Sophos VPN mellom nettsteder er oppe, men ingen trafikk går: lisens eller rute?

Å opprette en IPsec-assosiasjon, se ruten i tabellen og likevel få tidsavbrudd fra filialen er en kjent kombinasjon på Sophos Firewall. På Sophos Firewall har den kombinasjonen minst to vanlige forklaringer: et hull i videresendingen, eller en betingelse i Base-lisensen som holder tunnelen oppe mens dataene slutter å passere. De gir nesten identiske symptomer, så den eneste veien gjennom er å samle uavhengige bevis for hver av dem. Begge er så vanlige at ingen av dem kan forutsettes.

En tunnel kan være oppe uten data

En IPsec-assosiasjon er et sikkerhetsforhold, ikke et løfte om å videresende pakker. Fase 1 og fase 2 kan fullføres mens policyen som velger trafikk, ruten til det fjerne prefikset eller selve datastien er feil. Tunnelvisningen svarer på ett spørsmål og lar de andre stå åpne.

Begynn med å navngi hvilke prefikser som skal krysse og i hvilken retning. En tunnel uten interessant trafikk ser på en statusside ut som en ødelagt tunnel.

Hva Base-lisensen dekker

Sophos fører opp VPN under Base-lisensen, atskilt fra Network Protection og Central Orchestration. En utløpt valgfri modul er derfor sitt eget problem og ikke automatisk bevis for at IPsec mellom nettsteder trenger en ny betalt pakke. Noter modell, versjon, registreringsidentitet og Base Firewall-status. Avstem det så mot kontoeierens registreringer gjennom den støttede lisensprosessen, og hold serienumre utenfor offentlige notater.

Plattformen endrer også regelen. Sky-, virtuelle og programvareenheter får en Base-lisens uten utløpsdato, mens en maskinvareenhets Base-lisens utløper ved levetidens slutt. En suspendert registrering er en tredje tilstand mellom gyldig og utløpt, og den fortjener de samme bevisene i stedet for en gjetning.

Bevis ruten før du klandrer lisensen

Bevis videresendingsstien uavhengig. Spør enheten hvilken rute den ville brukt til det fjerne prefikset, og bekreft deretter at sikkerhetspolicyen velger den trafikken og at svarveien finnes på den andre siden. En manglende rute til det fjerne prefikset forblir et ruteproblem, uansett hvor sunn lisensen er.

ip route get 10.80.20.10

Den motsatte retningen betyr like mye som den fremover. En filial som når hovedkontoret men ikke omvendt har et hull i returruten eller policyen, ikke en feil i datastien. Registrer én tillatt flyt i begge retninger før du trekker konklusjoner.

Hold to registreringer slik at neste reparasjon er ærlig

Hold to atskilte registreringer og datér dem. Den første dekker rettigheten: hva lisenssiden viste, hvilket abonnement som gjaldt og når det ble synkronisert. Den andre dekker videresendingen: prefikser, ruter, sikkerhetsassosiasjoner og retningsbestemte tellere for én flyt. Når symptomet endres etter en reparasjon, viser registreringene hvilken forklaring som faktisk var riktig.

ipsec status

Den disiplinen betyr noe fordi en lisensreparasjon og en rutereparasjon ser identiske ut fra en vellykket ping. Hvis begge ble endret på én gang, har du lært at tjenesten virker, og ingenting om hvorfor den ikke gjorde det. Endre én ting, mål den samme flyten på nytt, og veiledningen for utløp avgjør hva rettigheten alene kan forklare.