Sophos saytlararo VPN ishlayapti, lekin trafik o'tmayapti: litsenziyami yoki marshrutmi?

IPsec assotsiatsiyasini o'rnatish, jadvalda marshrutni ko'rish va shunga qaramay filialdan vaqt tugashini olish Sophos Firewall'da tanish birikma. Sophos Firewall'da bu birikmaning kamida ikkita oddiy izohi bor: yo'naltirishdagi bo'shliq yoki Base litsenziyasining tunnelni ishlab turgan holda ma'lumot o'tishini to'xtatadigan sharti. Ikkalasi deyarli bir xil belgilar beradi, shuning uchun yagona yo'l har biri uchun mustaqil dalil to'plash. Ikkalasi ham yetarlicha keng tarqalganki, hech birini taxmin qilish mumkin emas.

Tunnel ma'lumotsiz ham ishlab turishi mumkin

IPsec assotsiatsiyasi xavfsizlik munosabati, paketlarni yo'naltirish va'dasi emas. Trafikni tanlaydigan siyosat, uzoq prefiksga marshrut yoki ma'lumot yo'lining o'zi noto'g'ri bo'lsa ham 1-faza va 2-faza tugashi mumkin. Tunnel displeyi bitta savolga javob beradi, qolganlarini ochiq qoldiradi.

Qaysi prefikslar qaysi yo'nalishda o'tishi kerakligini nomlashdan boshlang. Qiziqarli trafiksiz tunnel holat sahifasida buzilgan tunnel kabi ko'rinadi.

Base litsenziyasi nimani qamrab oladi

Sophos VPN'ni Base litsenziyasi ostida Network Protection va Central Orchestration'dan alohida sanaydi. Shuning uchun muddati o'tgan ixtiyoriy modul o'z muammosi bo'lib, saytlararo IPsec'ga yangi pullik to'plam kerakligiga avtomatik dalil emas. Qurilma modelini, versiyasini, ro'yxatdan o'tish identifikatorini va Base Firewall holatini yozib oling. So'ngra qo'llab-quvvatlanadigan litsenziyalash jarayoni orqali buni hisob egasining yozuvlari bilan uyg'unlashtiring va seriya raqamlarini ommaviy eslatmalardan tashqarida saqlang.

Platforma ham qoidani o'zgartiradi. Bulutli, virtual va dasturiy qurilmalar muddatsiz Base litsenziyasini oladi, apparat blokining Base litsenziyasi esa xizmat muddati oxirida tugaydi. To'xtatilgan ro'yxatdan o'tish amaldagi va tugagan orasidagi uchinchi holat bo'lib, u taxmin o'rniga xuddi shu dalilga loyiq.

Litsenziyani ayblashdan oldin marshrutni isbotlang

Yo'naltirish yo'lini mustaqil isbotlang. Qurilmadan uzoq prefiks uchun qaysi marshrutni ishlatishini so'rang, so'ngra xavfsizlik siyosati o'sha trafikni tanlashini va javob yo'li boshqa tomonda mavjudligini tasdiqlang. Uzoq prefiksga yo'q marshrut litsenziya qanchalik sog'lom bo'lsa ham marshrutlash muammosi bo'lib qoladi.

ip route get 10.80.20.10

Teskari yo'nalish oldinga yo'nalish kabi muhim. Bosh ofisga yeta oladigan, lekin teskarisi bo'lmagan filialda qaytish marshruti yoki siyosat bo'shlig'i bor, ma'lumot yo'lining nosozligi emas. Xulosa chiqarishdan oldin bitta ruxsat etilgan oqimni ikkala yo'nalishda yozib oling.

Keyingi tuzatish halol bo'lishi uchun ikkita yozuv yuriting

Ikkita alohida yozuv yuriting va ularga sana qo'ying. Birinchisi huquqni qamrab oladi: litsenziya sahifasi nima ko'rsatdi, qaysi obuna amal qildi va qachon sinxronlashtirildi. Ikkinchisi yo'naltirishni qamrab oladi: prefikslar, marshrutlar, xavfsizlik assotsiatsiyalari va bitta oqim uchun yo'nalish hisoblagichlari. Tuzatishdan keyin belgi o'zgarsa, yozuvlar qaysi izoh haqiqatan to'g'ri bo'lganini ko'rsatadi.

ipsec status

Bu tartib muhim, chunki litsenziya tuzatishi va marshrut tuzatishi muvaffaqiyatli pingdan bir xil ko'rinadi. Ikkalasi birga o'zgartirilgan bo'lsa, xizmat ishlashini bilib oldingiz va nima uchun ishlamaganligi haqida hech narsa bilmadingiz. Bitta narsani o'zgartiring, so'ngra o'sha oqimni qayta o'lchang, va muddat bo'yicha qo'llanma faqat huquq nimani izohlashi mumkinligini belgilaydi.