Sophos 站点到站点 VPN 已建立却不传流量：许可还是路由？

先建立 IPsec 关联、在路由表里能看到路由，分支却依然超时，这是 Sophos Firewall 上常见的情形。在 Sophos Firewall 上，这种情形至少有两种常见解释：转发环节存在缺口，或者 Base 许可的条件让隧道保持在线而数据停止通过。两者产生的症状几乎一样，所以唯一的出路是为每一种分别收集独立证据。两种都足够常见，任何一个都不能被默认。

隧道可以在没有数据的情况下保持在线

IPsec 关联是一种安全关系，而不是转发数据包的承诺。选择流量的策略、通往远端前缀的路由或数据路径本身有误时，第 1 阶段和第 2 阶段仍有可能完成。隧道界面只回答一个问题，其余问题依然悬着。

先明确哪些前缀应当互通、朝哪个方向。没有感兴趣流量的隧道，在状态页面上和断掉的隧道看起来完全一样。

Base 许可覆盖什么

Sophos 把 VPN 列在 Base 许可之下，与 Network Protection 和 Central Orchestration 分开。因此一个过期的可选模块是它自己的问题，并不自动说明站点到站点 IPsec 需要新的付费包。记录设备型号、版本、注册身份和 Base Firewall 状态。然后通过受支持的许可流程与账户持有人的记录核对，并把序列号留在公开笔记之外。

平台也会改变规则。云、虚拟和软件设备获得的 Base 许可没有到期日，而硬件设备的 Base 许可在生命周期结束时到期。挂起的注册是介于有效与过期之间的第三种状态，它值得同样的证据而不是猜测。

在归咎许可之前先证明路由

独立地证明转发路径。问设备会为远端前缀使用哪条路由，然后确认安全策略选择了那份流量，并且对端存在回程路径。缺少通往远端前缀的路由，无论许可多健康，都仍然是路由问题。

ip route get 10.80.20.10

反方向与正方向同样重要。能到总部却回不来的分支，缺的是回程路由或策略，而不是数据路径故障。在得出结论之前，先双向抓取一条被允许的流量。

保留两份记录，让下一次修复诚实

保留两份独立的记录并标注日期。第一份覆盖授权：许可页面显示了什么、适用的是哪个订阅、何时完成同步。第二份覆盖转发：前缀、路由、安全关联，以及某条流量的方向计数。修复之后症状若发生变化，记录会显示哪一份解释才是真正正确的。

ipsec status

这条纪律之所以重要，是因为从一次成功的 ping 看，修许可和修路由完全一样。如果两处同时改动，你只学到了服务能通，而对它当初为何不通一无所知。只改一处，再重新测量同一条流量，而到期指南会判定单凭授权能解释到什么程度。