Buhay ang site-to-site VPN ng Sophos pero walang trapikong dumadaan: lisensya o ruta?

Ang pagtatatag ng asosasyong IPsec, pagkakita ng ruta sa talahanayan at pag-timeout pa rin mula sa sangay ay pamilyar na kombinasyon sa Sophos Firewall. Sa Sophos Firewall may dalawang karaniwang paliwanag ang kombinasyong iyon: puwang sa pagpapasa, o kundisyon ng lisensyang Base na nagpapanatiling buhay ng tunnel habang tumitigil ang pagdaan ng datos. Halos magkapareho ang sintomas na dulot ng dalawa, kaya ang tanging paraan ay kolektahin ang magkahiwalay na ebidensya para sa bawat isa. Pareho silang karaniwan kaya wala sa kanila ang maaaring ipalagay.

Maaaring buhay ang tunnel nang walang datos

Ang asosasyong IPsec ay ugnayang pangseguridad, hindi pangako na magpapasa ng pakete. Maaaring makumpleto ang yugto 1 at yugto 2 habang mali ang patakarang pumipili ng trapiko, ang ruta patungo sa malayong prefix o ang daanan ng datos mismo. Sinasagot ng display ng tunnel ang isang tanong at iniiwang bukas ang iba.

Magsimula sa pagpangalan kung aling mga prefix ang dapat tumawid at sa aling direksyon. Ang tunnel na walang kawili-wiling trapiko ay mukhang pareho sa sirang tunnel sa pahina ng estado.

Ano ang saklaw ng lisensyang Base

Inililista ng Sophos ang VPN sa ilalim ng Lisensyang Base, hiwalay sa Network Protection at Central Orchestration. Kaya ang nag-expire na opsyonal na module ay sariling problema at hindi awtomatikong ebidensya na kailangan ng IPsec na site-to-site ng bagong bayad na bundle. Itala ang modelo ng appliance, release, pagkakakilanlan ng rehistro at estado ng Base Firewall. Pagkatapos, itugma iyon sa mga rekord ng may-ari ng account sa pamamagitan ng sinusuportahang proseso ng lisensya, at ilayo ang mga serial number sa pampublikong tala.

Binabago rin ng platform ang tuntunin. Ang cloud, virtual at software na appliance ay nakakakuha ng lisensyang Base na walang petsa ng pag-expire, samantalang ang lisensyang Base ng hardware unit ay nagtatapos sa dulo ng buhay nito. Ang suspendidong rehistro ay ikatlong estado sa pagitan ng balido at nag-expire, at karapat-dapat ito sa parehong ebidensya sa halip na haka-haka.

Patunayan ang ruta bago sisihin ang lisensya

Patunayan ang daanan ng pagpapasa nang nakapag-iisa. Tanungin ang appliance kung aling ruta ang gagamitin nito para sa malayong prefix, pagkatapos ay tiyakin na pinipili ng patakarang pangseguridad ang trapikong iyon at may daanan ng tugon sa kabilang panig. Ang nawawalang ruta patungo sa malayong prefix ay nananatiling problema sa pagruruta, gaano man kalusog ang lisensya.

ip route get 10.80.20.10

Ang kabaligtarang direksyon ay kasinghalaga ng pasulong. Ang sangay na nakakaabot sa punong tanggapan pero hindi pabalik ay may puwang sa rutang pabalik o sa patakaran, hindi pagkabigo ng daanan ng datos. Kunan ng isang pinapayagang daloy sa dalawang direksyon bago magbigay ng konklusyon.

Magtago ng dalawang rekord para maging tapat ang susunod na pag-aayos

Magtago ng dalawang hiwalay na rekord at lagyan ng petsa. Sinasaklaw ng una ang karapatan: ano ang ipinakita ng pahina ng lisensya, aling subscription ang umiral at kailan ito naisync. Sinasaklaw ng pangalawa ang pagpapasa: mga prefix, ruta, asosasyong pangseguridad at direksyonal na counter para sa isang daloy. Kapag nagbago ang sintomas pagkatapos ng pag-aayos, ipinapakita ng mga rekord kung aling paliwanag ang tunay na tama.

ipsec status

Mahalaga ang disiplinang ito dahil ang pag-aayos ng lisensya at pag-aayos ng ruta ay magkapareho sa paningin mula sa matagumpay na ping. Kung parehong binago nang sabay, natutunan mong gumagana ang serbisyo at wala kang alam sa kung bakit hindi. Baguhin ang isang bagay, pagkatapos ay sukatin muli ang parehong daloy, at ang gabay sa pag-expire ang nagpapasya kung ano ang kayang ipaliwanag ng karapatan lamang.