Check Point VSX VPN: вибір посилання чи невідповідність партнера?

Дві різні зміни дають однаковий симптом, коли тунель «майданчик — майданчик» у Check Point перестає підніматися: партнер бачить іншу зовнішню адресу або відхиляє ідентичність IKE, яку тепер отримує. На записі з одного боку обидва виглядають однаково. Щоб визначити, який із двох випадків у вас, потрібні три перевірки, і жодна з них не є панеллю вибору посилання.

Якщо помилитися з порядком, ви налаштовуєте вибір джерела, щоб виправити невідповідність ідентичності. Так самий тунель лагодять двічі, і він знову ламається після наступної зміни маршруту.

Три умови, що розділяють два випадки

Перша умова: чи збігається налаштована кінцева точка партнера з адресою, яка справді приходить? Якщо пакети надходять на віддалений шлюз з адреси, яку той не пов'язує з вашим об'єктом партнера, узгодження зривається ще до обміну будь-якою ідентичністю. Друга умова: чи збігається ідентичність IKE у пропозиції зі значенням, якого очікує партнер? Це автентифікація, а не транспорт. Третя умова: чи підтримується потрібна вам опція для цієї віртуальної системи в цій версії? Жодне видиме налаштування не відповідає на ці питання.

Якщо перша умова не виконується, у вас проблема маршрутизації або трансляції. Якщо друга — проблема договору з партнером. Якщо третя невідома, припиніть налаштування.

Спершу складіть запис зовнішнього партнера

Запишіть віртуальну систему, версію програмного забезпечення та встановлений рівень оновлення, перш ніж щось торкати. Далі зафіксуйте зовнішні інтерфейси, маршрут до віддаленого партнера, очікувані адреси джерела до та після NAT, а також налаштовану кінцеву точку віддаленого партнера.

Тримайте внутрішні захищені префікси в окремій частині цього запису. Зміна зовнішнього джерела та зміна захищеної адреси LAN — різні операції, які випадково живуть в одній політиці.

Додавайте напрямок до кожного збереженого запису. Узгодження, розпочате локально, і відповідь віддаленому партнеру можуть вибирати по-різному, тому запис без позначки — слабкий доказ. Позначте файл віртуальною системою та ініціатором.

Прочитайте, що насправді розділяє вибір посилання

Посібник Check Point з вибору посилання в R81.20 розділяє три речі, які люди зливають в одну: як віддалений партнер розв'язує адресу шлюзу, який маршрут несе вихідний трафік і яка вихідна IP-адреса використовується. Кожна відповідає на інше питання. Жодна з них не змінює ідентичність, яку автентифікує партнер.

Саме це розділення пояснює, чому зміна маршруту може змінити видиму зовнішню адресу, не торкаючись ідентичності IKE, і чому зміна ідентичності може зламати тунель із бездоганною маршрутизацією.

RFC 7296 проводить ту саму межу для самого IKE: корисне навантаження ідентифікації — це не транспортна адреса. Виробники реалізують це розділення, а не перевизначають його.

Вирішуйте за доказами, а не за панеллю налаштувань

Якщо партнер повідомляє про невідому або невідповідну ідентичність, виправляйте об'єкт партнера чи конфігурацію ідентичності, а не вибір джерела. Якщо партнер нічого не повідомляє, а ваш запис показує пакети, що виходять із неочікуваної адреси, спершу виправте маршрутизацію або трансляцію. Якщо обидва виглядають правильно, а тунель усе ще не працює, зробіть запис на віддаленому боці й порівняйте, що він отримав. Лише коли адреса та ідентичність збігаються, а шлях усе ще неправильний, якась опція вибору посилання стає кандидатом.

Перш ніж налаштовувати цю опцію на VSX, отримайте настанови щодо підтримуваних функцій відповідної версії або явну заяву виробника для контексту віртуальної системи. Старий звіт про недоступність функції — це історія, а не поточна заборона, і панель налаштувань не є заявою про підтримку.

Узгодьте обидва кінці й збережіть запис

Коли у вас є підтримуваний проєкт, розгляньте зовнішню доступність, конфігурацію кінцевої точки партнера та домовленість про ідентичність разом, як один договір. Потім сплануйте приймання для трьох випадків: початкового з'єднання, з'єднання, ініційованого віддаленим боком, і збою, якого ви очікуєте під час розриву шляху.

Зберігайте спостережені зовнішні адреси поруч із контекстом активної віртуальної системи. Тоді наступна зміна маршруту порівнюватиметься з задокументованим договором, а не з чиїмось спогадом про типове значення.