Check Point VSX VPN: lenkeval eller eit avvik hjå peer-en?

To ulike endringar gir same symptom når ein Check Point-tunnel mellom to stader sluttar å kome opp: peer-en ser ei anna ekstern adresse, eller han avviser IKE-identiteten han no tek imot. På eit opptak frå éi side ser dei like ut. Å avgjere kva for eit av dei to du har krev tre kontrollar, og ingen av dei er lenkeval-panelet.

Tek du rekkjefylgja feil, justerer du valet av kjelde for å rette eit identitetsavvik. Slik blir den same tunnelen reparert to gonger og bryt saman igjen etter neste ruteendring.

Tre vilkår som skil dei to tilfella

Vilkår éin: samsvarar det konfigurerte endepunktet hjå peer-en med adressa som faktisk kjem inn? Viss pakkar når den fjerne gatewayen frå ei adresse han ikkje knyter til peer-objektet ditt, mislukkast forhandlinga før noko identitet blir bytt. Vilkår to: samsvarar IKE-identiteten i forslaget med verdien peer-en ventar? Det er autentisering, ikkje transport. Vilkår tre: er alternativet du vil endre støtta for dette virtuelle systemet på denne versjonen? Ingen synleg innstilling svarar på desse spørsmåla.

Viss vilkår éin ikkje held, har du eit rute- eller omsetjingsproblem. Viss vilkår to ikkje held, har du eit problem med peer-kontrakten. Viss vilkår tre er ukjent, stoggar du konfigureringa.

Bygg registreringa av den eksterne peer-en fyrst

Skriv ned det virtuelle systemet, programvareversjonen og installert oppdateringsnivå før du rører noko. Registrer deretter dei eksterne grensesnitta, ruta mot den fjerne peer-en, venta kjeldeadresser før og etter NAT, og det konfigurerte endepunktet til den fjerne peer-en.

Hald dei indre verna prefiksa i ein eigen del av den registreringa. Å endre ei ekstern kjelde og å endre ei verna LAN-adresse er to ulike operasjonar som tilfeldigvis ligg i same policy.

Legg til retning på kvart opptak du tek vare på. Ei lokalt starta forhandling og eit svar til den fjerne peer-en kan velje ulikt, så eit opptak utan merke er svakt prov. Merk fila med det virtuelle systemet og initiativtakaren.

Les kva lenkeval faktisk skil

Rettleiinga frå Check Point for lenkeval i R81.20 skil tre ting som folk smeltar saman til éin: korleis den fjerne peer-en løyser ei gateway-adresse, kva rute som ber utgåande trafikk, og kva kjelde-IP som blir brukt. Kvar av dei svarar på eit ulikt spørsmål. Ingen av dei endrar identiteten peer-en autentiserer.

Den inndelinga forklarar kvifor ei ruteendring kan endre den synlege eksterne adressa utan å røre IKE-identiteten, og kvifor ei identitetsendring kan bryte ein tunnel der rutinga er perfekt.

RFC 7296 dreg same grensa for IKE sjølv: identifikasjonsnyttelasta er ikkje transportadressa. Leverandørar implementerer denne delinga, dei omdefinerer ho ikkje.

Avgjer med prov, ikkje med innstillingspanelet

Viss peer-en rapporterer ein ukjend eller ikkje-samsvarande identitet, rettar du peer-objektet eller identitetskonfigurasjonen, ikkje valet av kjelde. Viss peer-en ikkje rapporterer noko og opptaket ditt viser pakkar som går ut frå ei uventa adresse, rettar du ruting eller omsetjing fyrst. Viss begge ser rette ut og tunnelen framleis sviktar, tek du opptak på den fjerne sida og samanliknar kva ho tok imot. Berre når adresse og identitet stemmer og stien framleis er feil, blir eit lenkeval-alternativ ein kandidat.

Før du konfigurerer det alternativet på VSX, skaff rettleiing for støtta funksjonar for rett versjon eller ei uttrykkeleg fråsegn frå leverandøren for konteksten til det virtuelle systemet. Ein eldre rapport om at ein funksjon ikkje var tilgjengeleg er historie, ikkje eit gjeldande forbod, og eit innstillingspanel er ikkje ei støttefråsegn.

Samkjør begge endar og ta vare på registreringa

Når du har eit støtta design, gå gjennom ekstern tilgjenge, endepunktkonfigurasjonen til peer-en og identitetsavtalen saman, som éin kontrakt. Planlegg deretter godkjenning for tre tilfelle: den fyrste tilkoplinga, ei tilkopling starta av den fjerne sida, og feilen du ventar når stien bryt saman.

Lagre dei observerte eksterne adressene ved sida av konteksten til det aktive virtuelle systemet. Då samanliknar neste ruteendring med ein dokumentert kontrakt i staden for minnet til nokon om standardverdien.