Check Point VSX VPN: избор на врска или несовпаѓање на партнерот?

Две различни промени го даваат истиот симптом кога тунелот од локација до локација на Check Point престанува да се крева: партнерот гледа друга надворешна адреса или го одбива идентитетот IKE што сега го добива. На снимка земена од една страна, двете изгледаат исто. За да одредите кој случај го имате, потребни се три проверки, и ниту една од нив не е панелот за избор на врска.

Ако го згрешите редоследот, го дотерувате изборот на извор за да поправите несовпаѓање на идентитетот. Така истиот тунел се поправа двапати и повторно се крши по следната промена на рутата.

Три услови што ги раздвојуваат двата случаи

Прв услов: дали конфигурираната крајна точка на партнерот се совпаѓа со адресата што навистина пристигнува? Ако пакетите пристигнуваат до оддалечената порта од адреса што таа не ја поврзува со вашиот објект на партнер, преговорот пропаѓа пред да се размени било каков идентитет. Втор услов: дали идентитетот IKE во предлогот се совпаѓа со вредноста што ја очекува партнерот? Тоа е автентикација, не транспорт. Трет услов: дали опцијата што сакате да ја смените е поддржана за овој виртуелен систем на ова издание? Ниту едно видливо поставување не одговара на овие прашања.

Ако првиот услов не е исполнет, имате проблем со рутирање или превод. Ако вториот не е исполнет, имате проблем со договорот со партнерот. Ако третиот е непознат, престанете со конфигурирање.

Прво составете го записот за надворешниот партнер

Запишете го виртуелниот систем, изданието на софтверот и инсталираното ниво на ажурирање пред да допрете нешто. Потоа регистрирајте ги надворешните интерфејси, рутата кон оддалечениот партнер, очекуваните изворни адреси пред и по NAT, и конфигурираната крајна точка на оддалечениот партнер.

Држете ги внатрешните заштитени префикси во посебен дел од тој запис. Менувањето надворешен извор и менувањето заштитена LAN адреса се две различни операции што случајно живеат во иста политика.

Додадете насока на секоја снимка што ја чувате. Локално започнат преговор и одговор до оддалечениот партнер можат различно да изберат, затоа снимка без ознака е слаб доказ. Означете ја датотеката со виртуелниот систем и иницијаторот.

Прочитајте што навистина раздвојува изборот на врска

Водичот на Check Point за избор на врска во R81.20 раздвојува три работи што луѓето ги спојуваат во едно: како оддалечениот партнер ја решава адресата на портата, која рута го носи излезниот сообраќај и која изворна IP се користи. Секоја одговара на различно прашање. Ниту една не го менува идентитетот што партнерот го автентицира.

Тоа раздвојување објаснува зошто промена на рутата може да ја смени видливата надворешна адреса без да го допре идентитетот IKE, и зошто промена на идентитетот може да го скрши тунелот чие рутирање е беспрекорно.

RFC 7296 ја повлекува истата граница за самиот IKE: идентификацискиот товар не е транспортната адреса. Производителите го спроведуваат тоа раздвојување, не го редефинираат.

Одлучувајте со докази, не со панелот за поставки

Ако партнерот пријави непознат или несовпаднат идентитет, поправете го објектот на партнерот или конфигурацијата на идентитетот, а не изборот на извор. Ако партнерот не пријави ништо, а вашата снимка покажува пакети што излегуваат од неочекувана адреса, прво поправете рутирање или превод. Ако двете изгледаат точно, а тунелот сè уште не се крева, снимете на оддалечената страна и споредете што примила. Само кога адресата и идентитетот се совпаѓаат, а патеката сè уште е погрешна, некоја опција за избор на врска станува кандидат.

Пред да ја конфигурирате таа опција на VSX, обезбедете насоки за поддржани функции на соодветното издание или експлицитна изјава од производителот за контекстот на виртуелниот систем. Постариот извештај дека некоја функција не била достапна е историја, не сегашна забрана, а панелот за поставки не е изјава за поддршка.

Усогласете ги двата краја и чувајте го записот

Кога имате поддржан дизајн, разгледајте ги надворешната достапност, конфигурацијата на крајната точка на партнерот и договорот за идентитетот заедно, како еден договор. Потоа планирајте прифаќање за три случаи: почетно поврзување, поврзување започнато од оддалечената страна и дефектот што го очекувате кога патеката ќе се прекине.

Зачувајте ги забележаните надворешни адреси до контекстот на активниот виртуелен систем. Тогаш следната промена на рутата се споредува со документиран договор, а не со нечие сеќавање на стандардната вредност.