Check Point VSX VPN: länkval eller en peer-avvikelse?

Två olika ändringar ger samma symptom när en Check Point-tunnel mellan två platser slutar komma upp: peeren ser en annan extern adress, eller den avvisar den IKE-identitet den nu tar emot. På en inspelning från ena sidan ser de likadana ut. Att avgöra vilken av dem du har kräver tre kontroller, och ingen av dem är länkvalspanelen.

Tar du fel ordning justerar du källvalet för att rätta till en identitetsavvikelse. Det är så samma tunnel repareras två gånger och går sönder igen efter nästa ruttändring.

Tre villkor som skiljer de två fallen

Villkor ett: stämmer peerns konfigurerade slutpunkt med adressen som faktiskt anländer? Om paket når den avlägsna gatewayen från en adress som den inte förknippar med ditt peer-objekt misslyckas förhandlingen innan någon identitet byts. Villkor två: stämmer IKE-identiteten i förslaget med det värde peeren förväntar sig? Det är autentisering, inte transport. Villkor tre: stöds alternativet du vill ändra för detta virtuella system på den här versionen? Ingen synlig inställning besvarar dessa frågor.

Om villkor ett inte håller har du ett rutt- eller översättningsproblem. Om villkor två inte håller har du ett peer-kontraktsproblem. Om villkor tre är okänt, sluta konfigurera.

Bygg först registreringen av den externa peeren

Skriv ned det virtuella systemet, programvaruversionen och installerad uppdateringsnivå innan du rör något. Registrera sedan de externa gränssnitten, rutten mot den avlägsna peeren, förväntade källadresser före och efter NAT samt den avlägsna peerns konfigurerade slutpunkt.

Håll de inre skyddade prefixen i en separat del av den registreringen. Att ändra en extern källa och att ändra en skyddad LAN-adress är två olika operationer som råkar bo i samma policy.

Lägg till riktning på varje inspelning du behåller. En lokalt initierad förhandling och ett svar till den avlägsna peeren kan välja olika, så en inspelning utan märkning är svagt bevis. Märk filen med det virtuella systemet och initiativtagaren.

Läs vad länkval egentligen skiljer

Check Points guide för länkval i R81.20 skiljer tre saker som människor smälter samman till en: hur den avlägsna peeren löser en gateway-adress, vilken rutt som bär den utgående trafiken och vilken käll-IP som används. Var och en svarar på en annan fråga. Ingen av dem ändrar den identitet som peeren autentiserar.

Den uppdelningen förklarar varför en ruttändring kan ändra den synliga externa adressen utan att röra IKE-identiteten, och varför en identitetsändring kan bryta en tunnel vars routning är perfekt.

RFC 7296 drar samma gräns för IKE självt: identifikationsnyttolasten är inte transportadressen. Leverantörer implementerar den uppdelningen, de omdefinierar den inte.

Besluta med bevis, inte med inställningspanelen

Om peeren rapporterar en okänd eller icke-matchande identitet, rätta peer-objektet eller identitetskonfigurationen, inte källvalet. Om peeren inte rapporterar något och din inspelning visar paket som lämnar från en oväntad adress, rätta först routning eller översättning. Om båda ser riktiga ut och tunneln ändå misslyckas, gör en inspelning på den avlägsna sidan och jämför vad den tog emot. Först när adress och identitet stämmer och vägen fortfarande är fel blir ett länkvalsalternativ en kandidat.

Innan du konfigurerar det alternativet på VSX, skaffa vägledning om stödda funktioner för rätt version eller ett uttryckligt uttalande från leverantören för det virtuella systemets kontext. En äldre rapport om att en funktion inte var tillgänglig är historia, inte ett aktuellt förbud, och en inställningspanel är inte ett supportuttalande.

Stäm av båda ändarna och behåll registreringen

När du har en stödd design, granska extern nåbarhet, peerns slutpunktskonfiguration och identitetsöverenskommelsen tillsammans, som ett enda kontrakt. Planera sedan acceptansen för tre fall: den första anslutningen, en anslutning som startas från den avlägsna sidan och det fel du förväntar dig när vägen bryts.

Spara de observerade externa adresserna bredvid kontexten för det aktiva virtuella systemet. Nästa ruttändring jämför då med ett dokumenterat kontrakt i stället för med någons minne av standardvärdet.