Sophos VPN starp vietnēm ir ieslēgts, bet trafiks neiet: licence vai maršruts?

IPsec asociācijas izveide, maršruta redzēšana tabulā un tomēr taimauta saņemšana no filiāles ir pazīstama kombinācija Sophos Firewall. Sophos Firewall šai kombinācijai ir vismaz divi parasti skaidrojumi: robi pārsūtīšanā vai Base licences nosacījums, kas atstāj tuneli ieslēgtu, kamēr dati pārstāj iet. Tie rada gandrīz identiskus simptomus, tāpēc vienīgais ceļš ir vākt neatkarīgus pierādījumus katram. Abi ir pietiekami izplatīti, lai neviens no tiem nebūtu pieņemams kā pašsaprotams.

Tunelis var būt ieslēgts bez datiem

IPsec asociācija ir drošības attiecības, nevis solījums pārsūtīt paketes. Fāze 1 un fāze 2 var pabeigties, kamēr trafiku izvēlošā politika, maršruts uz attālo prefiksu vai pats datu ceļš ir nepareizs. Tuneļa displejs atbild uz vienu jautājumu un atstāj pārējos atvērtus.

Sāciet ar to, ka nosaucat, kuri prefiksi šķērsos un kādā virzienā. Tunelis bez interesanta trafika statusa lapā izskatās tāpat kā salauzts tunelis.

Ko sedz Base licence

Sophos uzskaita VPN zem Base licences, atsevišķi no Network Protection un Central Orchestration. Tāpēc izbeigusies izvēles modulis ir patstāvīga problēma, nevis automātisks pierādījums, ka IPsec starp vietnēm vajag jaunu maksas pakotni. Pierakstiet ierīces modeli, laidienu, reģistrācijas identitāti un Base Firewall statusu. Pēc tam saskaņojiet to ar konta īpašnieka ierakstiem atbalstītajā licencēšanas procesā un turiet sērijas numurus ārpus publiskām piezīmēm.

Platforma maina arī noteikumu. Mākoņa, virtuālās un programmatūras ierīces saņem Base licenci bez derīguma termiņa, bet aparatūras vienības Base licence beidzas dzīves cikla beigās. Apturēta reģistrācija ir trešais stāvoklis starp derīgu un izbeigušos, un tā ir pelnījusi tos pašus pierādījumus, nevis minējumu.

Pierādiet maršrutu, pirms vainojat licenci

Pierādiet pārsūtīšanas ceļu neatkarīgi. Pajautājiet ierīcei, kuru maršrutu tā izmantotu attālajam prefiksam, pēc tam apstipriniet, ka drošības politika izvēlas šo trafiku un ka atbildes ceļš pastāv otrā pusē. Trūkstošais maršruts uz attālo prefiksu paliek maršrutēšanas problēma, lai cik vesela būtu licence.

ip route get 10.80.20.10

Pretējais virziens ir tikpat svarīgs kā uz priekšu. Filiālei, kas sasniedz galveno biroju, bet ne otrādi, ir atgriešanās maršruta vai politikas robs, nevis datu ceļa kļūme. Pirms secinājumiem ierakstiet vienu atļautu plūsmu abos virzienos.

Turiet divus ierakstus, lai nākamais labojums būtu godīgs

Turiet divus atsevišķus ierakstus un datējiet tos. Pirmais aptver tiesības: ko rādīja licencēšanas lapa, kura abonements darbojās un kad tas tika sinhronizēts. Otrais aptver pārsūtīšanu: prefiksi, maršruti, drošības asociācijas un virziena skaitītāji vienai plūsmai. Kad simptoms pēc labojuma mainās, ieraksti parāda, kurš skaidrojums patiešām bija pareizs.

ipsec status

Šī disciplīna ir svarīga, jo licences labojums un maršruta labojums no veiksmīga ping izskatās vienādi. Ja abi tika mainīti uzreiz, jūs uzzinājāt, ka pakalpojums darbojas, un neko par to, kāpēc tas nedarbojās. Mainiet vienu lietu, pēc tam vēlreiz izmēriet to pašu plūsmu, un derīguma termiņa ceļvedis nosaka, ko vien tiesības var izskaidrot.