VPN ระหว่างไซต์ของ Sophos ทำงานอยู่แต่ไม่มีทราฟฟิกผ่าน: ใบอนุญาตหรือเส้นทาง?

การสร้างความสัมพันธ์ IPsec การเห็นเส้นทางในตาราง และยังหมดเวลาจากสาขาเป็นชุดค่าผสมที่คุ้นเคยบน Sophos Firewall บน Sophos Firewall ชุดค่าผสมนั้นมีคำอธิบายธรรมดาอย่างน้อยสองข้อ คือช่องว่างในการส่งต่อ หรือเงื่อนไขของใบอนุญาต Base ที่ทำให้อุโมงค์ยังทำงานอยู่ขณะที่ข้อมูลหยุดผ่าน ทั้งสองให้อาการเกือบเหมือนกัน ดังนั้นหนทางเดียวคือเก็บหลักฐานแยกกันสำหรับแต่ละข้อ ทั้งสองข้อพบได้บ่อยพอที่จะสันนิษฐานข้อใดไม่ได้

อุโมงค์สามารถทำงานอยู่ได้โดยไม่มีข้อมูล

ความสัมพันธ์ IPsec เป็นความสัมพันธ์ด้านความปลอดภัย ไม่ใช่คำสัญญาว่าจะส่งต่อแพ็กเก็ต ระยะที่ 1 และระยะที่ 2 อาจเสร็จสิ้นได้ขณะที่นโยบายที่เลือกทราฟฟิก เส้นทางไปยังคำนำหน้าปลายทางไกล หรือเส้นทางข้อมูลเองผิดพลาด หน้าจออุโมงค์ตอบคำถามข้อเดียวและปล่อยข้ออื่นไว้เปิด

เริ่มจากการระบุว่าคำนำหน้าใดควรข้ามและไปในทิศทางใด อุโมงค์ที่ไม่มีทราฟฟิกที่น่าสนใจดูเหมือนอุโมงค์ที่เสียบนหน้าสถานะ

ใบอนุญาต Base ครอบคลุมอะไร

Sophos จัด VPN ไว้ใต้ใบอนุญาต Base แยกจาก Network Protection และ Central Orchestration ดังนั้นโมดูลเสริมที่หมดอายุจึงเป็นปัญหาของตัวเอง ไม่ใช่หลักฐานอัตโนมัติว่า IPsec ระหว่างไซต์ต้องใช้ชุดซื้อแบบชำระเงินใหม่ บันทึกรุ่นของอุปกรณ์ รีลีส อัตลักษณ์การลงทะเบียน และสถานะ Base Firewall จากนั้นกระทบยอดกับบันทึกของเจ้าของบัญชีผ่านกระบวนการออกใบอนุญาตที่รองรับ และเก็บหมายเลขซีเรียลไว้นอกบันทึกสาธารณะ

แพลตฟอร์มก็เปลี่ยนกฎเช่นกัน อุปกรณ์คลาวด์ เสมือน และซอฟต์แวร์ได้รับใบอนุญาต Base โดยไม่มีวันหมดอายุ ขณะที่ใบอนุญาต Base ของอุปกรณ์ฮาร์ดแวร์สิ้นสุดเมื่อหมดอายุการใช้งาน การลงทะเบียนที่ถูกระงับเป็นสถานะที่สามระหว่างใช้งานได้กับหมดอายุ และสมควรได้รับหลักฐานเดียวกันแทนการคาดเดา

พิสูจน์เส้นทางก่อนโทษใบอนุญาต

พิสูจน์เส้นทางการส่งต่ออย่างเป็นอิสระ ถามอุปกรณ์ว่าจะใช้เส้นทางใดสำหรับคำนำหน้าปลายทางไกล แล้วยืนยันว่านโยบายความปลอดภัยเลือกทราฟฟิกนั้นและมีเส้นทางตอบกลับอยู่อีกด้านหนึ่ง เส้นทางที่หายไปยังคำนำหน้าปลายทางไกลยังคงเป็นปัญหาเรื่องเส้นทางไม่ว่าใบอนุญาตจะสมบูรณ์เพียงใด

ip route get 10.80.20.10

ทิศทางย้อนกลับสำคัญพอ ๆ กับทิศทางไปข้างหน้า สาขาที่เข้าถึงสำนักงานใหญ่ได้แต่ย้อนกลับไม่ได้มีช่องว่างของเส้นทางขากลับหรือนโยบาย ไม่ใช่ความล้มเหลวของเส้นทางข้อมูล บันทึกการไหลที่ได้รับอนุญาตหนึ่งรายการทั้งสองทิศทางก่อนสรุป

เก็บบันทึกสองชุดเพื่อให้การแก้ไขครั้งหน้าโปร่งใส

เก็บบันทึกแยกกันสองชุดและลงวันที่ ชุดแรกครอบคลุมสิทธิ: หน้าใบอนุญาตแสดงอะไร การสมัครใช้แบบใด และซิงค์เมื่อใด ชุดที่สองครอบคลุมการส่งต่อ: คำนำหน้า เส้นทาง ความสัมพันธ์ด้านความปลอดภัย และตัวนับตามทิศทางสำหรับการไหลหนึ่งรายการ เมื่ออาการเปลี่ยนหลังการแก้ไข บันทึกจะบอกว่าคำอธิบายใดถูกต้องจริง

ipsec status

วินัยนี้สำคัญเพราะการซ่อมใบอนุญาตและการซ่อมเส้นทางดูเหมือนกันเมื่อ ping สำเร็จ หากเปลี่ยนทั้งสองอย่างพร้อมกัน คุณได้เรียนรู้ว่าบริการทำงานและไม่รู้อะไรเลยว่าทำไมจึงไม่ทำงาน เปลี่ยนสิ่งเดียว แล้ววัดการไหลเดิมอีกครั้ง และคู่มือการหมดอายุจะเป็นตัวตัดสินว่าสิทธิเพียงอย่างเดียวอธิบายอะไรได้