Check Point VSX VPN: pagpili ng link o hindi pagtutugma ng peer?

Dalawang magkaibang pagbabago ang nagdudulot ng parehong sintomas kapag tumigil nang bumangon ang isang site-to-site tunnel ng Check Point: nakikita ng peer ang ibang panlabas na address, o tinatanggihan nito ang pagkakakilanlan ng IKE na natatanggap nito ngayon. Sa isang capture mula sa isang panig, magkapareho ang itsura ng dalawa. Upang magpasiya kung alin sa dalawa ang mayroon ka, kailangan ng tatlong pagsusuri, at wala ni isa sa mga ito ang panel ng pagpili ng link.

Kung mali ang pagkakasunod-sunod, iaayos mo ang pagpili ng pinagmulan upang ituwid ang hindi pagtutugma ng pagkakakilanlan. Ganyan naaayos nang dalawang beses ang parehong tunnel at bumabagsak muli pagkatapos ng susunod na pagbabago ng ruta.

Tatlong kondisyon na naghihiwalay sa dalawang kaso

Unang kondisyon: tugma ba ang naka-configure na endpoint ng peer sa address na aktwal na dumarating? Kung ang mga packet ay umabot sa malayong gateway mula sa isang address na hindi nito iniuugnay sa iyong peer object, nabibigo ang negosasyon bago pa magpalitan ng anumang pagkakakilanlan. Ikalawang kondisyon: tugma ba ang pagkakakilanlan ng IKE sa panukala sa halagang inaasahan ng peer? Iyon ay pagpapatotoo, hindi transportasyon. Ikatlong kondisyon: sinusuportahan ba ang opsyong gusto mong baguhin para sa virtual system na ito sa release na ito? Walang nakikitang setting ang sumasagot sa mga tanong na ito.

Kung nabigo ang unang kondisyon, may problema ka sa ruta o sa salin. Kung nabigo ang ikalawa, may problema ka sa kontrata sa peer. Kung hindi alam ang ikatlo, itigil ang pag-configure.

Buuhin muna ang talaan ng panlabas na peer

Isulat ang virtual system, release ng software at naka-install na antas ng update bago galawin ang anuman. Pagkatapos itala ang mga panlabas na interface, ang ruta patungo sa malayong peer, ang inaasahang source address bago at pagkatapos ng NAT, at ang naka-configure na endpoint ng malayong peer.

Itago ang panloob na protektadong prefix sa hiwalay na bahagi ng talaang iyon. Ang pagbabago ng panlabas na pinagmulan at ang pagbabago ng protektadong LAN address ay dalawang magkaibang operasyon na nagkataong nasa iisang patakaran.

Magdagdag ng direksyon sa bawat capture na itinatago mo. Ang negosasyong sinimulan sa lokal at ang tugon sa malayong peer ay maaaring pumili nang magkaiba, kaya mahinang ebidensya ang capture na walang label. Lagyan ng label ang file gamit ang virtual system at ang nagpasimula.

Basahin kung ano talaga ang hinihiwalay ng pagpili ng link

Ang gabay ng Check Point sa pagpili ng link sa R81.20 ay naghihiwalay ng tatlong bagay na pinagsasama ng mga tao: paano nireresolba ng malayong peer ang address ng gateway, aling ruta ang nagdadala ng papalabas na trapiko, at aling source IP ang ginagamit. Bawat isa ay sumasagot sa magkaibang tanong. Wala sa mga ito ang nagbabago sa pagkakakilanlang pinapatotohanan ng peer.

Ang paghihiwalay na iyon ang nagpapaliwanag kung bakit nababago ng pagbabago ng ruta ang nakikitang panlabas na address nang hindi ginagalaw ang pagkakakilanlan ng IKE, at kung bakit nababasag ng pagbabago ng pagkakakilanlan ang isang tunnel na perpekto ang rutang ginagamit.

Gumuhit ang RFC 7296 ng gayunding linya para sa IKE mismo: ang identification payload ay hindi ang transport address. Ipinapatupad ng mga vendor ang paghihiwalay na iyon, hindi nila ito muling binibigyan ng kahulugan.

Magpasya gamit ang ebidensya, hindi ang panel ng settings

Kung nag-uulat ang peer ng hindi kilalang o hindi tugmang pagkakakilanlan, ituwid ang peer object o ang configuration ng pagkakakilanlan, hindi ang pagpili ng pinagmulan. Kung wala itong iniuulat at ipinapakita ng iyong capture na lumalabas ang mga packet mula sa hindi inaasahang address, ituwid muna ang ruta o ang salin. Kung mukhang tama ang dalawa ngunit nabibigo pa rin ang tunnel, kumuha ng capture sa malayong panig at ihambing ang natanggap nito. Kapag tugma na ang address at pagkakakilanlan at mali pa rin ang landas, doon pa lamang nagiging kandidato ang isang opsyon ng pagpili ng link.

Bago i-configure ang opsyong iyon sa VSX, kunin ang gabay sa mga sinusuportahang tampok ng tugmang release o isang tahasang pahayag ng vendor para sa konteksto ng virtual system. Ang lumang ulat na hindi available ang isang tampok ay kasaysayan, hindi kasalukuyang pagbabawal, at ang panel ng settings ay hindi pahayag ng suporta.

Itugma ang dalawang dulo at itago ang talaan

Kapag mayroon nang sinusuportahang disenyo, suriin nang sama-sama ang panlabas na maabot, ang configuration ng endpoint ng peer at ang kasunduan sa pagkakakilanlan, bilang isang kontrata. Pagkatapos planuhin ang pagtanggap para sa tatlong kaso: ang paunang koneksyon, ang koneksyong sinimulan ng malayong panig, at ang pagkabigo na inaasahan mo kapag naputol ang landas.

Itago ang mga naobserbahang panlabas na address sa tabi ng konteksto ng aktibong virtual system. Sa gayon, ang susunod na pagbabago ng ruta ay ihahambing sa isang dokumentadong kontrata sa halip na sa alaala ng sinuman tungkol sa default.