Устранение неполадок подключения IPsec

Обзор

Существует много различных факторов, которые могут вызвать сбой туннеля IPSec, таких как неправильная конфигурация, неправильная маршрутизация, или потенциальные проблемы с оборудованием. Эта статья описывает различные инструменты, которые можно использовать для расследования и выявления коренной причины проблем подключения туннеля, а затем их устранения.

Устранение неполадок IPsec туннелей в приложении управления Cato

Раздел IPsec для сайта содержит инструменты, которые можно использовать для устранения проблем подключения для сайта, включая: 

• Журнал хронологии соединений

• Перехват трафика (PCAP)

• Статус соединения

• Сбросить туннель 

Эти инструменты доступны для типов сайтов IPSec (IKEv1, IKEv2) и могут быть использованы как для основных, так и для вторичных туннелей.

Примечание: Инструменты устранения неполадок не поддерживаются для IPSec IKEv1 FW-init.

Чтобы показать раздел IPsec, перейдите в Конфигурация Сайта > IPSec.

Журнал хронологии соединений

Журнал подключения хронологии — это запись последних событий, которая предоставляет конечному пользователю "историю" состояния туннеля, что может быть полезно во время расследования.

Когда вы загружаете хронологию, вы получаете два CSV файла (активная и архивная хронологии) с хронологическими записями изменений переговоров IPSec.

Этот читаемый формат позволяет легко идентифицировать, когда произошли изменения и их причину.

Примечание: Журналы хронологии отображаются в часовом поясе UTC для упрощения использования.

 Чтобы скачать журналы хронологии, разверните раздел Основной или Вторичный для сайта IPSec и нажмите Хронология.

Ограничения ведения журнала хронологии

• Максимальное количество записей в журнале для активного файла хронологии - 100

• Максимальное количество записей в журнале для архивного файла хронологии - 300

• Если туннель прерван, доступен только архивный файл хронологии.

Перехват трафика (PCAP)

Перехват пакетов предоставляет низкоуровневый анализ происходящего в туннеле. Это полезно для более глубоких расследований. Приложение Управления Cato позволяет скачать PCAP из соответствующего PoP Cato, используемого для подключения IPSec.

Загружаются два файла PCAP (Активный и Архивный PCAP). Файлы включают описания для каждого пакета, проходящего через туннель, вместе с Протоколом, Портом, Типами сообщений и многим другим.

Ограничения захвата трафика

• Временная шкала PCAP отображается в соответствии с настройками вашей локальной машины.

• Если туннель прерван, доступен только архивный файл PCAP.

• Максимальный размер пакета IKEv1:

  • Активный PCAP - 512 пакетов

  • Архивный PCAP - 1024 пакета

• Максимальный размер пакета IKEV2:

  • Активный PCAP - 256 пакетов

  • Архивный PCAP - 1024 пакета

Статус соединения

Инструмент Статус соединения предоставляет сводку состояния вашего сайта IPSec. Когда вы нажимаете кнопку Статус соединения, захватывается и отображается на экране последняя доступная моментальная копия данных.

Если сайт отключен, статус соединения не извлекается.

Статус соединения включает следующие поля сводки для каждого туннеля IPSec:

• Название сайта

• Название аккаунта

• Локальный адрес

• Адрес пира

• Последний IKE SA установлен

• Последний ESP SA установлен

• Параметры сообщения инициализации (Протокол, Группа DH, Алгоритм шифрования, Длина ключа шифрования, Алгоритм PRF, Алгоритм целостности)

• Параметры сообщения аутентификации (Протокол, Группа DH, Алгоритм шифрования, Длина ключа шифрования, Алгоритм целостности)

• Соединение IKE SAs (SPI Инициатор, SPI Ответчик, Локальный порт, Порт пира, Текущая стадия, метка времени)

• Алгоритмы соединения IKE (Длина DH, Алгоритм PRF, Алгоритм целостности, Алгоритм шифрования, Шифрование GCM)

• Флаги

• Соединение ESP SAs (SPI Инициатор, SPI Ответчик, метка времени, данные IKE SPI, Входящие и исходящие данные пакетов)

• Алгоритмы соединения ESP (Длина DH, Алгоритм целостности, Алгоритм шифрования, Шифрование GCM)

• Флаги

Сброс туннеля IPSec

Вы можете инициировать Подключенный PoP для сброса туннеля IPSec с удаленным адресом пира. Сброс туннеля может помочь восстановить соединение для сайта.

Чтобы сбросить туннель IPsec, разверните Основной или Вторичный раздел для сайта IPSec и нажмите Сбросить туннель.

Ограничения сброса

• IKEv1 туннели - Сброс выполняется мгновенно.

• IKEv2 туннели - Сброс может занять до двух минут для восстановления соединения.

• Переключение BGP может произойти, если настроена высокая доступность.

• В случае, если туннель инициирован (Инициировано удаленным пировым соединением), необходимо убедиться, что туннель восстанавливается на стороне удаленного пира (Когда туннель отключен, кнопка сброса отключена).

Типичные практики устранения неполадок IPSec

Следующий раздел включает в себя общие шаги, которые следует учитывать при расследовании проблем с туннелем IPSec.

Примечание: Эти шаги не связаны с проблемами потери пакетов.

1. Проверьте последние изменения состояния на странице состояния - Если PoP испытывает проблемы, это может повлиять на туннель IPSec (каждый туннель подключен к одному Расположению PoP Cato). Вы можете мониторить состояние PoP-ов Cato на странице статуса. 

   Если удаленная сторона является облачным провайдером, например Azure или AWS, вы также можете проверить их страницы статуса.

2. Соберите конфигурацию удаленного IPSec файервола.

   • Кто назначен для инициации туннеля?

   • Сопоставляется ли конфигурация IPSec на удаленном файерволе с конфигурацией IPSec в Приложении управления Cato? (т.е. соответствуют ли параметры сообщений IKE?)

   • Проверьте Статус соединения в Приложении управления Cato.

   • Включен ли NAT-T на удаленном IPSec файерволе?

3. Соберите журналы и PCAP на удаленном IPSec файерволе и хронологию и PCAP в Приложении управления Cato.

   • Проверьте журналы на наличие любых аномалий, соответствуют ли временные метки удаленного файервола событиям и журналам хронологии, загруженным из Cato.

   • Проверьте PCAPs на поэтапную передачу пакетов.

4. Проверьте селекторы трафика - Политика туннеля основана на политике или на маршруте?

5. Проверьте общую конфигурацию сайта в Приложении управления Cato:

   • Это высокая доступность инфраструктуры? Если да, каков статус BGP?

   • Есть несоответствие с ключом предварительного общего ключа (PSK)? (Ключ предварительного общего ключа (PSK) поддерживается до 64 символов)

6. Сбросьте туннель в Приложении управления Cato.

7. Свяжитесь со своим представителем аккаунта или откройте тикет в Поддержку Cato.

Сообщения о сбое подключения в журнале хронологии

Этот раздел содержит список сообщений об ошибках в журналах хронологии IPSec.

IKEv1:

IKEv2: