Sophos VPN помеѓу локации е подигнат, но нема сообраќај: лиценца или рута?

Воспоставување IPsec асоцијација, гледање на рутата во табелата и сепак истекување на времето од огранокот е позната комбинација на Sophos Firewall. На Sophos Firewall таа комбинација има најмалку две обични објаснувања: празнина во проследувањето или услов на Base лиценцата што го држи тунелот подигнат додека податоците престануваат да минуваат. Тие даваат речиси идентични симптоми, затоа единствениот пат е да се соберат независни докази за секое од нив. И двете се доволно чести што ниту една не може да се претпостави.

Тунелот може да биде подигнат без податоци

IPsec асоцијацијата е безбедносен однос, а не ветување за проследување пакети. Фаза 1 и фаза 2 можат да завршат додека политиката што го избира сообраќајот, рутата до оддалечениот префикс или самата патека на податоците е погрешна. Екранот на тунелот одговара на едно прашање и ги остава другите отворени.

Започнете со именување на префиксите што треба да преминат и во која насока. Тунел без интересен сообраќај изгледа исто како расипан тунел на страница за состојба.

Што покрива Base лиценцата

Sophos го наведува VPN под Base лиценцата, одделно од Network Protection и Central Orchestration. Затоа истечен опционален модул е сопствен проблем и не е автоматски доказ дека IPsec помеѓу локации бара нов платен пакет. Забележете го моделот на уредот, изданието, идентитетот на регистрацијата и состојбата на Base Firewall. Потоа усогласете го тоа со евиденцијата на сопственикот на сметката преку поддржаниот процес за лиценцирање и држете ги сериските броеви надвор од јавни белешки.

Платформата исто така го менува правилото. Облачните, виртуелните и софтверските уреди добиваат Base лиценца без датум на истекување, додека Base лиценцата на хардверска единица истекува на крајот од животниот век. Суспендирана регистрација е трета состојба помеѓу важечка и истечена и заслужува исти докази наместо претпоставка.

Докажете ја рутата пред да ја обвините лиценцата

Докажете ја патеката на проследување независно. Прашајте го уредот која рута би ја користел за оддалечениот префикс, потоа потврдете дека безбедносната политика го избира тој сообраќај и дека повратната патека постои на другата страна. Рутата што недостига до оддалечениот префикс останува проблем со рутирањето, колку и да е здрава лиценцата.

ip route get 10.80.20.10

Обратната насока е исто толку важна како и напредната. Огранок што стигнува до централата но не и обратно има празнина во повратната рута или политиката, а не дефект на патеката на податоците. Забележете еден дозволен тек во двете насоки пред да донесете заклучоци.

Водете два записи за да биде следната поправка чесна

Водете два одделни записи и датирајте ги. Првиот го покрива правото: што покажа страницата за лиценцирање, која претплата се применуваше и кога беше синхронизирана. Вториот го покрива проследувањето: префикси, рути, безбедносни асоцијации и насочни бројачи за еден тек. Кога симптомот се менува по поправка, записите покажуваат кое објаснување навистина беше точно.

ipsec status

Оваа дисциплина е важна зашто поправка на лиценца и поправка на рута изгледаат исто од успешен ping. Ако двете се променети одеднаш, научивте дека услугата работи и ништо за тоа зошто не работеше. Променете едно нешто, потоа повторно измерете го истиот тек, и водичот за истекување одредува што само правото може да објасни.