VPN між майданчиками Sophos піднято, але трафік не йде: ліцензія чи маршрут?

Створити асоціацію IPsec, побачити маршрут у таблиці й усе ж отримати тайм-аут з філії — знайома комбінація на Sophos Firewall. На Sophos Firewall ця комбінація має щонайменше два звичайні пояснення: розрив у пересиланні або умова ліцензії Base, яка залишає тунель піднятим, поки дані перестають проходити. Обидва дають майже однакові симптоми, тому єдиний шлях — зібрати незалежні докази для кожного. Обидва досить поширені, щоб жоден не можна було припускати.

Тунель може бути піднятим без даних

Асоціація IPsec — це відношення безпеки, а не обіцянка пересилати пакети. Фаза 1 і фаза 2 можуть завершитися, коли політика вибору трафіку, маршрут до віддаленого префікса або сам шлях даних хибні. Екран тунелю відповідає на одне питання й залишає інші відкритими.

Почніть із того, що назвете, які префікси мають пройти і в якому напрямку. Тунель без цікавого трафіку на сторінці стану виглядає так само, як зламаний тунель.

Що покриває ліцензія Base

Sophos відносить VPN до ліцензії Base, окремо від Network Protection і Central Orchestration. Тому прострочений додатковий модуль — це окрема проблема, а не автоматичний доказ того, що IPsec між майданчиками потребує нового платного пакета. Запишіть модель пристрою, версію, ідентифікатор реєстрації та стан Base Firewall. Потім звірте це із записами власника облікового запису через підтримуваний процес ліцензування і тримайте серійні номери поза публічними нотатками.

Платформа також змінює правило. Хмарні, віртуальні та програмні пристрої отримують ліцензію Base без терміну дії, тоді як ліцензія Base апаратного пристрою закінчується в кінці терміну служби. Призупинена реєстрація — це третій стан між чинним і простроченим, і він заслуговує на ті самі докази, а не на здогад.

Доведіть маршрут, перш ніж звинувачувати ліцензію

Доведіть шлях пересилання незалежно. Запитайте пристрій, який маршрут він використав би для віддаленого префікса, потім підтвердьте, що політика безпеки вибирає цей трафік і що зворотний шлях існує з іншого боку. Відсутній маршрут до віддаленого префікса залишається проблемою маршрутизації, хоч би якою здоровою була ліцензія.

ip route get 10.80.20.10

Зворотний напрямок важливий так само, як прямий. Філія, яка досягає головного офісу, але не навпаки, має розрив у зворотному маршруті або політиці, а не відмову шляху даних. Зафіксуйте один дозволений потік в обох напрямках, перш ніж робити висновки.

Ведіть два записи, щоб наступне виправлення було чесним

Ведіть два окремі записи й датуйте їх. Перший охоплює право: що показувала сторінка ліцензування, яка підписка діяла і коли вона синхронізувалася. Другий охоплює пересилання: префікси, маршрути, асоціації безпеки та лічильники за напрямками для одного потоку. Коли симптом змінюється після виправлення, записи показують, яке пояснення насправді було правильним.

ipsec status

Ця дисципліна важлива, бо виправлення ліцензії й виправлення маршруту виглядають однаково після успішного ping. Якщо змінили обидва одразу, ви дізналися, що служба працює, і нічого про те, чому вона не працювала. Змініть одну річ, потім знову виміряйте той самий потік, і посібник із завершення терміну визначає, що може пояснити лише право.