Check Point VSX VPN: chọn liên kết hay lệch danh tính của peer?

Hai thay đổi khác nhau tạo ra cùng một triệu chứng khi một đường hầm site-to-site của Check Point không còn khởi lên: peer nhìn thấy một địa chỉ bên ngoài khác, hoặc nó từ chối danh tính IKE mà nó đang nhận. Trên một bản bắt gói từ một phía, cả hai trông giống hệt nhau. Để quyết định bạn đang gặp trường hợp nào cần ba bước kiểm tra, và không bước nào là bảng chọn liên kết.

Nếu nhầm thứ tự, bạn sẽ chỉnh chọn nguồn để sửa một sự lệch danh tính. Đó là cách cùng một đường hầm bị sửa hai lần rồi lại hỏng sau lần thay đổi tuyến tiếp theo.

Ba điều kiện phân biệt hai trường hợp

Điều kiện một: điểm cuối đã cấu hình của peer có khớp với địa chỉ thực sự đến không? Nếu các gói tin đến cổng từ xa từ một địa chỉ mà cổng đó không liên kết với đối tượng peer của bạn, quá trình thương lượng thất bại trước khi bất kỳ danh tính nào được trao đổi. Điều kiện hai: danh tính IKE trong đề xuất có khớp với giá trị mà peer mong đợi không? Đó là xác thực, không phải truyền tải. Điều kiện ba: tùy chọn bạn muốn thay đổi có được hỗ trợ cho hệ thống ảo này trên bản phát hành này không? Không cài đặt hiển thị nào trả lời những câu hỏi đó.

Nếu điều kiện một không đạt, bạn có vấn đề định tuyến hoặc biên dịch địa chỉ. Nếu điều kiện hai không đạt, bạn có vấn đề về thỏa thuận với peer. Nếu điều kiện ba chưa rõ, hãy dừng cấu hình.

Trước hết hãy lập hồ sơ peer bên ngoài

Ghi ra hệ thống ảo, bản phát hành phần mềm và mức cập nhật đã cài trước khi chạm vào bất cứ thứ gì. Sau đó ghi lại các giao diện bên ngoài, tuyến đường tới peer từ xa, các địa chỉ nguồn dự kiến trước và sau NAT, cùng điểm cuối đã cấu hình của peer từ xa.

Giữ các tiền tố được bảo vệ bên trong ở một phần riêng của hồ sơ đó. Thay đổi nguồn bên ngoài và thay đổi địa chỉ LAN được bảo vệ là hai thao tác khác nhau tình cờ nằm chung trong một chính sách.

Thêm hướng vào mọi bản bắt gói mà bạn lưu. Một cuộc thương lượng khởi tạo cục bộ và một phản hồi cho peer từ xa có thể chọn khác nhau, nên bản bắt gói không có nhãn là bằng chứng yếu. Ghi nhãn tệp bằng hệ thống ảo và bên khởi tạo.

Đọc xem chọn liên kết thực sự tách điều gì

Hướng dẫn của Check Point về chọn liên kết trong R81.20 tách ba thứ mà người ta thường gộp làm một: cách peer từ xa phân giải địa chỉ cổng, tuyến nào mang lưu lượng đi ra và địa chỉ IP nguồn nào được dùng. Mỗi thứ trả lời một câu hỏi khác nhau. Không thứ nào thay đổi danh tính mà peer xác thực.

Chính sự tách biệt đó giải thích vì sao một thay đổi tuyến có thể làm đổi địa chỉ bên ngoài nhìn thấy được mà không chạm vào danh tính IKE, và vì sao một thay đổi danh tính có thể làm hỏng một đường hầm có định tuyến hoàn hảo.

RFC 7296 vạch cùng ranh giới cho chính IKE: phần tải nhận dạng không phải là địa chỉ truyền tải. Các nhà cung cấp triển khai sự tách biệt đó chứ không định nghĩa lại nó.

Quyết định bằng bằng chứng, không bằng bảng cài đặt

Nếu peer báo danh tính không rõ hoặc không khớp, hãy sửa đối tượng peer hoặc cấu hình danh tính, không phải phần chọn nguồn. Nếu peer không báo gì và bản bắt gói của bạn cho thấy gói tin đi ra từ một địa chỉ bất ngờ, hãy sửa định tuyến hoặc biên dịch địa chỉ trước. Nếu cả hai có vẻ đúng mà đường hầm vẫn thất bại, hãy bắt gói ở phía xa và so sánh những gì nó nhận được. Chỉ khi địa chỉ và danh tính khớp nhau mà đường đi vẫn sai thì một tùy chọn của phần chọn liên kết mới trở thành ứng viên.

Trước khi cấu hình tùy chọn đó trên VSX, hãy lấy hướng dẫn về tính năng được hỗ trợ của bản phát hành tương ứng hoặc một tuyên bố rõ ràng của nhà cung cấp cho bối cảnh hệ thống ảo. Một báo cáo cũ rằng tính năng không khả dụng là lịch sử chứ không phải lệnh cấm hiện hành, và bảng cài đặt không phải là tuyên bố hỗ trợ.

Hòa hợp hai đầu và giữ lại hồ sơ

Khi đã có một thiết kế được hỗ trợ, hãy xem xét cùng lúc khả năng tiếp cận bên ngoài, cấu hình điểm cuối của peer và thỏa thuận danh tính như một hợp đồng duy nhất. Sau đó lập kế hoạch nghiệm thu cho ba trường hợp: kết nối ban đầu, kết nối do phía xa khởi tạo và sự cố bạn mong đợi khi đường đi bị đứt.

Lưu các địa chỉ bên ngoài đã quan sát bên cạnh bối cảnh của hệ thống ảo đang hoạt động. Khi đó lần thay đổi tuyến tiếp theo sẽ so với một hợp đồng đã ghi thành văn bản thay vì ký ức của ai đó về giá trị mặc định.