Check Point VSX VPN: seleção de ligação ou desajuste do par?

Duas alterações diferentes produzem o mesmo sintoma quando um túnel site-to-site da Check Point deixa de subir: o par vê um endereço externo diferente ou rejeita a identidade IKE que agora recebe. Numa captura obtida de um dos lados, ambas parecem idênticas. Decidir qual das duas tem exige três verificações, e nenhuma delas é o painel de seleção de ligação.

Se errar a ordem, vai ajustar a seleção de origem para corrigir um desajuste de identidade. É assim que o mesmo túnel é reparado duas vezes e volta a partir-se após a alteração de rota seguinte.

Três condições que separam os dois casos

Condição um: o endpoint configurado do par coincide com o endereço que chega efetivamente? Se os pacotes chegam à gateway remota a partir de um endereço que esta não associa ao seu objeto de par, a negociação falha antes de qualquer identidade ser trocada. Condição dois: a identidade IKE na proposta coincide com o valor esperado pelo par? Isso é autenticação, não transporte. Condição três: a opção que quer alterar está suportada para este sistema virtual nesta versão? Nenhuma definição visível responde a estas perguntas.

Se a primeira condição falhar, tem um problema de encaminhamento ou de tradução. Se a segunda falhar, tem um problema de contrato com o par. Se a terceira for desconhecida, pare de configurar.

Construa primeiro o registo do par externo

Anote o sistema virtual, a versão de software e o nível de atualização instalado antes de tocar em qualquer coisa. Depois registe as interfaces externas, a rota para o par remoto, os endereços de origem esperados antes e depois do NAT e o endpoint configurado do par remoto.

Mantenha os prefixos protegidos internos numa parte separada desse registo. Alterar uma origem externa e alterar um endereço de LAN protegido são operações diferentes que por acaso vivem na mesma política.

Acrescente a direção a cada captura que guardar. Uma negociação iniciada localmente e uma resposta ao par remoto podem selecionar de forma diferente, pelo que uma captura sem etiqueta é prova fraca. Etiquete o ficheiro com o sistema virtual e o iniciador.

Leia o que a seleção de ligação separa realmente

O guia da Check Point sobre a seleção de ligação em R81.20 separa três coisas que as pessoas fundem numa só: como o par remoto resolve um endereço de gateway, que rota transporta o tráfego de saída e que IP de origem é usado. Cada uma responde a uma pergunta diferente. Nenhuma delas altera a identidade que o par autentica.

Essa separação explica porque uma alteração de rota pode alterar o endereço externo visível sem tocar na identidade IKE, e porque uma alteração de identidade pode quebrar um túnel cujo encaminhamento é perfeito.

O RFC 7296 traça a mesma linha para o próprio IKE: a carga de identificação não é o endereço de transporte. Os fornecedores implementam essa separação, não a redefinem.

Decida com provas, não com o painel de definições

Se o par comunicar uma identidade desconhecida ou não coincidente, corrija o objeto de par ou a configuração de identidade, não a seleção de origem. Se o par nada comunicar e a sua captura mostrar pacotes a sair de um endereço inesperado, corrija primeiro o encaminhamento ou a tradução. Se ambos parecerem corretos e o túnel continuar a falhar, capture do lado remoto e compare o que ele recebeu. Só quando o endereço e a identidade coincidem e o caminho continua errado é que uma opção de seleção de ligação se torna candidata.

Antes de configurar essa opção no VSX, obtenha as orientações de funcionalidades suportadas da versão correspondente ou uma declaração explícita do fornecedor para o contexto do sistema virtual. Um relatório antigo de que uma funcionalidade não estava disponível é história, não uma proibição atual, e um painel de definições não é uma declaração de suporte.

Concílie as duas pontas e conserve o registo

Quando tiver um desenho suportado, reveja em conjunto a acessibilidade externa, a configuração do endpoint do par e o acordo de identidade, como um único contrato. Depois planeie a aceitação para três casos: a ligação inicial, a ligação iniciada pelo lado remoto e a falha que espera quando o caminho se rompe.

Guarde os endereços externos observados junto ao contexto do sistema virtual ativo. A alteração de rota seguinte passa então a comparar com um contrato documentado em vez de com a memória de alguém sobre o valor predefinido.