adreso, kurio jis nesusieja su jūsų partnerio objektu, derybos žlunga dar nepasikeitus jokiai tapatybei. Antroji sąlyga: ar pasiūlyme esanti IKE tapatybė atitinka vertę, kurios partneris tikisi? Tai autentifikavimas, o ne transportas. Trečioji sąlyga: ar norimą keisti parinktį palaiko ši virtualioji sistema šioje versijoje? Joks matomas nustatymas neatsako į šiuos klausimus.

Jei pirmoji sąlyga netenkinama, turite maršrutizavimo arba vertimo problemą. Jei antroji, turite partnerio sutarties problemą. Jei trečioji nežinoma, nustokite konfigūruoti.

Pirmiausia sudarykite išorinio partnerio įrašą

Užsirašykite virtualiąją sistemą, programinės įrangos versiją ir įdiegtą atnaujinimo lygį, prieš ką nors liesdami. Tada užregistruokite išorinius sąsajas, maršrutą link nuotolinio partnerio, laukiamus šaltinio adresus prieš NAT ir po jo bei sukonfigūruotą nuotolinio partnerio galinį tašką.

Vidinius apsaugotus priešdėlius laikykite atskiroje to įrašo dalyje. Išorinio šaltinio keitimas ir apsaugoto LAN adreso keitimas yra skirtingos operacijos, kurios atsitiktinai gyvena toje pačioje taisyklėje.

Pridėkite kryptį prie kiekvieno saugomo įrašo. Vietoje pradėtos derybos ir atsakymas nuotoliniam partneriui gali rinktis skirtingai, todėl įrašas be žymos yra silpnas įrodymas. Pažymėkite failą virtualiąja sistema ir iniciatoriumi.

Perskaitykite, ką nuorodos pasirinkimas iš tikrųjų skiria

Check Point vadovas apie nuorodos pasirinkimą R81.20 skiria tris dalykus, kuriuos žmonės sulieja į vieną: kaip nuotolinis partneris išsprendžia šliuzo adresą, kuris maršrutas neša išeinantį srautą ir kuris šaltinio IP naudojamas. Kiekvienas atsako į skirtingą klausimą. Nė vienas jų nekeičia tapatybės, kurią autentifikuoja partneris.

Šis atskyrimas paaiškina, kodėl maršruto pakeitimas gali pakeisti matomą išorinį adresą neliečiant IKE tapatybės, ir kodėl tapatybės pakeitimas gali sugriauti tunelį, kurio maršrutizavimas nepriekaištingas.

RFC 7296 brėžia tą pačią ribą pačiam IKE: identifikavimo naudingoji apkrova nėra transporto adresas. Gamintojai šį atskyrimą įgyvendina, o ne iš naujo apibrėžia.

Spręskite pagal įrodymus, o ne pagal nustatymų skydą

Jei partneris praneša apie nežinomą arba neatitinkančią tapatybę, taisykite partnerio objektą arba tapatybės konfigūraciją, o ne šaltinio pasirinkimą. Jei partneris nieko nepraneša, o jūsų įrašas rodo paketus, išeinančius iš netikėto adreso, pirmiausia taisykite maršrutizavimą arba vertimą. Jei abu atrodo teisingai, o tunelis vis tiek neveikia, darykite įrašą nuotolinėje pusėje ir palyginkite, ką ji gavo. Tik kai adresas ir tapatybė sutampa, o kelias vis dar neteisingas, kuri nors nuorodos pasirinkimo parinktis tampa kandidate.

Prieš konfigūruodami tą parinktį VSX, gaukite atitinkamos versijos palaikomų funkcijų gaires arba aiškų gamintojo pareiškimą dėl virtualiosios sistemos konteksto. Ankstesnė ataskaita, kad funkcija nebuvo prieinama, yra istorija, o ne dabartinis draudimas, o nustatymų skydas nėra palaikymo pareiškimas.

Suderinkite abu galus ir saugokite įrašą

Kai turite palaikomą projektą, kartu peržiūrėkite išorinį pasiekiamumą, partnerio galinio taško konfigūraciją ir tapatybės susitarimą kaip vieną sutartį. Tada suplanuokite priėmimą trims atvejams: pradiniam ryšiui, nuotolinės pusės pradėtam ryšiui ir gedimui, kurio tikitės nutrūkus keliui.

Išsaugokite stebėtus išorinius adresus šalia aktyvios virtualiosios sistemos konteksto. Tada kitas maršruto pakeitimas bus lyginamas su dokumentuota sutartimi, o ne su kažkieno atmintimi apie numatytąją reikšmę.