VPN между площадками Sophos поднят, но трафик не идёт: лицензия или маршрут?

Создать сопоставление IPsec, увидеть маршрут в таблице и всё же получить тайм-аут из филиала — знакомая комбинация на Sophos Firewall. На Sophos Firewall у этой комбинации есть как минимум два обычных объяснения: разрыв в пересылке или условие лицензии Base, которое оставляет туннель поднятым, пока данные перестают проходить. Оба дают почти одинаковые симптомы, поэтому единственный путь — собрать независимые доказательства для каждого. Оба достаточно распространены, чтобы ни один нельзя было предполагать.

Туннель может быть поднят без данных

Сопоставление IPsec — это отношение безопасности, а не обещание пересылать пакеты. Фаза 1 и фаза 2 могут завершиться, когда политика выбора трафика, маршрут к удалённому префиксу или сам путь данных неверны. Экран туннеля отвечает на один вопрос и оставляет остальные открытыми.

Начните с того, что назовите, какие префиксы должны пройти и в каком направлении. Туннель без интересного трафика выглядит на странице состояния так же, как сломанный туннель.

Что покрывает лицензия Base

Sophos относит VPN к лицензии Base, отдельно от Network Protection и Central Orchestration. Поэтому истёкший дополнительный модуль — это отдельная проблема, а не автоматическое доказательство того, что IPsec между площадками нужен новый платный пакет. Запишите модель устройства, версию, идентификатор регистрации и состояние Base Firewall. Затем сверьте это с записями владельца учётной записи через поддерживаемый процесс лицензирования и держите серийные номера вне публичных заметок.

Платформа тоже меняет правило. Облачные, виртуальные и программные устройства получают лицензию Base без срока действия, тогда как лицензия Base аппаратного устройства заканчивается в конце срока службы. Приостановленная регистрация — это третье состояние между действующим и истёкшим, и оно заслуживает тех же доказательств, а не догадки.

Докажите маршрут, прежде чем винить лицензию

Докажите путь пересылки независимо. Спросите устройство, какой маршрут оно использовало бы для удалённого префикса, затем подтвердите, что политика безопасности выбирает этот трафик и что обратный путь существует на другой стороне. Отсутствующий маршрут к удалённому префиксу остаётся проблемой маршрутизации, какой бы здоровой ни была лицензия.

ip route get 10.80.20.10

Обратное направление так же важно, как прямое. Филиал, который достигает головного офиса, но не наоборот, имеет разрыв в обратном маршруте или политике, а не отказ пути данных. Зафиксируйте один разрешённый поток в обоих направлениях, прежде чем делать выводы.

Ведите две записи, чтобы следующее исправление было честным

Ведите две отдельные записи и датируйте их. Первая охватывает право: что показывала страница лицензирования, какая подписка действовала и когда она синхронизировалась. Вторая охватывает пересылку: префиксы, маршруты, сопоставления безопасности и счётчики по направлениям для одного потока. Когда симптом меняется после исправления, записи показывают, какое объяснение было действительно верным.

ipsec status

Эта дисциплина важна, потому что исправление лицензии и исправление маршрута выглядят одинаково после успешного ping. Если изменили оба сразу, вы узнали, что служба работает, и ничего о том, почему она не работала. Измените одну вещь, затем снова измерьте тот же поток, и руководство по истечению срока определяет, что может объяснить только право.