Check Point VSX VPN: izbor linka ili nepodudarnost partnera?

Dve različite promene daju isti simptom kada tunel od lokacije do lokacije u Check Pointu prestane da se diže: partner vidi drugu spoljnu adresu ili odbija IKE identitet koji sada prima. Na snimku sa jedne strane oboje izgleda isto. Da utvrdite koji od dva slučaja imate, potrebne su tri provere i nijedna od njih nije panel za izbor linka.

Ako pogrešite redosled, podešavate izbor izvora da ispravite nepodudarnost identiteta. Tako se isti tunel ispravlja dvaput i ponovo pada posle sledeće promene rute.

Tri uslova koja razdvajaju dva slučaja

Uslov prvi: da li se konfigurisana krajnja tačka partnera poklapa sa adresom koja zaista dolazi? Ako paketi stižu do udaljenog gejtveja sa adrese koju on ne povezuje sa vašim partnerskim objektom, pregovaranje pada pre razmene bilo kakvog identiteta. Uslov drugi: da li se IKE identitet u predlogu poklapa sa vrednošću koju partner očekuje? To je autentifikacija, ne transport. Uslov treći: da li je opcija koju želite da promenite podržana za ovaj virtuelni sistem na ovom izdanju? Nijedno vidljivo podešavanje ne odgovara na ta pitanja.

Ako prvi uslov ne prolazi, imate problem sa rutiranjem ili prevodom. Ako drugi ne prolazi, imate problem sa ugovorom sa partnerom. Ako je treći nepoznat, prestanite da konfigurišete.

Najpre sastavite zapis o spoljnom partneru

Zapišite virtuelni sistem, izdanje softvera i instalirani nivo ažuriranja pre nego što bilo šta dodirnete. Zatim zabeležite spoljna interfejsa, rutu ka udaljenom partneru, očekivane izvorne adrese pre i posle NAT-a, i konfigurisanu krajnju tačku udaljenog partnera.

Držite unutrašnje zaštićene prefikse u odvojenom delu tog zapisa. Promena spoljnog izvora i promena zaštićene LAN adrese dve su različite operacije koje slučajno žive u istoj politici.

Dodajte smer svakom snimku koji čuvate. Lokalno pokrenuto pregovaranje i odgovor udaljenom partneru mogu birati različito, pa je snimak bez oznake slab dokaz. Označite datoteku virtuelnim sistemom i pokretačem.

Pročitajte šta izbor linka zapravo razdvaja

Check Pointov vodič za izbor linka u R81.20 razdvaja tri stvari koje ljudi spajaju u jednu: kako udaljeni partner razrešava adresu gejtveja, koja ruta nosi odlazni saobraćaj i koja se izvorna IP adresa koristi. Svaka odgovara na drugo pitanje. Nijedna od njih ne menja identitet koji partner autentifikuje.

To razdvajanje objašnjava zašto promena rute može promeniti vidljivu spoljnu adresu bez diranja IKE identiteta i zašto promena identiteta može slomiti tunel čije je rutiranje besprekorno.

RFC 7296 povlači istu granicu za sam IKE: identifikacioni payload nije transportna adresa. Proizvođači primenjuju tu podelu, ne redefinišu je.

Odluku donosite dokazima, a ne panelom podešavanja

Ako partner prijavi nepoznat ili neusklađen identitet, ispravite partnerski objekat ili konfiguraciju identiteta, a ne izbor izvora. Ako partner ne prijavi ništa, a vaš snimak pokazuje pakete koji izlaze sa neočekivane adrese, prvo ispravite rutiranje ili prevod. Ako oboje izgleda ispravno, a tunel i dalje ne radi, snimite na udaljenoj strani i uporedite šta je primila. Tek kada se adresa i identitet slažu, a put je i dalje pogrešan, opcija iz izbora linka postaje kandidat.

Pre konfigurisanja te opcije na VSX-u pribavite smernice o podržanim funkcijama za odgovarajuće izdanje ili izričitu izjavu proizvođača za kontekst virtuelnog sistema. Stariji izveštaj da funkcija nije bila dostupna je istorija, a ne trenutna zabrana, i panel podešavanja nije izjava o podršci.

Uskladite oba kraja i sačuvajte zapis

Kada imate podržan dizajn, pregledajte spoljnu dostupnost, konfiguraciju partnerove krajnje tačke i dogovor o identitetu zajedno, kao jedan ugovor. Zatim isplanirajte prihvat za tri slučaja: početnu vezu, vezu koju pokreće udaljena strana i kvar koji očekujete kada se put prekine.

Sačuvajte uočene spoljne adrese uz kontekst aktivnog virtuelnog sistema. Sledeća promena rute tada se poredi sa dokumentovanim ugovorom, a ne sa nečijim sećanjem na podrazumevanu vrednost.