Sophos VPN између локација је подигнут, али нема саобраћаја: лиценца или рута?

Успостављање IPsec асоцијације, виђење руте у табели и ипак истек времена из огранка позната је комбинација на Sophos Firewall. На Sophos Firewall та комбинација има најмање два обична објашњења: празнину у прослеђивању или услов Base лиценце који држи тунел подигнутим док подаци престају да пролазе. Оба дају готово идентичне симптоме, зато је једини пут да се прикупе независни докази за свако од њих. Оба су довољно честа да се ниједно не може претпоставити.

Тунел може бити подигнут без података

IPsec асоцијација је безбедносни однос, а не обећање да ће се пакети прослеђивати. Фаза 1 и фаза 2 могу се завршити док су политика која бира саобраћај, рута до удаљеног префикса или сам пут података погрешни. Приказ тунела одговара на једно питање, а остала оставља отвореним.

Почните тако што ћете именовати који префикси треба да пређу и у ком смеру. Тунел без занимљивог саобраћаја на статусној страни изгледа исто као покварен тунел.

Шта покрива Base лиценца

Sophos наводи VPN под Base лиценцом, одвојено од Network Protection и Central Orchestration. Истекли опциони модул је стога сопствени проблем и није аутоматски доказ да IPsec између локација треба нови плаћени пакет. Забележите модел уређаја, издање, идентитет регистрације и статус Base Firewall. Затим то ускладите са евиденцијом власника налога кроз подржани процес лиценцирања и држите серијске бројеве изван јавних белешки.

Платформа такође мења правило. Cloud, виртуелни и софтверски уређаји добијају Base лиценцу без датума истека, док Base лиценца хардверске јединице истиче на крају животног века. Суспендована регистрација је треће стање између важеће и истекле и заслужује исте доказе уместо претпоставке.

Докажите руту пре него што окривите лиценцу

Докажите пут прослеђивања независно. Питајте уређај коју би руту користио за удаљени префикс, затим потврдите да безбедносна политика бира тај саобраћај и да повратни пут постоји на другој страни. Рута која недостаје ка удаљеном префиксу остаје проблем рутирања, колико год лиценца била здрава.

ip route get 10.80.20.10

Обрнути смер је једнако важан као смер напред. Огранак који стиже до централе али не и обрнуто има празнину у повратној рути или политици, а не квар пута података. Забележите један дозвољен ток у оба смера пре него што донесете закључке.

Водите два записа да би следећа поправка била честита

Водите два одвојена записа и датирајте их. Први покрива право: шта је показала страница лиценцирања, која претплата је важила и када је синхронизована. Други покрива прослеђивање: префикси, руте, безбедносне асоцијације и смерни бројачи за један ток. Када се симптом промени после поправке, записи показују које објашњење је заиста било тачно.

ipsec status

Ова дисциплина је важна јер поправка лиценце и поправка руте изгледају исто после успешног ping-а. Ако су оба промењена одједном, научили сте да услуга ради и ништа о томе зашто није радила. Промените једну ствар, затим поново измерите исти ток, и водич за истек одређује шта само право може да објасни.