Check Point VSX VPN: wybór łącza czy niezgodność peera?

Dwie różne zmiany dają ten sam objaw, gdy tunel lokacja-lokacja w Check Poincie przestaje się podnosić: peer widzi inny adres zewnętrzny albo odrzuca tożsamość IKE, którą teraz otrzymuje. Na zrzucie z jednej strony oba wyglądają identycznie. Rozstrzygnięcie, który przypadek masz, wymaga trzech kontroli i żadna z nich nie jest panelem wyboru łącza.

Jeśli pomylisz kolejność, dostrajasz wybór źródła, aby naprawić niezgodność tożsamości. Tak właśnie ten sam tunel jest naprawiany dwa razy i psuje się ponownie po następnej zmianie trasy.

Trzy warunki, które rozdzielają oba przypadki

Warunek pierwszy: czy skonfigurowany punkt końcowy peera zgadza się z adresem, który faktycznie przychodzi? Jeśli pakiety docierają do zdalnej bramy z adresu, którego nie wiąże ona z twoim obiektem peera, negocjacja zawodzi, zanim dojdzie do wymiany jakiejkolwiek tożsamości. Warunek drugi: czy tożsamość IKE w propozycji zgadza się z wartością oczekiwaną przez peera? To uwierzytelnianie, nie transport. Warunek trzeci: czy opcja, którą chcesz zmienić, jest obsługiwana dla tego systemu wirtualnego w tej wersji? Żadne widoczne ustawienie nie odpowiada na te pytania.

Jeśli pierwszy warunek zawodzi, masz problem z routingiem lub translacją. Jeśli drugi, masz problem z umową z peerem. Jeśli trzeci jest nieznany, przestań konfigurować.

Najpierw zbuduj zapis zewnętrznego peera

Zapisz system wirtualny, wersję oprogramowania i zainstalowany poziom aktualizacji, zanim czegokolwiek dotkniesz. Następnie zarejestruj interfejsy zewnętrzne, trasę do zdalnego peera, oczekiwane adresy źródłowe przed i po NAT oraz skonfigurowany punkt końcowy zdalnego peera.

Trzymaj wewnętrzne chronione prefiksy w osobnej części tego zapisu. Zmiana źródła zewnętrznego i zmiana chronionego adresu LAN to dwie różne operacje, które przypadkiem mieszkają w tej samej polityce.

Dodawaj kierunek do każdego zachowanego zrzutu. Negocjacja zainicjowana lokalnie i odpowiedź do zdalnego peera mogą wybierać inaczej, więc zrzut bez etykiety jest słabym dowodem. Oznacz plik systemem wirtualnym i inicjatorem.

Przeczytaj, co wybór łącza naprawdę rozdziela

Przewodnik Check Pointa po wyborze łącza w R81.20 rozdziela trzy rzeczy, które ludzie łączą w jedną: jak zdalny peer rozwiązuje adres bramy, która trasa niesie ruch wychodzący i który adres IP źródłowy jest używany. Każda odpowiada na inne pytanie. Żadna z nich nie zmienia tożsamości, którą uwierzytelnia peer.

To rozdzielenie wyjaśnia, dlaczego zmiana trasy może zmienić widoczny adres zewnętrzny bez dotykania tożsamości IKE, i dlaczego zmiana tożsamości może zepsuć tunel, którego routing jest bezbłędny.

RFC 7296 wyznacza tę samą granicę dla samego IKE: ładunek identyfikacyjny nie jest adresem transportowym. Producenci implementują to rozdzielenie, a nie definiują go na nowo.

Decyduj na podstawie dowodów, nie panelu ustawień

Jeśli peer zgłasza nieznaną lub niezgodną tożsamość, popraw obiekt peera lub konfigurację tożsamości, a nie wybór źródła. Jeśli peer nic nie zgłasza, a twój zrzut pokazuje pakiety wychodzące z nieoczekiwanego adresu, najpierw popraw routing lub translację. Jeśli oba wyglądają poprawnie, a tunel nadal zawodzi, zrób zrzut po zdalnej stronie i porównaj, co odebrała. Dopiero gdy adres i tożsamość się zgadzają, a ścieżka nadal jest błędna, opcja wyboru łącza staje się kandydatem.

Zanim skonfigurujesz tę opcję na VSX, zdobądź wskazówki dotyczące obsługiwanych funkcji dla odpowiedniej wersji albo wyraźne oświadczenie producenta dla kontekstu systemu wirtualnego. Starszy raport, że funkcja była niedostępna, to historia, a nie obecny zakaz, a panel ustawień nie jest oświadczeniem o wsparciu.

Uzgodnij oba końce i zachowaj zapis

Gdy masz obsługiwany projekt, przejrzyj razem osiągalność zewnętrzną, konfigurację punktu końcowego peera i uzgodnienie tożsamości, jako jedną umowę. Następnie zaplanuj odbiór dla trzech przypadków: połączenia początkowego, połączenia zainicjowanego przez stronę zdalną i awarii, której oczekujesz przy zerwaniu ścieżki.

Zapisz zaobserwowane adresy zewnętrzne obok kontekstu aktywnego systemu wirtualnego. Wtedy następna zmiana trasy porówna się z udokumentowaną umową, a nie z czyimś wspomnieniem wartości domyślnej.