Check Point VSX VPN: havola tanlovimi yoki tengdosh nomuvofiqligimi?

Check Point saytlar orasidagi tunnel ko‘tarilishdan to‘xtaganda ikki xil o‘zgarish bir xil belgini beradi: tengdosh boshqa tashqi manzilni ko‘radi yoki hozir olayotgan IKE identifikatorini rad etadi. Bir tomondan olingan yozib olishda ikkalasi bir xil ko‘rinadi. Qaysi holat ekanini aniqlash uchun uchta tekshiruv kerak va ularning hech biri havola tanlovi paneli emas.

Tartibni chalkashtirsangiz, identifikator nomuvofiqligini tuzatish uchun manba tanlovini sozlaysiz. Shunday qilib bir xil tunnel ikki marta tuzatiladi va keyingi marshrut o‘zgarishidan keyin yana buziladi.

Ikki holatni ajratadigan uchta shart

Birinchi shart: tengdoshning sozlangan yakuniy nuqtasi haqiqatda kelayotgan manzilga mos keladimi? Agar paketlar uzoq shlyuzga u sizning tengdosh obyektingiz bilan bog‘lamaydigan manzildan yetib kelsa, har qanday identifikator almashinuvidan oldin muzokara muvaffaqiyatsiz tugaydi. Ikkinchi shart: taklifdagi IKE identifikatori tengdosh kutayotgan qiymatga mos keladimi? Bu autentifikatsiya, transport emas. Uchinchi shart: o‘zgartirmoqchi bo‘lgan parametr shu nashrda shu virtual tizim uchun qo‘llab-quvvatlanadimi? Hech qanday ko‘rinadigan sozlama bu savollarga javob bermaydi.

Birinchi shart bajarilmasa, marshrutlash yoki tarjima muammosi bor. Ikkinchisi bajarilmasa, tengdosh bilan shartnoma muammosi bor. Uchinchisi noma’lum bo‘lsa, sozlashni to‘xtating.

Avval tashqi tengdosh yozuvini tuzing

Biror narsaga tegishdan oldin virtual tizim, dasturiy ta’minot nashri va o‘rnatilgan yangilanish darajasini yozib qo‘ying. So‘ngra tashqi interfeyslar, uzoq tengdoshga qarab marshrut, NAT oldidan va keyin kutilayotgan manba manzillari hamda uzoq tengdoshning sozlangan yakuniy nuqtasini qayd eting.

Ichki himoyalangan prefikslarni o‘sha yozuvning alohida qismida saqlang. Tashqi manbani o‘zgartirish va himoyalangan LAN manzilini o‘zgartirish bir xil siyosatda tasodifan joylashgan ikki xil amaldir.

Saqlaydigan har bir yozib olishga yo‘nalish qo‘shing. Mahalliy boshlangan muzokara va uzoq tengdoshga berilgan javob turlicha tanlashi mumkin, shuning uchun yorliqsiz yozib olish zaif dalildir. Faylni virtual tizim va boshlovchi bilan belgilang.

Havola tanlovi aslida nimani ajratishini o‘qing

Check Pointning R81.20 dagi havola tanlovi bo‘yicha qo‘llanmasi odamlar birlashtirib yuboradigan uchta narsani ajratadi: uzoq tengdosh shlyuz manzilini qanday hal qiladi, qaysi marshrut chiqish trafigini tashiydi va qaysi manba IP ishlatiladi. Har biri boshqa savolga javob beradi. Ularning hech biri tengdosh autentifikatsiya qiladigan identifikatorni o‘zgartirmaydi.

Aynan shu ajratish marshrut o‘zgarishi IKE identifikatoriga tegmasdan ko‘rinadigan tashqi manzilni nima uchun o‘zgartirishi mumkinligini va identifikator o‘zgarishi marshrutlashi benuqson tunnelni nima uchun buzishi mumkinligini tushuntiradi.

RFC 7296 IKE ning o‘zi uchun ham xuddi shu chegarani chizadi: identifikatsiya yuki transport manzili emas. Ishlab chiqaruvchilar bu bo‘linishni amalga oshiradilar, uni qayta belgilamaydilar.

Sozlamalar paneli bilan emas, dalillar bilan qaror qiling

Agar tengdosh noma’lum yoki mos kelmaydigan identifikator haqida xabar bersa, manba tanlovini emas, tengdosh obyektini yoki identifikator sozlamasini tuzating. Agar tengdosh hech narsa xabar bermasa-yu, yozib olishingiz paketlar kutilmagan manzildan chiqayotganini ko‘rsatsa, avval marshrutlash yoki tarjimani tuzating. Ikkalasi ham to‘g‘ri ko‘rinsa-yu tunnel hali ham ko‘tarilmasa, uzoq tomonda yozib oling va u nima olganini solishtiring. Faqat manzil va identifikator mos kelib, yo‘l hali ham noto‘g‘ri bo‘lganda havola tanlovining bir parametri nomzodga aylanadi.

Bu parametrni VSX da sozlashdan oldin tegishli nashrning qo‘llab-quvvatlanadigan funksiyalari bo‘yicha ko‘rsatmani yoki virtual tizim konteksti uchun ishlab chiqaruvchining aniq bayonotini oling. Funksiya mavjud bo‘lmaganligi haqidagi eski hisobot tarix, hozirgi taqiq emas, sozlamalar paneli esa qo‘llab-quvvatlash bayonoti emas.

Ikki tomonni uyg‘unlashtiring va yozuvni saqlang

Qo‘llab-quvvatlanadigan loyihaga ega bo‘lgach, tashqi yetib borishni, tengdoshning yakuniy nuqta sozlamasini va identifikator kelishuvini birgalikda, bitta shartnoma sifatida ko‘rib chiqing. So‘ngra uchta holat uchun qabulni rejalashtiring: boshlang‘ich ulanish, uzoq tomon boshlagan ulanish va yo‘l uzilganda kutayotgan nosozlik.

Kuzatilgan tashqi manzillarni faol virtual tizim konteksti yonida saqlang. Shunda keyingi marshrut o‘zgarishi kimningdir standart qiymat haqidagi xotirasi bilan emas, hujjatlashtirilgan shartnoma bilan solishtiriladi.