Check Point VSX VPN: холбоосын сонголт уу, эсвэл түншийн зөрүү юу?

Check Point сайт хоорондын туннель босохоо болиход хоёр өөр өөрчлөлт ижил шинж тэмдэг үүсгэдэг: түнш өөр гадаад хаяг харж байна, эсвэл одоо хүлээн авч буй IKE таних тэмдгийг үгүйсгэж байна. Нэг талаас авсан бичлэгт хоёул ижил харагдана. Аль тохиолдол болохыг тодорхойлоход гурван шалгалт хэрэгтэй бөгөөд тэдгээрийн аль нь ч холбоосын сонголтын самбар биш.

Дарааллыг андуурвал таних тэмдгийн зөрүүг засах гэж эх сурвалжийн сонголтыг тохируулна. Ингэж нэг туннель хоёр удаа засагдаж, дараагийн маршрутын өөрчлөлтийн дараа дахин эвдэрдэг.

Хоёр тохиолдлыг тусгаарлах гурван нөхцөл

Нэгдүгээр нөхцөл: түншийн тохируулсан төгсгөлийн цэг бодитоор ирж буй хаягтай тохирч байна уу? Хэрэв пакетууд алслагдсан гарц руу таны түнш объекттой холбохгүй хаягаас ирвэл ямар ч таних тэмдэг солилцохоос өмнө хэлэлцээр бүтэлгүйтнэ. Хоёрдугаар нөхцөл: саналын IKE таних тэмдэг түншийн хүлээж буй утгатай тохирч байна уу? Энэ нь баталгаажуулалт, тээвэр биш. Гуравдугаар нөхцөл: өөрчлөхийг хүсч буй сонголт энэ хувилбарт энэ виртуал системд дэмжигддэг үү? Харагдах ямар ч тохиргоо эдгээр асуултад хариулдаггүй.

Нэгдүгээр нөхцөл биелэхгүй бол маршрут эсвэл орчуулгын асуудал байна. Хоёрдугаарт биелэхгүй бол түнштэй хийсэн гэрээний асуудал байна. Гуравдугаарт тодорхойгүй бол тохируулгыг зогсоо.

Эхлээд гадаад түншийн бүртгэлийг үүсгэ

Ямар нэгэн зүйлд хүрэхээс өмнө виртуал систем, програм хангамжийн хувилбар, суулгасан шинэчлэлтийн түвшинг бич. Дараа нь гадаад интерфейс, алслагдсан түнш рүү чиглэсэн маршрут, NAT-ын өмнөх ба дараах хүлээгдэж буй эх хаяг, алслагдсан түншийн тохируулсан төгсгөлийн цэгийг бүртгэ.

Дотоод хамгаалагдсан угтварыг тэр бүртгэлийн тусдаа хэсэгт хадгал. Гадаад эх сурвалжийг өөрчлөх ба хамгаалагдсан LAN хаягийг өөрчлөх нь нэг бодлогод санамсаргүй байрласан хоёр өөр үйлдэл юм.

Хадгалсан бичлэг бүрт чиглэл нэм. Орон нутгаас эхэлсэн хэлэлцээр ба алслагдсан түншид өгсөн хариу өөрөөр сонгож болох тул шошгогүй бичлэг сул нотолгоо юм. Файлыг виртуал систем болон эхлүүлэгчээр шошго.

Холбоосын сонголт юуг тусгаарлаж байгааг унш

Check Point-ийн R81.20 дахь холбоосын сонголтын гарын авлага хүмүүсийн нэг болгон нэгтгэдэг гурван зүйлийг тусгаарладаг: алслагдсан түнш гарцын хаягийг хэрхэн шийддэг, аль маршрут гадагш урсгалыг зөөдөг, аль эх IP ашиглагддаг. Тус бүр өөр асуултад хариулна. Тэдгээрийн аль нь ч түншийн баталгаажуулдаг таних тэмдгийг өөрчлөхгүй.

Энэ тусгаарлалт нь маршрутын өөрчлөлт IKE таних тэмдэгт хүрэлгүйгээр харагдах гадаад хаягийг хэрхэн өөрчилж болохыг, мөн таних тэмдгийн өөрчлөлт маршрутлалт нь төгс туннелийг хэрхэн эвдэж болохыг тайлбарладаг.

RFC 7296 нь IKE-ийн хувьд ч мөн адил хил зурдаг: таних ачаалал нь тээврийн хаяг биш. Үйлдвэрлэгчид энэ хуваалтыг хэрэгжүүлдэг, дахин тодорхойлдоггүй.

Тохиргооны самбараар биш, нотолгоогоор шийд

Түнш үл мэдэгдэх эсвэл тохирохгүй таних тэмдгийг мэдээлбэл эх сурвалжийн сонголтыг биш, түнш объект эсвэл таних тэмдгийн тохиргоог зас. Түнш юу ч мэдээлэхгүй, таны бичлэг пакетууд санамсаргүй хаягаас гарч байгааг харуулбал эхлээд маршрутлалт эсвэл орчуулгыг зас. Хоёулаа зөв харагдаж байтлаа туннель босохгүй бол алслагдсан талд бичлэг авч, тэр юу хүлээн авсныг харьцуул. Зөвхөн хаяг ба таних тэмдэг тохирч, зам буруу хэвээр байх үед л холбоосын сонголтын аль нэг сонголт нэр дэвшигч болно.

VSX дээр тэр сонголтыг тохируулахаас өмнө холбогдох хувилбарын дэмжигдсэн функцын заавар эсвэл виртуал системийн нөхцөлд зориулсан үйлдвэрлэгчийн тодорхой мэдэгдлийг ав. Функц боломжгүй байсан гэсэн хуучин тайлан бол түүх, одоогийн хориг биш, тохиргооны самбар нь дэмжлэгийн мэдэгдэл биш.

Хоёр төгсгөлийг зохицуулж, бүртгэлээ хадгал

Дэмжигдсэн загвартай болсны дараа гадаад хүртээмж, түншийн төгсгөлийн цэгийн тохиргоо, таних тэмдгийн тохиролцоог хамт, нэг гэрээ гэж хяна. Дараа нь гурван тохиолдолд хүлээн авалтыг төлөвлө: анхны холболт, алслагдсан талаас эхэлсэн холболт, зам тасрах үед хүлээж буй алдаа.

Ажигласан гадаад хаягуудыг идэвхтэй виртуал системийн нөхцлийн дэргэд хадгал. Тэгвэл дараагийн маршрутын өөрчлөлт хэн нэгний анхдагч утгын тухай дурсамжтай биш, баримтжуулсан гэрээтэй харьцуулна.