Check Point VSX VPN: lenkevalg eller en peer-avvik?

To forskjellige endringer gir samme symptom når en Check Point-tunnel mellom to steder slutter å komme opp: peer-en ser en annen ekstern adresse, eller den avviser IKE-identiteten den nå mottar. På en opptak fra én side ser de like ut. Å avgjøre hvilken av dem du har krever tre kontroller, og ingen av dem er lenkevalg-panelet.

Tar du rekkefølgen feil, justerer du kildevalget for å rette en identitetsavvik. Det er slik den samme tunnelen blir reparert to ganger og bryter sammen igjen etter neste ruteendring.

Tre vilkår som skiller de to tilfellene

Vilkår én: samsvarer det konfigurerte endepunktet hos peer-en med adressen som faktisk ankommer? Hvis pakker når den fjerne gatewayen fra en adresse den ikke knytter til peer-objektet ditt, mislykkes forhandlingen før noen identitet utveksles. Vilkår to: samsvarer IKE-identiteten i forslaget med verdien peer-en forventer? Det er autentisering, ikke transport. Vilkår tre: er alternativet du vil endre støttet for dette virtuelle systemet på denne versjonen? Ingen synlig innstilling besvarer disse spørsmålene.

Hvis vilkår én ikke holder, har du et rute- eller oversettelsesproblem. Hvis vilkår to ikke holder, har du et peer-kontraktproblem. Hvis vilkår tre er ukjent, stopp konfigureringen.

Bygg registreringen av den eksterne peer-en først

Skriv ned det virtuelle systemet, programvareversjonen og installert oppdateringsnivå før du rører noe. Registrer deretter de eksterne grensesnittene, ruten mot den fjerne peer-en, forventede kildeadresser før og etter NAT, og den konfigurerte endepunktet til den fjerne peer-en.

Hold de indre beskyttede prefiksene i en egen del av den registreringen. Å endre en ekstern kilde og å endre en beskyttet LAN-adresse er to forskjellige operasjoner som tilfeldigvis ligger i samme policy.

Legg til retning på hvert opptak du beholder. En lokalt initiert forhandling og et svar til den fjerne peer-en kan velge ulikt, så et opptak uten merke er svakt bevis. Merk filen med det virtuelle systemet og initiativtakeren.

Les hva lenkevalg faktisk skiller

Check Points veiledning for lenkevalg i R81.20 skiller tre ting som folk smelter sammen til én: hvordan den fjerne peer-en løser en gateway-adresse, hvilken rute som bærer utgående trafikk, og hvilken kilde-IP som brukes. Hver av dem svarer på et ulikt spørsmål. Ingen av dem endrer identiteten peer-en autentiserer.

Den inndelingen forklarer hvorfor en ruteendring kan endre den synlige eksterne adressen uten å røre IKE-identiteten, og hvorfor en identitetsendring kan bryte en tunnel hvis ruting er perfekt.

RFC 7296 trekker samme grense for IKE selv: identifikasjonsnyttelasten er ikke transportadressen. Leverandører implementerer denne delingen, de omdefinerer den ikke.

Avgjør med bevis, ikke med innstillingspanelet

Hvis peer-en rapporterer en ukjent eller ikke-samsvarende identitet, rett peer-objektet eller identitetskonfigurasjonen, ikke kildevalget. Hvis peer-en ikke rapporterer noe og opptaket ditt viser pakker som går ut fra en uventet adresse, rett ruting eller oversettelse først. Hvis begge ser riktige ut og tunnelen fortsatt feiler, ta opptak på den fjerne siden og sammenlign hva den mottok. Bare når adresse og identitet stemmer og stien fortsatt er feil, blir et lenkevalg-alternativ kandidat.

Før du konfigurerer det alternativet på VSX, skaff veiledning for støttede funksjoner for riktig versjon eller en uttrykkelig erklæring fra leverandøren for konteksten til det virtuelle systemet. En eldre rapport om at en funksjon ikke var tilgjengelig er historie, ikke et gjeldende forbud, og et innstillingspanel er ikke en støtteerklæring.

Avstem begge ender og ta vare på registreringen

Når du har et støttet design, gå gjennom ekstern tilgjengelighet, endepunktkonfigurasjonen til peer-en og identitetsavtalen sammen, som én kontrakt. Planlegg deretter godkjenning for tre tilfeller: den første forbindelsen, en forbindelse startet av den fjerne siden, og feilen du forventer når stien bryter sammen.

Lagre de observerte eksterne adressene ved siden av konteksten til det aktive virtuelle systemet. Da sammenligner neste ruteendring med en dokumentert kontrakt i stedet for noens minne om standardverdien.