VPN med lokacijami Sophos je vzpostavljen, a promet ne teče: licenca ali pot?

Vzpostaviti asociacijo IPsec, videti pot v tabeli in vseeno dobiti časovno prekoračitev iz podružnice je znana kombinacija na Sophos Firewall. Na Sophos Firewall ima ta kombinacija vsaj dve običajni razlagi: vrzel v posredovanju ali pogoj licence Base, ki ohrani tunel vzpostavljen, medtem ko podatki prenehajo prehajati. Obe dajeta skoraj enake simptome, zato je edina pot zbiranje neodvisnih dokazov za vsako od njiju. Obe sta dovolj pogosti, da nobene ni mogoče domnevati.

Tunel je lahko vzpostavljen brez podatkov

Asociacija IPsec je varnostno razmerje, ne obljuba posredovanja paketov. Faza 1 in faza 2 se lahko zaključita, medtem ko so pravilnik, ki izbira promet, pot do oddaljenega predponka ali sama podatkovna pot napačni. Zaslon tunela odgovori na eno vprašanje, druga pa pusti odprta.

Začnite tako, da poimenujete, kateri predponki morata prečkati in v kateri smeri. Tunel brez zanimivega prometa je na statusni strani videti enako kot pokvarjen tunel.

Kaj pokriva licenca Base

Sophos navaja VPN pod licenco Base, ločeno od Network Protection in Central Orchestration. Potekel izbirni modul je zato lastna težava in ne samodejni dokaz, da IPsec med lokacijami potrebuje nov plačljiv paket. Zabeležite model naprave, izdajo, identiteto registracije in stanje Base Firewall. Nato to uskladite z evidencami lastnika računa prek podprtega procesa licenciranja in serijske številke držite izven javnih zapiskov.

Pravilo spreminja tudi platforma. Oblačne, virtualne in programske naprave dobijo licenco Base brez datuma poteka, medtem ko licenca Base strojne enote poteče ob koncu življenjske dobe. Začasno ustavljena registracija je tretje stanje med veljavnim in poteklim in si zasluži enake dokaze namesto ugibanja.

Dokažite pot, preden okrivite licenco

Dokažite pot posredovanja neodvisno. Vprašajte napravo, katero pot bi uporabila za oddaljeni predponek, nato potrdite, da varnostni pravilnik izbira ta promet in da povratna pot obstaja na drugi strani. Manjkajoča pot do oddaljenega predponka ostane problem usmerjanja, ne glede na to, kako zdrava je licenca.

ip route get 10.80.20.10

Nasprotna smer šteje prav toliko kot smer naprej. Podružnica, ki doseže sedež, ne pa obratno, ima vrzel v povratni poti ali pravilniku, ne okvare podatkovne poti. Pred sklepanjem zajemite en dovoljen tok v obeh smereh.

Vodite dva zapisa, da bo naslednja poprava poštena

Vodite dva ločena zapisa in ju datirajte. Prvi pokriva pravico: kaj je pokazala stran z licencami, katera naročnina je veljala in kdaj je bila sinhronizirana. Drugi pokriva posredovanje: predponke, poti, varnostne asociacije in smerni števci za en tok. Ko se simptom po popravi spremeni, zapisi pokažejo, katera razlaga je bila res pravilna.

ipsec status

Ta disciplina šteje, ker sta poprava licence in poprava poti po uspešnem pingu videti enaki. Če ste oboje spremenili hkrati, ste izvedeli, da storitev deluje, in nič o tem, zakaj ni. Spremenite eno stvar, nato znova izmerite isti tok, in vodnik po poteku določi, kaj lahko pojasni samo pravica.