Check Point VSX VPN: saites izvēle vai partnera neatbilstība?

Divas dažādas izmaiņas rada vienus un tos pašus simptomus, kad Check Point tunelis starp vietām pārstāj celties: partneris redz citu ārējo adresi vai noraida IKE identitāti, ko tas tagad saņem. Vienā pusē uzņemtā ierakstā abi izskatās vienādi. Lai noteiktu, kurš gadījums jums ir, vajadzīgas trīs pārbaudes, un neviena no tām nav saites izvēles panelis.

Ja sajaucat secību, jūs regulējat avota izvēli, lai labotu identitātes neatbilstību. Tā viens un tas pats tunelis tiek labots divreiz un atkal salūzt pēc nākamās maršruta izmaiņas.

Trīs nosacījumi, kas šķir abus gadījumus

Pirmais nosacījums: vai partnera konfigurētais galapunkts atbilst adresei, kas patiešām pienāk? Ja paketes sasniedz attālo vārteju no adreses, ko tā nesaista ar jūsu partnera objektu, sarunas cieš neveiksmi pirms jebkādas identitātes apmaiņas. Otrais nosacījums: vai priekšlikumā esošā IKE identitāte atbilst vērtībai, ko partneris gaida? Tā ir autentifikācija, nevis transports. Trešais nosacījums: vai opcija, ko gribat mainīt, ir atbalstīta šai virtuālajai sistēmai šajā laidienā? Neviens redzamais iestatījums neatbild uz šiem jautājumiem.

Ja pirmais nosacījums neizpildās, jums ir maršrutēšanas vai tulkošanas problēma. Ja otrais, jums ir partnera līguma problēma. Ja trešais nav zināms, pārtrauciet konfigurēšanu.

Vispirms izveidojiet ārējā partnera ierakstu

Pierakstiet virtuālo sistēmu, programmatūras laidienu un instalēto atjauninājuma līmeni, pirms kaut ko aiztiecat. Pēc tam reģistrējiet ārējās saskarnes, maršrutu uz attālo partneri, gaidāmās avota adreses pirms NAT un pēc tā, kā arī attālā partnera konfigurēto galapunktu.

Turiet iekšējos aizsargātos prefiksus atsevišķā šī ieraksta daļā. Ārējā avota maiņa un aizsargātās LAN adreses maiņa ir divas dažādas darbības, kas nejauši mīt vienā politikā.

Pievienojiet virzienu katram saglabātajam ierakstam. Lokāli uzsāktas sarunas un atbilde attālajam partnerim var izvēlēties atšķirīgi, tāpēc ieraksts bez marķējuma ir vājš pierādījums. Marķējiet failu ar virtuālo sistēmu un iniciatoru.

Izlasiet, ko saites izvēle patiešām šķir

Check Point rokasgrāmata par saites izvēli R81.20 šķir trīs lietas, ko cilvēki saplūdina vienā: kā attālais partneris atrisina vārtejas adresi, kurš maršruts pārvadā izejošo satiksmi un kura avota IP tiek izmantota. Katra atbild uz citu jautājumu. Neviena no tām nemaina identitāti, ko autentificē partneris.

Šī atdalīšana izskaidro, kāpēc maršruta maiņa var mainīt redzamo ārējo adresi, neaiztiekot IKE identitāti, un kāpēc identitātes maiņa var salauzt tuneli, kura maršrutēšana ir nevainojama.

RFC 7296 novelk to pašu robežu pašam IKE: identifikācijas lietderīgā slodze nav transporta adrese. Ražotāji šo sadalījumu ievieš, nevis definē no jauna.

Izlemiet ar pierādījumiem, nevis ar iestatījumu paneli

Ja partneris ziņo par nezināmu vai neatbilstošu identitāti, labojiet partnera objektu vai identitātes konfigurāciju, nevis avota izvēli. Ja partneris neziņo neko un jūsu ieraksts rāda, ka paketes iziet no negaidītas adreses, vispirms labojiet maršrutēšanu vai tulkojumu. Ja abi izskatās pareizi un tunelis joprojām neceļas, ierakstiet attālajā pusē un salīdziniet, ko tā saņēma. Tikai tad, kad adrese un identitāte sakrīt un ceļš joprojām ir nepareizs, kāda saites izvēles opcija kļūst par kandidāti.

Pirms konfigurējat šo opciju VSX, iegūstiet attiecīgā laidiena atbalstīto funkciju norādes vai skaidru ražotāja paziņojumu par virtuālās sistēmas kontekstu. Vecāks ziņojums, ka funkcija nebija pieejama, ir vēsture, nevis pašreizējs aizliegums, un iestatījumu panelis nav atbalsta paziņojums.

Saskaņojiet abus galus un saglabājiet ierakstu

Kad jums ir atbalstīts projekts, kopā pārskatiet ārējo sasniedzamību, partnera galapunkta konfigurāciju un identitātes vienošanos kā vienu līgumu. Pēc tam plānojiet pieņemšanu trim gadījumiem: sākotnējam savienojumam, attālās puses uzsāktam savienojumam un atteicei, ko gaidāt, kad ceļš pārtrūkst.

Saglabājiet novērotās ārējās adreses blakus aktīvās virtuālās sistēmas kontekstam. Tad nākamā maršruta maiņa tiks salīdzināta ar dokumentētu līgumu, nevis ar kāda atmiņu par noklusējuma vērtību.