Check Point VSX VPN: pemilihan pautan atau ketidakpadanan rakan sebaya?

Dua perubahan berbeza menghasilkan gejala yang sama apabila terowong tapak-ke-tapak Check Point berhenti naik: rakan sebaya melihat alamat luaran yang berbeza, atau ia menolak identiti IKE yang kini diterimanya. Pada tangkapan dari satu sisi, kedua-duanya kelihatan serupa. Untuk menentukan yang mana satu anda hadapi memerlukan tiga pemeriksaan, dan tiada satu pun daripadanya ialah panel pemilihan pautan.

Jika tersalah urutan, anda menala pemilihan sumber untuk membaiki ketidakpadanan identiti. Begitulah terowong yang sama dibaiki dua kali dan rosak semula selepas perubahan laluan seterusnya.

Tiga syarat yang memisahkan kedua-dua kes

Syarat pertama: adakah titik akhir yang dikonfigurasikan pada rakan sebaya sepadan dengan alamat yang benar-benar tiba? Jika paket sampai ke get laluan jauh dari alamat yang tidak dikaitkannya dengan objek rakan sebaya anda, rundingan gagal sebelum sebarang identiti ditukar. Syarat kedua: adakah identiti IKE dalam cadangan sepadan dengan nilai yang dijangka oleh rakan sebaya? Itu pengesahan, bukan pengangkutan. Syarat ketiga: adakah pilihan yang ingin anda ubah disokong untuk sistem maya ini pada keluaran ini? Tiada tetapan yang kelihatan menjawab soalan-soalan itu.

Jika syarat pertama gagal, anda mempunyai masalah penghalaan atau terjemahan. Jika syarat kedua gagal, anda mempunyai masalah kontrak dengan rakan sebaya. Jika syarat ketiga tidak diketahui, hentikan konfigurasi.

Bina rekod rakan sebaya luaran dahulu

Tulis sistem maya, keluaran perisian dan tahap kemas kini yang dipasang sebelum menyentuh apa-apa. Kemudian rekod antara muka luaran, laluan menuju rakan sebaya jauh, alamat sumber yang dijangka sebelum dan selepas NAT, serta titik akhir yang dikonfigurasikan pada rakan sebaya jauh.

Simpan awalan terlindung dalaman dalam bahagian berasingan rekod itu. Menukar sumber luaran dan menukar alamat LAN terlindung ialah dua operasi berbeza yang kebetulan tinggal dalam dasar yang sama.

Tambahkan arah pada setiap tangkapan yang anda simpan. Rundingan yang dimulakan secara setempat dan balasan kepada rakan sebaya jauh boleh memilih secara berbeza, jadi tangkapan tanpa label ialah bukti lemah. Labelkan fail dengan sistem maya dan pencetus.

Baca apa yang sebenarnya dipisahkan oleh pemilihan pautan

Panduan Check Point tentang pemilihan pautan dalam R81.20 memisahkan tiga perkara yang orang gabungkan menjadi satu: bagaimana rakan sebaya jauh menyelesaikan alamat get laluan, laluan mana yang membawa trafik keluar, dan IP sumber mana yang digunakan. Setiap satu menjawab soalan berbeza. Tiada satu pun mengubah identiti yang disahkan oleh rakan sebaya.

Pemisahan itulah yang menjelaskan mengapa perubahan laluan boleh mengubah alamat luaran yang kelihatan tanpa menyentuh identiti IKE, dan mengapa perubahan identiti boleh memecahkan terowong yang penghalaannya sempurna.

RFC 7296 menarik garis yang sama untuk IKE sendiri: muatan pengenalan bukanlah alamat pengangkutan. Vendor melaksanakan pemisahan itu, mereka tidak mentakrifkannya semula.

Putuskan dengan bukti, bukan dengan panel tetapan

Jika rakan sebaya melaporkan identiti yang tidak diketahui atau tidak sepadan, betulkan objek rakan sebaya atau konfigurasi identiti, bukan pemilihan sumber. Jika rakan sebaya tidak melaporkan apa-apa dan tangkapan anda menunjukkan paket keluar dari alamat yang tidak dijangka, betulkan penghalaan atau terjemahan dahulu. Jika kedua-duanya kelihatan betul dan terowong masih gagal, tangkap di sisi jauh dan bandingkan apa yang diterimanya. Hanya apabila alamat dan identiti bersetuju dan laluan masih salah, sesuatu pilihan pemilihan pautan menjadi calon.

Sebelum mengkonfigurasi pilihan itu pada VSX, dapatkan panduan ciri yang disokong bagi keluaran yang sepadan atau kenyataan jelas daripada vendor untuk konteks sistem maya. Laporan lama bahawa sesuatu ciri tidak tersedia ialah sejarah, bukan larangan semasa, dan panel tetapan bukan kenyataan sokongan.

Selaraskan kedua-dua hujung dan simpan rekod

Setelah anda mempunyai reka bentuk yang disokong, semak kebolehcapaian luaran, konfigurasi titik akhir rakan sebaya dan persetujuan identiti bersama-sama, sebagai satu kontrak. Kemudian rancang penerimaan untuk tiga kes: sambungan awal, sambungan yang dimulakan oleh sisi jauh, dan kegagalan yang anda jangkakan apabila laluan terputus.

Simpan alamat luaran yang diperhatikan di sebelah konteks sistem maya yang aktif. Perubahan laluan seterusnya kemudian membandingkan dengan kontrak yang didokumenkan dan bukan dengan ingatan seseorang tentang nilai lalai.