Check Point VSX VPN: výber odkazu, alebo nesúlad partnera?

Dve rôzne zmeny dávajú rovnaký príznak, keď sa tunel typu lokalita-lokalita v Check Pointe prestane dvíhať: partner vidí inú vonkajšiu adresu alebo odmieta identitu IKE, ktorú teraz dostáva. Na zázname z jednej strany vyzerajú obe rovnako. Na rozhodnutie, ktorý z dvoch prípadov máte, sú potrebné tri kontroly a ani jedna z nich nie je panel výberu odkazu.

Ak si pomýlite poradie, ladíte výber zdroja, aby ste opravili nesúlad identity. Tak sa ten istý tunel opravuje dvakrát a po ďalšej zmene trasy sa znova pokazí.

Tri podmienky, ktoré oddeľujú oba prípady

Prvá podmienka: zodpovedá nakonfigurovaný koncový bod partnera adrese, ktorá skutočne prichádza? Ak pakety prichádzajú do vzdialenej brány z adresy, ktorú partner nespája s vaším objektom partnera, vyjednávanie zlyhá skôr, než sa vymení akákoľvek identita. Druhá podmienka: zodpovedá identita IKE v návrhu hodnote, ktorú partner očakáva? To je autentifikácia, nie transport. Tretia podmienka: je voľba, ktorú chcete zmeniť, podporovaná pre tento virtuálny systém v tejto verzii? Žiadne viditeľné nastavenie na tieto otázky neodpovedá.

Ak zlyhá prvá podmienka, máte problém s routovaním alebo prekladom. Ak zlyhá druhá, máte problém s kontraktom partnera. Ak je tretia neznáma, prestaňte konfigurovať.

Najprv si zostavte záznam o vonkajšom partnerovi

Predtým, než sa čohokoľvek dotknete, zapíšte virtuálny systém, verziu softvéru a nainštalovanú úroveň aktualizácií. Potom zaznamenajte vonkajšie rozhrania, trasu k vzdialenému partnerovi, očakávané zdrojové adresy pred NAT a po NAT a nakonfigurovaný koncový bod vzdialeného partnera.

Vnútorné chránené prefixy držte v samostatnej časti tohto záznamu. Zmena vonkajšieho zdroja a zmena chránenej adresy LAN sú dve rôzne operácie, ktoré náhodou žijú v tej istej politike.

Ku každému záznamu, ktorý si ponecháte, pridajte smer. Vyjednávanie iniciované lokálne a odpoveď vzdialenému partnerovi môžu voliť odlišne, takže záznam bez označenia je slabý dôkaz. Označte súbor virtuálnym systémom a iniciátorom.

Prečítajte si, čo výber odkazu skutočne oddeľuje

Príručka Check Pointu k výberu odkazu v R81.20 oddeľuje tri veci, ktoré ľudia zlievajú do jednej: ako vzdialený partner prekladá adresu brány, ktorá trasa nesie odchádzajúcu prevádzku a ktorá zdrojová IP adresa sa použije. Každá odpovedá na inú otázku. Ani jedna z nich nemení identitu, ktorú partner autentifikuje.

Toto oddelenie vysvetľuje, prečo zmena trasy môže zmeniť viditeľnú vonkajšiu adresu bez dotknutia identity IKE a prečo zmena identity môže zlomiť tunel, ktorého routovanie je bezchybné.

RFC 7296 kreslí rovnakú hranicu pre samotné IKE: identifikačný dátový blok nie je transportná adresa. Výrobcovia toto rozdelenie implementujú, nie predefinovávajú.

Rozhodujte podľa dôkazov, nie podľa panela nastavení

Ak partner hlási neznámu alebo nezodpovedajúcu identitu, opravte objekt partnera alebo konfiguráciu identity, nie výber zdroja. Ak partner nič nehlási a váš záznam ukazuje pakety odchádzajúce z neočakávanej adresy, najprv opravte routovanie alebo preklad. Ak oboje vyzerá správne a tunel stále zlyháva, urobte záznam na vzdialenej strane a porovnajte, čo prijala. Iba vtedy, keď sa adresa a identita zhodujú a cesta je stále nesprávna, sa niektorá voľba výberu odkazu stáva kandidátom.

Predtým, než túto voľbu na VSX nakonfigurujete, získajte usmernenie k podporovaným funkciám príslušnej verzie alebo výslovné vyhlásenie výrobcu pre kontext virtuálneho systému. Staršia správa, že funkcia nebola dostupná, je história, nie súčasný zákaz, a panel nastavení nie je vyhlásením o podpore.

Zlaďte oba konce a záznam si ponechajte

Keď máte podporovaný návrh, prejdite spolu vonkajšiu dosiahnuteľnosť, konfiguráciu koncového bodu partnera a zhodu identity, ako jeden kontrakt. Potom naplánujte akceptáciu pre tri prípady: počiatočné spojenie, spojenie iniciované vzdialenou stranou a zlyhanie, ktoré očakávate pri prerušení cesty.

Uložte pozorované vonkajšie adresy vedľa kontextu aktívneho virtuálneho systému. Nasledujúca zmena trasy sa tak porovná s dokumentovaným kontraktom a nie s niekoho spomienkou na predvolenú hodnotu.