VPN medzi lokalitami Sophos je hore, ale neprechádza prevádzka: licencia alebo trasa?

Vytvoriť asociáciu IPsec, vidieť trasu v tabuľke a napriek tomu z pobočky naraziť na vypršanie je známa kombinácia na Sophos Firewall. Na Sophos Firewall má táto kombinácia najmenej dve bežné vysvetlenia: medzeru v preposielaní alebo podmienku licencie Base, ktorá drží tunel hore, kým dáta prestanú prechádzať. Obe dávajú takmer rovnaké príznaky, takže jediná cesta je zbierať nezávislé dôkazy pre každú z nich. Obe sú dosť časté na to, aby sa žiadna nedala predpokladať.

Tunel môže byť hore a pritom neprenášať dáta

Asociácia IPsec je bezpečnostný vzťah, nie sľub preposielať pakety. Fáza 1 a fáza 2 sa môžu dokončiť, aj keď je politika vyberajúca prevádzku, trasa k vzdialenému prefixu alebo samotná dátová cesta nesprávna. Zobrazenie tunela odpovedá na jednu otázku a ostatné necháva otvorené.

Začnite tým, že pomenujete, ktoré prefixy majú prejsť a ktorým smerom. Tunel bez zaujímavej prevádzky vyzerá na stavovej stránke rovnako ako pokazený tunel.

Čo licencia Base pokrýva

Sophos uvádza VPN pod licenciou Base, oddelene od Network Protection a Central Orchestration. Vypršaný voliteľný modul je preto vlastný problém a nie automatický dôkaz, že IPsec medzi lokalitami potrebuje nový platený balík. Zapíšte model zariadenia, verziu, identitu registrácie a stav Base Firewall. Potom to zlaďte so záznamami vlastníka účtu cez podporovaný licenčný proces a sériové čísla držte mimo verejných poznámok.

Pravidlo mení aj platforma. Cloudové, virtuálne a softvérové zariadenia dostávajú licenciu Base bez dátumu vypršania, kým licencia Base hardvérovej jednotky končí na konci životnosti. Pozastavená registrácia je tretí stav medzi platnou a vypršanou a zaslúži si rovnaké dôkazy namiesto dohadu.

Dokážte trasu, skôr než obviníte licenciu

Dokážte cestu preposielania nezávisle. Spýtajte sa zariadenia, ktorú trasu by použilo pre vzdialený prefix, a potom potvrďte, že bezpečnostná politika vyberá túto prevádzku a že na druhej strane existuje cesta odpovede. Chýbajúca trasa k vzdialenému prefixu zostáva problémom smerovania, nech je licencia akokoľvek zdravá.

ip route get 10.80.20.10

Opačný smer je rovnako dôležitý ako smer dopredu. Pobočka, ktorá dosiahne centrálu, ale nie naopak, má medzeru vo vratnej trase alebo v politike, nie poruchu dátovej cesty. Pred vyvodzovaním záverov zachyťte jeden povolený tok v oboch smeroch.

Veďte dva záznamy, aby bola budúca oprava čestná

Veďte dva oddelené záznamy a doplňte dátumy. Prvý pokrýva nárok: čo ukázala licenčná stránka, ktoré predplatné platilo a kedy sa synchronizovalo. Druhý pokrýva preposielanie: prefixy, trasy, bezpečnostné asociácie a smerové počítadlá pre jeden tok. Keď sa príznak po oprave zmení, záznamy ukážu, ktoré vysvetlenie bolo skutočne správne.

ipsec status

Táto disciplína je dôležitá, pretože oprava licencie a oprava trasy vyzerajú po úspešnom pingu rovnako. Ak ste zmenili obe naraz, zistili ste, že služba funguje, a nič o tom, prečo nefungovala. Zmeňte jednu vec, potom znova zmerajte ten istý tok, a sprievodca vypršaním určí, čo samo o sebe nárok vysvetliť môže.