A VPN site a site Sophos está ativa mas não passa tráfego: licença ou rota?

Estabelecer uma associação IPsec, ver a rota na tabela e ainda assim esgotar o tempo a partir da filial é uma combinação conhecida no Sophos Firewall. No Sophos Firewall essa combinação tem pelo menos duas explicações comuns: uma falha no encaminhamento, ou uma condição da licença Base que mantém o túnel ativo enquanto os dados deixam de passar. Ambas produzem sintomas quase idênticos, por isso o único caminho é reunir provas independentes para cada uma. As duas são suficientemente comuns para que nenhuma possa ser presumida.

Um túnel pode estar ativo sem dados

Uma associação IPsec é uma relação de segurança, não uma promessa de encaminhar pacotes. A fase 1 e a fase 2 podem concluir-se enquanto a política que seleciona o tráfego, a rota para o prefixo remoto ou o próprio caminho de dados estão errados. O ecrã do túnel responde a uma pergunta e deixa as outras em aberto.

Comece por nomear quais prefixos devem atravessar e em que direção. Um túnel sem tráfego interessante parece o mesmo que um túnel avariado numa página de estado.

O que a licença Base abrange

A Sophos lista a VPN sob a licença Base, separada da Network Protection e da Central Orchestration. Um módulo opcional expirado é, por isso, um problema próprio e não uma prova automática de que o IPsec site a site precise de um novo pacote pago. Registe o modelo do equipamento, a versão, a identidade de registo e o estado da Base Firewall. Depois concilie isso com os registos do titular da conta através do processo de licenciamento suportado, e mantenha os números de série fora de notas públicas.

A plataforma também altera a regra. Os equipamentos na nuvem, virtuais e de software recebem uma licença Base sem data de expiração, enquanto a licença Base de uma unidade de hardware termina no fim da vida útil. Um registo suspenso é um terceiro estado entre válido e expirado, e merece as mesmas provas em vez de uma suposição.

Prove a rota antes de culpar a licença

Prove o caminho de encaminhamento de forma independente. Pergunte ao equipamento que rota usaria para o prefixo remoto, e depois confirme que a política de segurança seleciona esse tráfego e que o caminho de resposta existe do outro lado. Uma rota em falta para o prefixo remoto continua a ser um problema de encaminhamento, por mais saudável que esteja a licença.

ip route get 10.80.20.10

A direção inversa conta tanto como a direta. Uma filial que alcança a sede mas não o contrário tem uma falha na rota de retorno ou na política, não uma avaria no caminho de dados. Capture um fluxo permitido nas duas direções antes de tirar conclusões.

Mantenha dois registos para que a próxima correção seja honesta

Mantenha dois registos separados e datados. O primeiro cobre o direito: o que mostrava a página de licenciamento, que subscrição se aplicava e quando foi sincronizada. O segundo cobre o encaminhamento: prefixos, rotas, associações de segurança e contadores direcionais para um fluxo. Quando o sintoma muda após uma correção, os registos mostram qual explicação era realmente correta.

ipsec status

Esta disciplina importa porque uma reparação de licença e uma reparação de rota parecem idênticas a partir de um ping bem-sucedido. Se ambas foram alteradas ao mesmo tempo, aprendeu que o serviço funciona e nada sobre porque não funcionava. Altere uma coisa, volte a medir o mesmo fluxo, e o guia de expiração determina o que o direito sozinho pode explicar.