Check Point VSX VPN: zgjedhja e lidhjes apo një mospërputhje e peer-it?

Dy ndryshime të ndryshme prodhojnë të njëjtin simptomë kur një tunel site-to-site i Check Point nuk ngrihet më: peer-i sheh një adresë të jashtme tjetër, ose refuzon identitetin IKE që tani merr. Në një kapje të marrë nga njëra anë, të dyja duken njësoj. Për të vendosur se cili prej dy rasteve keni nevojiten tre kontrolle, dhe asnjëri prej tyre nuk është paneli i zgjedhjes së lidhjes.

Nëse e gaboni renditjen, rregulloni zgjedhjen e burimit për të rregulluar një mospërputhje identiteti. Kështu i njëjti tunel rregullohet dy herë dhe prishet përsëri pas ndryshimit të ardhshëm të rrugës.

Tre kushte që i ndajnë dy rastet

Kushti i parë: a përputhet pika e fundme e konfiguruar e peer-it me adresën që arrin në të vërtetë? Nëse paketat arrijnë në gateway-in e largët nga një adresë që ai nuk e lidh me objektin tuaj të peer-it, negociimi dështon para se të shkëmbehet çdo identitet. Kushti i dytë: a përputhet identiteti IKE në propozim me vlerën që pret peer-i? Ky është vërtetim, jo transport. Kushti i tretë: a është opsioni që dëshironi të ndryshoni i mbështetur për këtë sistem virtual në këtë version? Asnjë cilësim i dukshëm nuk u përgjigjet këtyre pyetjeve.

Nëse dështon kushti i parë, keni problem rrugëtimi ose përkthimi. Nëse dështon i dyti, keni problem kontrate me peer-in. Nëse i treti është i panjohur, ndaloni konfigurimin.

Ndërtoni fillimisht regjistrin e peer-it të jashtëm

Shkruani sistemin virtual, versionin e softuerit dhe nivelin e përditësimit të instaluar para se të prekni çdo gjë. Pastaj regjistroni ndërfaqet e jashtme, rrugën drejt peer-it të largët, adresat e burimit të pritura para dhe pas NAT, dhe pikën e fundme të konfiguruar të peer-it të largët.

Mbajini prefikset e mbrojtura të brendshme në një pjesë të veçantë të atij regjistri. Ndryshimi i një burimi të jashtëm dhe ndryshimi i një adrese LAN të mbrojtur janë dy operacione të ndryshme që ndodh të banojnë në të njëjtën politikë.

Shtoni drejtimin në çdo kapje që ruani. Një negociim i nisur lokalisht dhe një përgjigje peer-it të largët mund të zgjedhin ndryshe, prandaj një kapje pa etiketë është provë e dobët. Etiketoni skedarin me sistemin virtual dhe iniciatorin.

Lexoni çfarë ndan në të vërtetë zgjedhja e lidhjes

Udhëzuesi i Check Point për zgjedhjen e lidhjes në R81.20 ndan tre gjëra që njerëzit i shkrijnë në një: si e zgjidh peer-i i largët adresën e gateway-it, cila rrugë mbart trafikun dalës dhe cila IP burimore përdoret. Secila përgjigjet një pyetjeje tjetër. Asnjëra prej tyre nuk e ndryshon identitetin që vërteton peer-i.

Kjo ndarje shpjegon përse një ndryshim rrugë nuk mund të ndryshojë adresën e jashtme të dukshme pa prekur identitetin IKE, dhe përse një ndryshim identiteti mund të thyejë një tunel rrugëtimi i të cilit është i përsosur.

RFC 7296 tërheq të njëjtin kufi për vetë IKE: ngarkesa e identifikimit nuk është adresa e transportit. Prodhuesit e zbatojnë këtë ndarje, nuk e ripërcaktojnë.

Vendosni me prova, jo me panelin e cilësimeve

Nëse peer-i raporton një identitet të panjohur ose që nuk përputhet, rregulloni objektin e peer-it ose konfigurimin e identitetit, jo zgjedhjen e burimit. Nëse peer-i nuk raporton asgjë dhe kapja juaj tregon paketa që dalin nga një adresë e papritur, rregulloni fillimisht rrugëtimin ose përkthimin. Nëse të dyja duken të sakta dhe tuneli vazhdon të dështojë, kapni në anën e largët dhe krahasoni çfarë mori. Vetëm kur adresa dhe identiteti përputhen dhe rruga është ende e gabuar, një opsion i zgjedhjes së lidhjes bëhet kandidat.

Para se ta konfiguroni atë opsion në VSX, merrni udhëzimet për funksionet e mbështetura të versionit përkatës ose një deklaratë të qartë të prodhuesit për kontekstin e sistemit virtual. Një raport i vjetër se një funksion nuk ishte i disponueshëm është histori, jo ndalim aktual, dhe paneli i cilësimeve nuk është deklaratë mbështetjeje.

Pajtoni të dy skajet dhe mbani regjistrin

Pasi të keni një projekt të mbështetur, rishikoni së bashku arritshmërinë e jashtme, konfigurimin e pikës së fundme të peer-it dhe marrëveshjen e identitetit, si një kontratë të vetme. Pastaj planifikoni pranimin për tre raste: lidhjen fillestare, lidhjen e nisur nga ana e largët dhe dështimin që prisni kur rruga prishet.

Ruani adresat e jashtme të vëzhguara pranë kontekstit të sistemit virtual aktiv. Ndryshimi i ardhshëm i rrugës krahasohet atëherë me një kontratë të dokumentuar dhe jo me kujtesën e dikujt për vlerën e parazgjedhur.