Check Point VSX VPN: izbira povezave ali neujemanje partnerja?

Dve različni spremembi dajeta enak simptom, ko se tunel od lokacije do lokacije v Check Pointu neha dvigati: partner vidi drug zunanji naslov ali zavrne identiteto IKE, ki jo zdaj prejema. Na posnetku z ene strani sta oba videti enako. Za odločitev, kateri od dveh primerov imate, so potrebna tri preverjanja in nobeno od njih ni plošča za izbiro povezave.

Če se zmotite pri vrstnem redu, nastavljate izbiro vira, da bi popravili neujemanje identitete. Tako se isti tunel popravi dvakrat in se po naslednji spremembi poti znova zlomi.

Trije pogoji, ki ločijo oba primera

Prvi pogoj: ali se konfigurirana končna točka partnerja ujema z naslovom, ki dejansko prihaja? Če paketi pridejo do oddaljenega prehoda z naslova, ki ga ta ne povezuje z vašim partnerskim objektom, pogajanje spodleti, preden se izmenja kakršna koli identiteta. Drugi pogoj: ali se identiteta IKE v predlogu ujema z vrednostjo, ki jo partner pričakuje? To je preverjanje pristnosti, ne prenos. Tretji pogoj: ali je možnost, ki jo želite spremeniti, podprta za ta navidezni sistem v tej izdaji? Nobena vidna nastavitev ne odgovori na ta vprašanja.

Če prvi pogoj ne velja, imate težavo z usmerjanjem ali prevodom. Če drugi ne velja, imate težavo s pogodbo s partnerjem. Če je tretji neznan, prenehajte s konfiguriranjem.

Najprej sestavite zapis o zunanjem partnerju

Preden se česar koli dotaknete, zapišite navidezni sistem, izdajo programske opreme in nameščeno raven posodobitev. Nato zabeležite zunanje vmesnike, pot do oddaljenega partnerja, pričakovane izvorne naslove pred NAT in po njem ter konfigurirano končno točko oddaljenega partnerja.

Notranje zaščitene predpone hranite v ločenem delu tega zapisa. Spreminjanje zunanjega vira in spreminjanje zaščitenega naslova LAN sta dve različni operaciji, ki po naključju živita v isti politiki.

Vsakemu shranjenemu posnetku dodajte smer. Lokalno začetno pogajanje in odgovor oddaljenemu partnerju lahko izbereta drugače, zato je posnetek brez oznake šibek dokaz. Označite datoteko z navideznim sistemom in pobudnikom.

Preberite, kaj izbira povezave v resnici ločuje

Vodnik Check Pointa za izbiro povezave v R81.20 ločuje tri stvari, ki jih ljudje zlijejo v eno: kako oddaljeni partner razreši naslov prehoda, katera pot nosi odhodni promet in kateri izvorni IP se uporabi. Vsaka odgovarja na drugo vprašanje. Nobena od njih ne spremeni identitete, ki jo partner preverja.

Ta ločitev pojasnjuje, zakaj lahko sprememba poti spremeni vidni zunanji naslov, ne da bi se dotaknila identitete IKE, in zakaj lahko sprememba identitete zlomi tunel, katerega usmerjanje je brezhibno.

RFC 7296 potegne isto mejo za sam IKE: identifikacijski tovor ni transportni naslov. Proizvajalci to ločitev izvajajo, ne redefinirajo.

Odločajte z dokazi, ne s ploščo nastavitev

Če partner poroča o neznani ali neujemajoči se identiteti, popravite partnerski objekt ali konfiguracijo identitete, ne izbire vira. Če partner ne poroča o ničemer in vaš posnetek kaže pakete, ki odhajajo z nepričakovanega naslova, najprej popravite usmerjanje ali prevod. Če sta oba videti pravilna in tunel še vedno spodleti, posnemite na oddaljeni strani in primerjajte, kaj je prejela. Šele ko se naslov in identiteta ujemata in je pot še vedno napačna, postane možnost iz izbire povezave kandidat.

Preden to možnost konfigurirate na VSX, pridobite smernice o podprtih funkcijah ustrezne izdaje ali izrecno izjavo proizvajalca za kontekst navideznega sistema. Starejše poročilo, da funkcija ni bila na voljo, je zgodovina, ne trenutna prepoved, in plošča nastavitev ni izjava o podpori.

Uskladite oba konca in ohranite zapis

Ko imate podprto zasnovo, skupaj pregledajte zunanjo dosegljivost, konfiguracijo končne točke partnerja in dogovor o identiteti, kot eno pogodbo. Nato načrtujte sprejem za tri primere: začetno povezavo, povezavo, ki jo začne oddaljena stran, in odpoved, ki jo pričakujete ob pretrganju poti.

Shranite opažene zunanje naslove ob kontekstu aktivnega navideznega sistema. Naslednja sprememba poti se bo tako primerjala z dokumentirano pogodbo in ne s spominom nekoga na privzeto vrednost.