Sophos VPN tarp svetainių įjungtas, bet srautas neina: licencija ar maršrutas?

IPsec asociacijos sukūrimas, maršruto matymas lentelėje ir vis tiek laiko limito gavimas iš filialo yra pažįstama kombinacija Sophos Firewall. Sophos Firewall ši kombinacija turi bent du įprastus paaiškinimus: spragą perdavime arba Base licencijos sąlygą, kuri palieka tunelį įjungtą, kol duomenys nustoja eiti. Abi sukelia beveik identiškus simptomus, todėl vienintelis kelias yra rinkti nepriklausomus įrodymus kiekvienai. Abi pakankamai dažnos, kad nė vienos negalima laikyti savaime suprantama.

Tunelis gali būti įjungtas be duomenų

IPsec asociacija yra saugumo santykis, o ne pažadas persiųsti paketus. Fazė 1 ir fazė 2 gali baigtis, kai srautą atrenkanti politika, maršrutas į nuotolinį prefiksą ar pats duomenų kelias yra neteisingi. Tunelio ekranas atsako į vieną klausimą, o kitus palieka atvirus.

Pradėkite įvardydami, kurie prefiksai turi pereiti ir kuria kryptimi. Tunelis be įdomaus srauto statuso puslapyje atrodo taip pat kaip sugedęs tunelis.

Ką apima Base licencija

Sophos nurodo VPN pagal Base licenciją, atskirai nuo Network Protection ir Central Orchestration. Todėl pasibaigęs pasirenkamasis modulis yra atskira problema, o ne automatinis įrodymas, kad IPsec tarp svetainių reikia naujo mokamo paketo. Užrašykite įrenginio modelį, leidimą, registracijos tapatybę ir Base Firewall būseną. Tada suderinkite tai su sąskaitos savininko įrašais per palaikomą licencijavimo procesą ir laikykite serijos numerius už viešų pastabų ribų.

Platforma taip pat keičia taisyklę. Debesų, virtualūs ir programinės įrangos įrenginiai gauna Base licenciją be galiojimo pabaigos datos, o techninės įrangos įrenginio Base licencija baigiasi eksploatavimo pabaigoje. Sustabdyta registracija yra trečia būsena tarp galiojančios ir pasibaigusios, ir ji verta tų pačių įrodymų, o ne spėjimo.

Įrodykite maršrutą, prieš kaltindami licenciją

Įrodykite perdavimo kelią nepriklausomai. Paklauskite įrenginio, kokį maršrutą jis naudotų nuotoliniam prefiksui, tada patvirtinkite, kad saugumo politika atrenka tą srautą ir kad atsakymo kelias egzistuoja kitoje pusėje. Trūkstamas maršrutas į nuotolinį prefiksą lieka maršrutizavimo problema, kad ir kokia sveika būtų licencija.

ip route get 10.80.20.10

Atvirkštinė kryptis svarbi tiek pat, kiek pirmyn. Filialas, kuris pasiekia būstinę, bet ne atvirkščiai, turi grįžimo maršruto ar politikos spragą, o ne duomenų kelio gedimą. Užfiksuokite vieną leistiną srautą abiem kryptimis prieš darydami išvadas.

Laikykite du įrašus, kad kitas taisymas būtų sąžiningas

Laikykite du atskirus įrašus ir datuokite juos. Pirmasis apima teisę: ką rodė licencijavimo puslapis, kuri prenumerata galiojo ir kada ji buvo sinchronizuota. Antrasis apima perdavimą: prefiksai, maršrutai, saugumo asociacijos ir kryptiniai skaitikliai vienam srautui. Kai po taisymo simptomas pasikeičia, įrašai parodo, kuris paaiškinimas iš tikrųjų buvo teisingas.

ipsec status

Ši disciplina svarbi, nes licencijos taisymas ir maršruto taisymas atrodo vienodai po sėkmingo ping. Jei abu buvo pakeisti iš karto, sužinojote, kad paslauga veikia, ir nieko apie tai, kodėl neveikė. Pakeiskite vieną dalyką, tada dar kartą išmatuokite tą patį srautą, ir galiojimo vadovas nusprendžia, ką gali paaiškinti vien teisė.