VPN-ul site-la-site Sophos este activ, dar nu trece trafic: licență sau rută?

Stabilirea unei asocieri IPsec, vederea rutei în tabel și totuși expirarea timpului din sucursală este o combinație cunoscută pe Sophos Firewall. Pe Sophos Firewall acea combinație are cel puțin două explicații obișnuite: o lipsă în redirecționare sau o condiție a licenței Base care lasă tunelul activ în timp ce datele se opresc din a trece. Ambele produc simptome aproape identice, așa că singura cale este să strângeți dovezi independente pentru fiecare. Ambele sunt destul de frecvente încât niciuna nu poate fi presupusă.

Un tunel poate fi activ fără date

O asociere IPsec este o relație de securitate, nu o promisiune de a redirecționa pachete. Faza 1 și faza 2 se pot încheia în timp ce politica ce selectează traficul, ruta către prefixul îndepărtat sau chiar calea datelor sunt greșite. Afișajul tunelului răspunde la o întrebare și le lasă pe celelalte deschise.

Începeți prin a numi ce prefixe trebuie să traverseze și în ce direcție. Un tunel fără trafic interesant arată pe o pagină de stare la fel ca un tunel defect.

Ce acoperă licența Base

Sophos listează VPN-ul sub licența Base, separat de Network Protection și Central Orchestration. Un modul opțional expirat este deci o problemă de sine stătătoare și nu o dovadă automată că IPsec site-la-site are nevoie de un pachet plătit nou. Notați modelul aparatului, versiunea, identitatea de înregistrare și starea Base Firewall. Apoi reconciliați-le cu evidențele titularului contului prin procesul de licențiere acceptat, și țineți numerele de serie în afara notelor publice.

Platforma schimbă și ea regula. Aparatele cloud, virtuale și software primesc o licență Base fără dată de expirare, în timp ce licența Base a unei unități hardware expiră la sfârșitul duratei de viață. O înregistrare suspendată este o a treia stare între validă și expirată, și merită aceleași dovezi în locul unei presupuneri.

Dovediți ruta înainte de a da vina pe licență

Dovediți calea de redirecționare în mod independent. Întrebați aparatul ce rută ar folosi pentru prefixul îndepărtat, apoi confirmați că politica de securitate selectează acel trafic și că ruta de răspuns există pe cealaltă parte. O rută lipsă către prefixul îndepărtat rămâne o problemă de rutare, oricât de sănătoasă ar fi licența.

ip route get 10.80.20.10

Direcția inversă contează la fel de mult ca cea directă. O sucursală care ajunge la sediu, dar nu invers, are o lipsă pe ruta de întoarcere sau în politică, nu o defecțiune a căii de date. Capturați un flux permis în ambele direcții înainte de a trage concluzii.

Țineți două evidențe pentru ca următoarea reparație să fie cinstită

Țineți două evidențe separate și datați-le. Prima acoperă dreptul: ce arăta pagina de licențiere, ce abonament se aplica și când a fost sincronizat. A doua acoperă redirecționarea: prefixe, rute, asocieri de securitate și contoare direcționale pentru un flux. Când simptomul se schimbă după o reparație, evidențele arată care explicație era de fapt corectă.

ipsec status

Această disciplină contează pentru că o reparație de licență și una de rută arată identic dintr-un ping reușit. Dacă ambele au fost schimbate deodată, ați aflat că serviciul funcționează și nimic despre de ce nu funcționa. Schimbați un singur lucru, apoi măsurați din nou același flux, iar ghidul de expirare hotărăște ce poate explica dreptul singur.