Check Point VSX VPN: għażla tal-link jew nuqqas ta' qbil tal-pari?

Żewġ bidliet differenti jipproduċu l-istess sintomu meta tunnel site-to-site ta' Check Point jieqaf jitla': il-pari jara indirizz estern differenti, jew jirrifjuta l-identità IKE li issa jirċievi. Fuq qabda meħuda minn naħa waħda t-tnejn jidhru l-istess. Biex tiddeċiedi liema każ għandek hemm bżonn tliet verifiki, u l-ebda waħda minnhom mhi l-pannell tal-għażla tal-link.

Jekk iżżomm l-ordni ħażin, tkun qed tagħmel il-għażla tas-sors biex issewwi nuqqas ta' qbil fl-identità. Hekk l-istess tunnel jiġi msewwi darbtejn u jerġa' jinkiser wara l-bidla fil-mogħdija li jmiss.

Tliet kundizzjonijiet li jifirdu ż-żewġ każijiet

L-ewwel kundizzjoni: l-endpoint konfigurat tal-pari jaqbel mal-indirizz li tassew jasal? Jekk il-pakketti jaslu għand il-gateway imbiegħed minn indirizz li dan ma jassoċjah max-xogħol tal-pari tiegħek, in-negozjazzjoni tfalli qabel ma jiġi skambjat xi identità. It-tieni kundizzjoni: l-identità IKE fil-proposta taqbel mal-valur li jistenna l-pari? Dik hija awtentikazzjoni, mhux trasport. It-tielet kundizzjoni: l-għażla li trid tbiddel hija appoġġjata għal dan is-sistema virtwali fuq din il-verżjoni? L-ebda konfigurazzjoni viżibbli ma twieġeb dawn il-mistoqsijiet.

Jekk l-ewwel kundizzjoni tfalli, għandek problema ta' routing jew ta' traduzzjoni. Jekk it-tieni tfalli, għandek problema ta' kuntratt mal-pari. Jekk it-tielet mhix magħrufa, waqqaf il-konfigurazzjoni.

L-ewwel ibni r-rekord tal-pari estern

Ikteb is-sistema virtwali, il-verżjoni tas-software u l-livell ta' aġġornament installat qabel ma tmiss xejn. Imbagħad irreġistra l-interfaces esterni, il-mogħdija lejn il-pari mbiegħed, l-indirizzi tas-sors mistennija qabel u wara NAT, u l-endpoint konfigurat tal-pari mbiegħed.

Żomm il-prefissi protetti interni f'parti separata ta' dak ir-rekord. Tibdel sors estern u tibdel indirizz LAN protett huma żewġ operazzjonijiet differenti li jinsabu fl-istess politika b'kumbinazzjoni.

Żid id-direzzjoni ma' kull qabda li żżomm. Negozjazzjoni mibdija lokalment u tweġiba lill-pari mbiegħed jistgħu jagħżlu mod differenti, għalhekk qabda mingħajr tikketta hija prova dgħajfa. Ittikketti l-fajl bis-sistema virtwali u min beda.

Aqra x'inhi tassew tifred l-għażla tal-link

Il-gwida ta' Check Point dwar l-għażla tal-link f'R81.20 tifred tliet affarijiet li n-nies jingħaqdu f'waħda: kif il-pari mbiegħed isolvi indirizz tal-gateway, liema mogħdija ġġorr it-traffiku ħiereġ, u liema IP tas-sors jintuża. Kull waħda twieġeb mistoqsija differenti. L-ebda waħda minnhom ma tbiddel l-identità li tawtentika l-pari.

Dan il-firda jispjega għaliex bidla fil-mogħdija tista' tbiddel l-indirizz estern viżibbli mingħajr ma tmiss l-identità IKE, u għaliex bidla fl-identità tista' tkisser tunnel li r-routing tiegħu huwa perfett.

Ir-RFC 7296 tiġbed l-istess linja għal IKE stess: il-payload tal-identifikazzjoni mhuwiex l-indirizz tat-trasport. Il-fornituri jimplimentaw dan il-firda, ma jiddefinuhx mill-ġdid.

Iddeċiedi bil-provi, mhux bil-pannell tal-konfigurazzjoni

Jekk il-pari jirrapporta identità mhux magħrufa jew li ma taqbilx, sewwi x-xogħol tal-pari jew il-konfigurazzjoni tal-identità, mhux l-għażla tas-sors. Jekk il-pari ma jirrapporta xejn u l-qabda tiegħek turi pakketti ħerġin minn indirizz mhux mistenni, l-ewwel sewwi r-routing jew it-traduzzjoni. Jekk it-tnejn jidhru tajbin u t-tunnel xorta jfalli, aqbad fuq in-naħa mbiegħda u qabbel x'irċeviet. Biss meta l-indirizz u l-identità jaqblu u l-mogħdija xorta tkun ħażina, għażla tal-link issir kandidat.

Qabel ma tikkonfigura dik l-għażla fuq VSX, ikseb il-gwida dwar il-funzjonijiet appoġġjati tal-verżjoni li taqbel jew dikjarazzjoni espliċita tal-fornitur għall-kuntest tas-sistema virtwali. Rapport eqdem li funzjoni ma kinitx disponibbli huwa storja, mhux projbizzjoni attwali, u pannell tal-konfigurazzjoni mhuwiex dikjarazzjoni ta' appoġġ.

Irrikonċilja ż-żewġ trufijiet u żomm ir-rekord

Ladarba jkollok disinn appoġġjat, reġa' eżamina flimkien il-kobor estern, il-konfigurazzjoni tal-endpoint tal-pari u l-ftehim dwar l-identità, bħala kuntratt wieħed. Imbagħad ippjana l-aċċettazzjoni għal tliet każijiet: il-konnessjoni inizjali, il-konnessjoni mibdija min-naħa mbiegħda, u l-falliment li tistenna meta tinqata' l-mogħdija.

Salva l-indirizzi esterni osservati ħdejn il-kuntest tas-sistema virtwali attiva. Il-bidla fil-mogħdija li jmiss imbagħad tqabbel ma' kuntratt iddokumentat minflok ma' tifkira ta' xi ħadd dwar il-valur default.