VPN site-to-site của Sophos đang bật nhưng không có lưu lượng: giấy phép hay tuyến đường?

Thiết lập một liên kết IPsec, thấy tuyến đường trong bảng và vẫn hết thời gian chờ từ chi nhánh là một tổ hợp quen thuộc trên Sophos Firewall. Trên Sophos Firewall tổ hợp đó có ít nhất hai cách giải thích thông thường: một khoảng trống trong chuyển tiếp, hoặc một điều kiện của giấy phép Base giữ đường hầm ở trạng thái bật trong khi dữ liệu ngừng đi qua. Cả hai tạo ra triệu chứng gần như giống nhau, nên cách duy nhất là thu thập bằng chứng độc lập cho từng cái. Cả hai đều đủ phổ biến để không thể mặc định cái nào.

Đường hầm có thể bật mà không có dữ liệu

Một liên kết IPsec là một quan hệ bảo mật, không phải lời hứa chuyển tiếp gói tin. Pha 1 và pha 2 có thể hoàn tất trong khi chính sách chọn lưu lượng, tuyến đường tới tiền tố từ xa hoặc chính đường đi dữ liệu bị sai. Màn hình đường hầm trả lời một câu hỏi và để những câu khác mở.

Hãy bắt đầu bằng việc nêu rõ tiền tố nào phải đi qua và theo hướng nào. Một đường hầm không có lưu lượng đáng quan tâm trông giống hệt một đường hầm hỏng trên trang trạng thái.

Giấy phép Base bao gồm những gì

Sophos liệt kê VPN dưới giấy phép Base, tách khỏi Network Protection và Central Orchestration. Vì vậy một mô-đun tùy chọn đã hết hạn là vấn đề riêng của nó và không phải bằng chứng tự động rằng IPsec site-to-site cần một gói trả phí mới. Ghi lại kiểu thiết bị, phiên bản, danh tính đăng ký và trạng thái Base Firewall. Sau đó đối chiếu với hồ sơ của chủ tài khoản qua quy trình cấp phép được hỗ trợ, và giữ số sê-ri ngoài các ghi chú công khai.

Nền tảng cũng thay đổi quy tắc. Thiết bị đám mây, ảo và phần mềm nhận giấy phép Base không có ngày hết hạn, trong khi giấy phép Base của một thiết bị phần cứng hết hạn khi hết vòng đời. Một đăng ký bị tạm dừng là trạng thái thứ ba giữa hợp lệ và hết hạn, và nó xứng đáng có cùng bằng chứng thay vì phỏng đoán.

Chứng minh tuyến đường trước khi đổ lỗi cho giấy phép

Chứng minh đường chuyển tiếp một cách độc lập. Hỏi thiết bị xem nó sẽ dùng tuyến nào cho tiền tố từ xa, sau đó xác nhận rằng chính sách bảo mật chọn lưu lượng đó và đường phản hồi tồn tại ở phía bên kia. Một tuyến bị thiếu tới tiền tố từ xa vẫn là vấn đề định tuyến, dù giấy phép có khỏe đến đâu.

ip route get 10.80.20.10

Chiều ngược lại quan trọng ngang chiều đi. Một chi nhánh tới được trụ sở nhưng không ngược lại thì có khoảng trống ở tuyến về hoặc chính sách, không phải hỏng đường đi dữ liệu. Ghi lại một luồng được phép theo cả hai chiều trước khi kết luận.

Giữ hai bản ghi để lần sửa tiếp theo trung thực

Giữ hai bản ghi riêng và ghi ngày. Bản thứ nhất bao gồm quyền: trang giấy phép hiển thị gì, gói đăng ký nào đang áp dụng và khi nào nó được đồng bộ. Bản thứ hai bao gồm chuyển tiếp: tiền tố, tuyến, liên kết bảo mật và bộ đếm theo hướng cho một luồng. Khi triệu chứng thay đổi sau khi sửa, các bản ghi cho thấy cách giải thích nào thực sự đúng.

ipsec status

Kỷ luật này quan trọng vì việc sửa giấy phép và việc sửa tuyến đường trông giống nhau từ một lần ping thành công. Nếu cả hai bị thay đổi cùng lúc, bạn đã biết dịch vụ hoạt động và không biết gì về việc tại sao nó không hoạt động. Hãy thay đổi một thứ, sau đó đo lại chính luồng đó, và hướng dẫn về hết hạn quyết định những gì chỉ riêng quyền có thể giải thích.