Check Point VSX VPN: выбор ссылки или несовпадение партнёра?

Два разных изменения дают одинаковый симптом, когда туннель «площадка — площадка» в Check Point перестаёт подниматься: партнёр видит другой внешний адрес либо отклоняет идентичность IKE, которую теперь получает. На записи с одной стороны оба выглядят одинаково. Чтобы определить, какой из двух случаев у вас, нужны три проверки, и ни одна из них не является панелью выбора ссылки.

Если ошибиться с порядком, вы настраиваете выбор источника, чтобы исправить несовпадение идентичности. Так один и тот же туннель чинят дважды, и он снова ломается после очередного изменения маршрута.

Три условия, разделяющие два случая

Первое условие: совпадает ли настроенная конечная точка партнёра с адресом, который действительно приходит? Если пакеты приходят на удалённый шлюз с адреса, который тот не связывает с вашим объектом партнёра, согласование срывается ещё до обмена какой-либо идентичностью. Второе условие: совпадает ли идентичность IKE в предложении с ожидаемым значением партнёра? Это аутентификация, а не транспорт. Третье условие: поддерживается ли нужная вам опция для этой виртуальной системы в этой версии? Ни один видимый параметр не отвечает на эти вопросы.

Если не выполнено первое условие, у вас проблема маршрутизации или трансляции. Если второе — проблема договора с партнёром. Если третье неизвестно, прекратите настройку.

Сначала составьте запись внешнего партнёра

Запишите виртуальную систему, версию программного обеспечения и установленный уровень обновления, прежде чем что-либо трогать. Затем зафиксируйте внешние интерфейсы, маршрут к удалённому партнёру, ожидаемые адреса источника до и после NAT, а также настроенную конечную точку удалённого партнёра.

Держите внутренние защищённые префиксы в отдельной части этой записи. Изменение внешнего источника и изменение защищённого адреса LAN — разные операции, которые случайно живут в одной политике.

Добавляйте направление к каждой сохраняемой записи. Согласование, начатое локально, и ответ удалённому партнёру могут выбирать по-разному, поэтому запись без метки — слабое доказательство. Пометьте файл виртуальной системой и инициатором.

Прочитайте, что на самом деле разделяет выбор ссылки

Руководство Check Point по выбору ссылки в R81.20 разделяет три вещи, которые люди сливают в одну: как удалённый партнёр разрешает адрес шлюза, какой маршрут несёт исходящий трафик и какой IP-адрес источника используется. Каждая отвечает на свой вопрос. Ни одна из них не меняет идентичность, которую аутентифицирует партнёр.

Именно это разделение объясняет, почему изменение маршрута может изменить видимый внешний адрес, не затрагивая идентичность IKE, и почему изменение идентичности может сломать туннель с безупречной маршрутизацией.

RFC 7296 проводит ту же границу для самого IKE: полезная нагрузка идентификации — это не транспортный адрес. Производители реализуют это разделение, а не переопределяют его.

Решайте по доказательствам, а не по панели настроек

Если партнёр сообщает о неизвестной или несовпадающей идентичности, исправляйте объект партнёра или конфигурацию идентичности, а не выбор источника. Если партнёр ничего не сообщает, а запись показывает пакеты, уходящие с неожиданного адреса, сначала исправьте маршрутизацию или трансляцию. Если и то и другое выглядит правильным, а туннель всё равно не поднимается, снимите запись на удалённой стороне и сравните, что она получила. Только когда адрес и идентичность совпадают, а путь по-прежнему неверен, какая-либо опция выбора ссылки становится кандидатом.

Прежде чем настраивать эту опцию на VSX, получите указания по поддерживаемым функциям соответствующей версии или явное заявление производителя для контекста виртуальной системы. Старый отчёт о недоступности функции — это история, а не действующий запрет, и панель настроек не является заявлением о поддержке.

Согласуйте оба конца и сохраните запись

Когда у вас есть поддерживаемый проект, рассмотрите внешнюю доступность, конфигурацию конечной точки партнёра и соглашение об идентичности вместе, как один договор. Затем спланируйте приёмку для трёх случаев: начальное подключение, подключение, инициированное удалённой стороной, и сбой, которого вы ожидаете при разрыве пути.

Сохраняйте наблюдаемые внешние адреса рядом с контекстом активной виртуальной системы. Тогда следующее изменение маршрута будет сравниваться с задокументированным договором, а не с чьим-то воспоминанием о значении по умолчанию.