Check Point VSX VPN: bağlantı seçimi mi, eş uyuşmazlığı mı?

Check Point site-to-site tüneli ayağa kalkmayı bıraktığında iki farklı değişiklik aynı belirtiyi üretir: eş farklı bir dış adres görür ya da artık aldığı IKE kimliğini reddeder. Tek taraftan alınan bir yakalamada ikisi de aynı görünür. Hangisiyle karşı karşıya olduğunuzu belirlemek üç kontrol gerektirir ve bunlardan hiçbiri bağlantı seçimi bölmesi değildir.

Sırayı karıştırırsanız kimlik uyuşmazlığını düzeltmek için kaynak seçimini ayarlarsınız. Aynı tünel böylece iki kez onarılır ve bir sonraki rota değişikliğinden sonra yeniden bozulur.

İki durumu ayıran üç koşul

Birinci koşul: eşin yapılandırılmış uç noktası gerçekte gelen adresle eşleşiyor mu? Paketler uzak ağ geçidine, onun eş nesnenizle ilişkilendirmediği bir adresten ulaşıyorsa, herhangi bir kimlik değiş tokuş edilmeden önce görüşme başarısız olur. İkinci koşul: teklifteki IKE kimliği eşin beklediği değerle eşleşiyor mu? Bu kimlik doğrulamadır, taşıma değil. Üçüncü koşul: değiştirmek istediğiniz seçenek bu sürümde bu sanal sistem için destekleniyor mu? Görünen hiçbir ayar bu soruları yanıtlamaz.

Birinci koşul tutmuyorsa yönlendirme veya çeviri sorununuz var. İkinci koşul tutmuyorsa eşle sözleşme sorununuz var. Üçüncü koşul bilinmiyorsa yapılandırmayı bırakın.

Önce dış eş kaydını oluşturun

Herhangi bir şeye dokunmadan önce sanal sistemi, yazılım sürümünü ve kurulu güncelleme düzeyini yazın. Ardından dış arayüzleri, uzak eşe doğru rotayı, NAT öncesi ve sonrası beklenen kaynak adresleri ve uzak eşin yapılandırılmış uç noktasını kaydedin.

İç korumalı önekleri bu kaydın ayrı bir bölümünde tutun. Dış kaynağı değiştirmek ile korumalı bir LAN adresini değiştirmek, aynı politikada tesadüfen yaşayan iki farklı işlemdir.

Sakladığınız her yakalamaya yön ekleyin. Yerel olarak başlatılan bir görüşme ile uzak eşe verilen yanıt farklı seçim yapabilir, bu yüzden etiketsiz yakalama zayıf kanıttır. Dosyayı sanal sistem ve başlatıcı ile etiketleyin.

Bağlantı seçiminin gerçekte neyi ayırdığını okuyun

Check Point'in R81.20'deki bağlantı seçimi kılavuzu, insanların tek bir şeyde birleştirdiği üç ayrıntıyı ayırır: uzak eşin ağ geçidi adresini nasıl çözümlediği, giden trafiği hangi rotanın taşıdığı ve hangi kaynak IP'nin kullanıldığı. Her biri farklı bir soruyu yanıtlar. Hiçbiri eşin doğruladığı kimliği değiştirmez.

Bu ayrım, bir rota değişikliğinin IKE kimliğine dokunmadan görünen dış adresi neden değiştirebildiğini ve bir kimlik değişikliğinin yönlendirmesi kusursuz olan bir tüneli neden bozabildiğini açıklar.

RFC 7296 aynı sınırı IKE'nin kendisi için çizer: kimlik yükü taşıma adresi değildir. Üreticiler bu ayrımı uygular, yeniden tanımlamaz.

Ayar bölmesiyle değil, kanıtla karar verin

Eş bilinmeyen veya eşleşmeyen bir kimlik bildirirse kaynak seçimini değil, eş nesnesini veya kimlik yapılandırmasını düzeltin. Eş hiçbir şey bildirmezse ve yakalamanız paketlerin beklenmedik bir adresten çıktığını gösteriyorsa önce yönlendirmeyi veya çeviriyi düzeltin. İkisi de doğru görünüyor ama tünel yine de başarısız oluyorsa uzak tarafta yakalama yapın ve ne aldığını karşılaştırın. Ancak adres ve kimlik uyuştuğunda ve yol hâlâ yanlışsa bağlantı seçimi seçeneklerinden biri aday hâline gelir.

Bu seçeneği VSX üzerinde yapılandırmadan önce ilgili sürümün desteklenen özellik kılavuzunu veya sanal sistem bağlamı için üreticinin açık beyanını edinin. Bir özelliğin kullanılamadığına dair eski bir rapor tarihtir, güncel bir yasak değildir ve ayar bölmesi bir destek beyanı değildir.

İki ucu uzlaştırın ve kaydı saklayın

Desteklenen bir tasarımınız olduğunda dış erişilebilirliği, eş uç noktası yapılandırmasını ve kimlik mutabakatını birlikte, tek bir sözleşme olarak gözden geçirin. Ardından üç durum için kabulü planlayın: ilk bağlantı, uzak tarafın başlattığı bağlantı ve yol koptuğunda beklediğiniz arıza.

Gözlenen dış adresleri etkin sanal sistem bağlamının yanında saklayın. Böylece bir sonraki rota değişikliği, birinin varsayılan değer anısıyla değil, belgelenmiş bir sözleşmeyle karşılaştırılır.