Sophos siteden siteye VPN açık ama trafik geçmiyor: lisans mı yoksa yönlendirme mi?

Bir IPsec ilişkisi kurmak, yönlendirme tablosunda yolu görmek ve yine de şubeden zaman aşımı almak Sophos Firewall'da tanıdık bir bileşimdir. Sophos Firewall'da bu bileşimin en az iki olağan açıklaması vardır: yönlendirmede bir boşluk ya da veri geçmeyi bırakırken tüneli açık tutan bir Base lisans koşulu. İkisi neredeyse aynı belirtileri üretir, bu yüzden tek yol her biri için bağımsız kanıt toplamaktır. İkisi de yeterince yaygındır ki hiçbiri varsayılamaz.

Tünel veri olmadan da açık olabilir

IPsec ilişkisi bir güvenlik ilişkisidir, paket iletme sözü değildir. Trafiği seçen ilke, uzak öneke giden yol ya da veri yolu kendisi yanlışken evre 1 ve evre 2 tamamlanabilir. Tünel ekranı bir soruya yanıt verir, diğerlerini açık bırakır.

Hangi öneklerin hangi yönde geçmesi gerektiğini adlandırarak başlayın. İlginç trafiği olmayan bir tünel durum sayfasında bozuk bir tünel gibi görünür.

Base lisansı neleri kapsar

Sophos, VPN'i Network Protection ve Central Orchestration'dan ayrı olarak Base Lisansı altında listeler. Bu yüzden süresi dolmuş isteğe bağlı modül kendi başına bir sorundur ve siteden siteye IPsec'in yeni bir ücretli paket gerektirdiğinin otomatik kanıtı değildir. Cihaz modelini, sürümü, kayıt kimliğini ve Base Firewall durumunu kaydedin. Ardından bunu desteklenen lisans süreci üzerinden hesap sahibinin kayıtlarıyla uzlaştırın ve seri numaralarını herkese açık notların dışında tutun.

Platform da kuralı değiştirir. Bulut, sanal ve yazılım cihazları son kullanma tarihi olmayan bir Base lisansı alır, oysa bir donanım biriminin Base lisansı kullanım ömrünün sonunda biter. Askıya alınmış kayıt, geçerli ile süresi dolmuş arasındaki üçüncü durumdur ve tahmin yerine aynı kanıtı hak eder.

Lisansı suçlamadan önce yolu kanıtlayın

İletme yolunu bağımsız olarak kanıtlayın. Cihaza uzak önek için hangi yolu kullanacağını sorun, ardından güvenlik ilkesinin o trafiği seçtiğini ve yanıt yolunun karşı tarafta var olduğunu doğrulayın. Uzak öneğe eksik yol, lisans ne kadar sağlıklı olursa olsun bir yönlendirme sorunu olarak kalır.

ip route get 10.80.20.10

Ters yön, ileri yön kadar önemlidir. Merkeze ulaşan ama tersi olmayan bir şubenin dönüş yolunda ya da ilkesinde boşluk vardır, veri yolunda arıza değil. Sonuç çıkarmadan önce izin verilen tek bir akışı iki yönde de kaydedin.

Sonraki onarım dürüst olsun diye iki kayıt tutun

İki ayrı kayıt tutun ve tarih atın. Birincisi yetkiyi kapsar: lisans sayfası ne gösteriyordu, hangi abonelik geçerliydi ve ne zaman eşitlendi. İkincisi iletmeyi kapsar: önekler, yollar, güvenlik ilişkileri ve tek bir akış için yön sayaçları. Onarımdan sonra belirti değişirse, kayıtlar hangi açıklamanın gerçekten doğru olduğunu gösterir.

ipsec status

Bu disiplin önemlidir çünkü bir lisans onarımı ile bir yol onarımı başarılı bir ping'den aynı görünür. İkisi birden değiştirildiyse hizmetin çalıştığını öğrendiniz ve neden çalışmadığına dair hiçbir şey öğrenmediniz. Tek bir şeyi değiştirin, sonra aynı akışı yeniden ölçün; ve son kullanma kılavuzu yalnızca yetkinin neleri açıklayabileceğini belirler.