De Sophos site-naar-site-VPN staat maar er gaat geen verkeer door: licentie of route?

Een IPsec-associatie opzetten, de route in de tabel zien en toch een time-out krijgen vanaf de vestiging is een bekende combinatie op Sophos Firewall. Op Sophos Firewall heeft die combinatie minstens twee gewone verklaringen: een gat in het doorsturen, of een voorwaarde van de Base-licentie die de tunnel overeind houdt terwijl de gegevens stoppen met passeren. Ze geven bijna dezelfde symptomen, dus de enige weg erdoor is voor elk afzonderlijk bewijs verzamelen. Beide komen zo vaak voor dat geen van beide mag worden aangenomen.

Een tunnel kan omhoog staan zonder gegevens

Een IPsec-associatie is een beveiligingsrelatie, geen belofte om pakketten door te sturen. Fase 1 en fase 2 kunnen voltooien terwijl het beleid dat verkeer selecteert, de route naar het externe prefix of het datapad zelf onjuist is. De tunnelweergave beantwoordt één vraag en laat de andere open.

Begin met te benoemen welke prefixen moeten oversteken en in welke richting. Een tunnel zonder interessant verkeer ziet er op een statuspagina hetzelfde uit als een kapotte tunnel.

Wat de Base-licentie dekt

Sophos vermeldt VPN onder de Base-licentie, los van Network Protection en Central Orchestration. Een verlopen optionele module is daarom een eigen probleem en niet automatisch bewijs dat site-naar-site-IPsec een nieuw betaald pakket nodig heeft. Noteer het model van het apparaat, de release, de registratie-identiteit en de Base Firewall-status. Stem dat vervolgens af met de administratie van de accounteigenaar via het ondersteunde licentieproces, en houd serienummers buiten openbare notities.

Het platform verandert de regel ook. Cloud-, virtuele en software-apparaten krijgen een Base-licentie zonder vervaldatum, terwijl de Base-licentie van hardware verloopt aan het einde van de levensduur. Een opgeschorte registratie is een derde toestand tussen geldig en verlopen, en die verdient hetzelfde bewijs in plaats van een gok.

Bewijs de route voordat u de licentie de schuld geeft

Bewijs het doorstuurpad onafhankelijk. Vraag het apparaat welke route het voor het externe prefix zou gebruiken, en bevestig dan dat het beveiligingsbeleid dat verkeer selecteert en dat het antwoordpad aan de andere kant bestaat. Een ontbrekende route naar het externe prefix blijft een routeringsprobleem, hoe gezond de licentie ook is.

ip route get 10.80.20.10

De omgekeerde richting telt evenveel als de voorwaartse. Een vestiging die het hoofdkantoor bereikt maar niet andersom heeft een gat in de retourroute of het beleid, geen storing in het datapad. Leg één toegestane stroom in beide richtingen vast voordat u conclusies trekt.

Houd twee registraties bij zodat de volgende reparatie eerlijk is

Houd twee afzonderlijke registraties bij en dateer ze. De eerste dekt het recht: wat de licentiepagina toonde, welk abonnement gold en wanneer het werd gesynchroniseerd. De tweede dekt het doorsturen: prefixen, routes, beveiligingsassociaties en richtinggebonden tellers voor één stroom. Wanneer het symptoom na een reparatie verandert, laten de registraties zien welke verklaring werkelijk juist was.

ipsec status

Die discipline telt omdat een licentiereparatie en een routereparatie er identiek uitzien vanaf een geslaagde ping. Als beide tegelijk zijn gewijzigd, hebt u geleerd dat de dienst werkt en niets over waarom hij dat niet deed. Wijzig één ding, meet diezelfde stroom opnieuw, en de handleiding over verval bepaalt wat het recht alleen kan verklaren.