Sophos VPN mellan platser är uppe men ingen trafik går: licens eller rutt?

Att upprätta en IPsec-association, se rutten i tabellen och ändå få timeout från filialen är en välbekant kombination på Sophos Firewall. På Sophos Firewall har den kombinationen minst två vanliga förklaringar: en lucka i vidarebefordran, eller ett villkor i Base-licensen som håller tunneln uppe medan data slutar passera. De ger nästan identiska symptom, så den enda vägen igenom är att samla oberoende bevis för var och en. Båda är så vanliga att ingen av dem kan förutsättas.

En tunnel kan vara uppe utan data

En IPsec-association är ett säkerhetsförhållande, inte ett löfte att vidarebefordra paket. Fas 1 och fas 2 kan slutföras medan policyn som väljer trafik, rutten till det avlägsna prefixet eller själva datavägen är fel. Tunnelvyn svarar på en fråga och lämnar de andra öppna.

Börja med att namnge vilka prefix som ska korsa och i vilken riktning. En tunnel utan intressant trafik ser på en statussida ut som en trasig tunnel.

Vad Base-licensen täcker

Sophos listar VPN under Base-licensen, skilt från Network Protection och Central Orchestration. En utgången valfri modul är därför sitt eget problem och inte automatiskt bevis för att IPsec mellan platser behöver ett nytt betalt paket. Notera enhetsmodell, version, registreringsidentitet och Base Firewall-status. Stäm sedan av det mot kontoinnehavarens register genom den stödda licensprocessen, och håll serienummer utanför offentliga anteckningar.

Plattformen ändrar också regeln. Moln-, virtuella och mjukvaruenheter får en Base-licens utan utgångsdatum, medan en hårdvaruenhets Base-licens löper ut vid livstidens slut. En pausad registrering är ett tredje tillstånd mellan giltig och utgången, och den förtjänar samma bevis i stället för en gissning.

Bevisa rutten innan du skyller på licensen

Bevisa vidarebefordringsvägen oberoende. Fråga enheten vilken rutt den skulle använda för det avlägsna prefixet, och bekräfta sedan att säkerhetspolicyn väljer den trafiken och att svarsvägen finns på andra sidan. En saknad rutt till det avlägsna prefixet förblir ett routingproblem, hur sund licensen än är.

ip route get 10.80.20.10

Den motsatta riktningen betyder lika mycket som den framåtriktade. En filial som når huvudkontoret men inte tvärtom har en lucka i returrutten eller policyn, inte ett fel i datavägen. Fånga ett tillåtet flöde i båda riktningarna innan du drar slutsatser.

Håll två register så att nästa reparation är ärlig

Håll två separata register och datera dem. Det första täcker rättigheten: vad licenssidan visade, vilken prenumeration som gällde och när den synkroniserades. Det andra täcker vidarebefordran: prefix, rutter, säkerhetsassociationer och riktningsräknare för ett flöde. När symptomet ändras efter en reparation visar registren vilken förklaring som faktiskt var rätt.

ipsec status

Den disciplinen spelar roll eftersom en licensreparation och en ruttplanering ser identiska ut från en lyckad ping. Om båda ändrades samtidigt har du lärt dig att tjänsten fungerar och ingenting om varför den inte gjorde det. Ändra en sak, mät sedan samma flöde igen, och vägledningen för utgång avgör vad rättigheten ensam kan förklara.