VPN między lokalizacjami Sophos jest podniesiony, ale nie płynie ruch: licencja czy trasa?

Utworzenie asocjacji IPsec, zobaczenie trasy w tabeli i mimo to przekroczenie czasu z oddziału to znana kombinacja na Sophos Firewall. Na Sophos Firewall ta kombinacja ma co najmniej dwa zwykłe wyjaśnienia: lukę w przekazywaniu albo warunek licencji Base, który utrzymuje tunel podniesiony, gdy dane przestają przechodzić. Oba dają niemal identyczne objawy, więc jedyną drogą jest zebranie niezależnych dowodów dla każdego z nich. Oba są wystarczająco częste, że żadnego nie można założyć.

Tunel może być podniesiony bez danych

Asocjacja IPsec to relacja bezpieczeństwa, a nie obietnica przekazywania pakietów. Faza 1 i faza 2 mogą się zakończyć, gdy polityka wybierająca ruch, trasa do zdalnego prefiksu lub sama ścieżka danych są błędne. Ekran tunelu odpowiada na jedno pytanie, a pozostałe zostawia otwarte.

Zacznij od nazwania, które prefiksy mają przejść i w którym kierunku. Tunel bez interesującego ruchu wygląda na stronie stanu tak samo jak zepsuty tunel.

Co obejmuje licencja Base

Sophos wymienia VPN w ramach licencji Base, oddzielnie od Network Protection i Central Orchestration. Wygasły moduł opcjonalny jest więc osobnym problemem, a nie automatycznym dowodem, że IPsec między lokalizacjami wymaga nowego płatnego pakietu. Zapisz model urządzenia, wersję, tożsamość rejestracji i stan Base Firewall. Następnie uzgodnij to z rejestrami właściciela konta przez obsługiwany proces licencyjny i trzymaj numery seryjne poza publicznymi notatkami.

Platforma też zmienia regułę. Urządzenia chmurowe, wirtualne i programowe otrzymują licencję Base bez daty wygaśnięcia, podczas gdy licencja Base jednostki sprzętowej kończy się wraz z końcem życia. Zawieszona rejestracja to trzeci stan między ważnym a wygasłym i zasługuje na te same dowody zamiast domysłu.

Udowodnij trasę, zanim obwinisz licencję

Udowodnij ścieżkę przekazywania niezależnie. Zapytaj urządzenie, której trasy użyłoby dla zdalnego prefiksu, a potem potwierdź, że polityka bezpieczeństwa wybiera ten ruch i że ścieżka odpowiedzi istnieje po drugiej stronie. Brakująca trasa do zdalnego prefiksu pozostaje problemem routingu, niezależnie od tego, jak zdrowa jest licencja.

ip route get 10.80.20.10

Kierunek odwrotny liczy się tak samo jak kierunek do przodu. Oddział, który dociera do centrali, ale nie odwrotnie, ma lukę w trasie powrotnej albo w polityce, a nie awarię ścieżki danych. Przechwyć jeden dozwolony przepływ w obu kierunkach, zanim wyciągniesz wnioski.

Prowadź dwa rejestry, aby następna naprawa była uczciwa

Prowadź dwa osobne rejestry i opatrz je datami. Pierwszy obejmuje prawo: co pokazywała strona licencji, która subskrypcja obowiązywała i kiedy została zsynchronizowana. Drugi obejmuje przekazywanie: prefiksy, trasy, asocjacje bezpieczeństwa i liczniki kierunkowe dla jednego przepływu. Gdy objaw zmieni się po naprawie, rejestry pokażą, które wyjaśnienie było naprawdę trafne.

ipsec status

Ta dyscyplina ma znaczenie, bo naprawa licencji i naprawa trasy wyglądają identycznie z udanego ping. Jeśli zmieniono oba naraz, nauczyłeś się, że usługa działa, i niczego o tym, dlaczego nie działała. Zmień jedną rzecz, potem zmierz ponownie ten sam przepływ, a przewodnik po wygaśnięciu rozstrzyga, co samo prawo może wyjaśnić.