Check Point VSX VPN: избор везе или неусаглашеност партнера?

Две различите промене дају исти симптом када тунел од локације до локације у Check Point-у престане да се диже: партнер види другу спољашњу адресу или одбија IKE идентитет који сада прима. На снимку са једне стране обоје изгледа исто. Да утврдите који од два случаја имате, потребне су три провере и ниједна од њих није панел за избор везе.

Ако погрешите редослед, подешавате избор извора да исправите неусаглашеност идентитета. Тако се исти тунел исправља двапут и поново пада после следеће промене руте.

Три услова која раздвајају два случаја

Услов први: да ли се конфигурисана крајња тачка партнера поклапа са адресом која заиста долази? Ако пакети стижу до удаљеног гејтвеја са адресе коју он не повезује са вашим партнерским објектом, преговарање пада пре размене било каквог идентитета. Услов други: да ли се IKE идентитет у предлогу поклапа са вредношћу коју партнер очекује? То је аутентификација, не транспорт. Услов трећи: да ли је опција коју желите да промените подржана за овај виртуелни систем на овом издању? Ниједно видљиво подешавање не одговара на та питања.

Ако први услов не прође, имате проблем са рутирањем или преводом. Ако други не прође, имате проблем са уговором са партнером. Ако је трећи непознат, престаните да конфигуришете.

Најпре саставите запис о спољном партнеру

Запишите виртуелни систем, издање софтвера и инсталирани ниво ажурирања пре него што било шта додирнете. Затим забележите спољна интерфејса, руту ка удаљеном партнеру, очекиване изворне адресе пре и после NAT-а, и конфигурисану крајњу тачку удаљеног партнера.

Држите унутрашње заштићене префиксе у одвојеном делу тог записа. Промена спољног извора и промена заштићене LAN адресе две су различите операције које случајно живе у истој политици.

Додајте смер сваком снимку који чувате. Локално покренуто преговарање и одговор удаљеном партнеру могу бирати различито, па је снимак без ознаке слаб доказ. Означите датотеку виртуелним системом и покретачем.

Прочитајте шта избор везе заиста раздваја

Check Point-ов водич за избор везе у R81.20 раздваја три ствари које људи спајају у једну: како удаљени партнер разрешава адресу гејтвеја, која рута носи одлазни саобраћај и која се изворна IP адреса користи. Свака одговара на друго питање. Ниједна од њих не мења идентитет који партнер аутентификује.

То раздвајање објашњава зашто промена руте може променити видљиву спољну адресу без дирања IKE идентитета и зашто промена идентитета може сломити тунел чије је рутирање беспрекорно.

RFC 7296 повлачи исту границу за сам IKE: идентификациони payload није транспортна адреса. Произвођачи примењују ту поделу, не редефинишу је.

Одлучујте доказима, а не панелом подешавања

Ако партнер пријави непознат или неусклађен идентитет, исправите партнерски објекат или конфигурацију идентитета, а не избор извора. Ако партнер не пријави ништа, а ваш снимак показује пакете који излазе са неочекиване адресе, прво исправите рутирање или превод. Ако обоје изгледа исправно, а тунел и даље не ради, снимите на удаљеној страни и упоредите шта је примила. Тек када се адреса и идентитет слажу, а пут је и даље погрешан, опција из избора везе постаје кандидат.

Пре конфигурисања те опције на VSX-у прибавите смернице о подржаним функцијама за одговарајуће издање или изричиту изјаву произвођача за контекст виртуелног система. Старији извештај да функција није била доступна је историја, а не тренутна забрана, и панел подешавања није изјава о подршци.

Ускладите оба краја и сачувајте запис

Када имате подржан дизајн, прегледајте спољну доступност, конфигурацију партнерове крајње тачке и договор о идентитету заједно, као један уговор. Затим испланирајте прихват за три случаја: почетну везу, везу коју покреће удаљена страна и квар који очекујете када се пут прекине.

Сачувајте уочене спољне адресе уз контекст активног виртуелног система. Следећа промена руте тада се пореди са документованим уговором, а не са нечијим сећањем на подразумевану вредност.