Sophos VPN mellom nettstader er oppe, men ingen trafikk går: lisens eller rute?

Å opprette ein IPsec-assosiasjon, sjå ruta i tabellen og likevel få tidsavbrot frå filialen er ein kjend kombinasjon på Sophos Firewall. På Sophos Firewall har den kombinasjonen minst to vanlege forklaringar: eit hol i vidaresendinga, eller eit vilkår i Base-lisensen som held tunnelen oppe medan dataa sluttar å passere. Dei gir nesten identiske symptom, så den einaste vegen gjennom er å samle uavhengige bevis for kvar av dei. Begge er så vanlege at ingen av dei kan føresetjast.

Ein tunnel kan vere oppe utan data

Ein IPsec-assosiasjon er eit tryggingsforhold, ikkje eit løfte om å vidaresende pakkar. Fase 1 og fase 2 kan fullførast medan policyen som vel trafikk, ruta til det fjerne prefikset eller sjølve datastien er feil. Tunnelvisinga svarar på eitt spørsmål og lèt dei andre stå opne.

Byrja med å namngi kva prefiks som skal krysse og i kva retning. Ein tunnel utan interessant trafikk ser på ei statusside lik ut som ein øydelagd tunnel.

Kva Base-lisensen dekkjer

Sophos fører opp VPN under Base-lisensen, skilt frå Network Protection og Central Orchestration. Ein utlopen valfri modul er derfor sitt eige problem og ikkje automatisk bevis for at IPsec mellom nettstader treng ei ny betalt pakke. Noter modell, versjon, registreringsidentitet og Base Firewall-status. Avstem det så mot registreringane til kontoeigaren gjennom den støtta lisensprosessen, og hald serienummer utanfor offentlege notat.

Plattforma endrar også regelen. Sky-, virtuelle og programvareeiningar får ein Base-lisens utan utløpsdato, medan Base-lisensen til ei maskinvareeining går ut ved slutten av levetida. Ei suspendert registrering er ein tredje tilstand mellom gyldig og utlopen, og ho fortener dei same bevisa i staden for ei gissing.

Bevis ruta før du klandrar lisensen

Bevis vidaresendingsstien uavhengig. Spør eininga kva rute ho ville brukt til det fjerne prefikset, og stadfest deretter at tryggingspolicyen vel den trafikken og at svarvegen finst på den andre sida. Ei manglande rute til det fjerne prefikset blir eit ruteproblem, same kor sunn lisensen er.

ip route get 10.80.20.10

Den motsette retninga tyder like mykje som den framover. Ein filial som når hovudkontoret men ikkje omvendt har eit hol i returruta eller policyen, ikkje ein feil i datastien. Registrer éin tillaten flyt i begge retningar før du dreg konklusjonar.

Hald to registreringar slik at neste reparasjon er ærleg

Hald to skilde registreringar og datér dei. Den første dekkjer retten: kva lisenssida viste, kva abonnement som galdt og når det vart synkronisert. Den andre dekkjer vidaresendinga: prefiks, ruter, tryggingsassosiasjonar og retningsbestemte teljarar for éin flyt. Når symptomet endrar seg etter ein reparasjon, viser registreringane kva forklaring som faktisk var riktig.

ipsec status

Den disiplinen tyder noko fordi ein lisensreparasjon og ein rutereparasjon ser identiske ut frå ein vellukka ping. Vart begge endra på ein gong, har du lært at tenesta verkar, og ingenting om kvifor ho ikkje gjorde det. Endre éin ting, mål den same flyten på nytt, og rettleiinga for utløp avgjer kva retten åleine kan forklare.