PracticU

הגדרת Site-to-Site VPN
חלק 7 - VPN Debug

בלי כתוביותעם כתוביות
PracticU › קורס צ'ק פוינט - Check Point Gaia R81 › הגדרת Site-to-Site VPN חלק 7 - VPN Debug
הגדרת Site-to-Site VPN חלק 7 - VPN Debug
הטאנל לא עולה, והשיעור מראה איך מתחילים לאתר את התקלה: בדיקת ההגדרות בשני ה-firewalls, ואחר כך כלי מעקב ב-SmartConsole ובשורת הפקודה.
בדיקת ההגדרות
1. התאמה בין הצדדים: ההגדרות חייבות להיות תואמות. בודקים ב-edit device את ה-encryption domain (VPN domain view), את כתובות ה-IP, את הפרוטוקולים ואת הממשקים.
2. פרמטרי ההצפנה: IKEv2 בלבד, SHA ו-AES, Group 14, בדיוק כמו בטבלה.
3. שאר ההגדרות: טאנל אחד לכל gateway, ראייה של המרכז בלבד, בלי החרגות, shared secret זהה (מספר שסוכם מראש ואחריו ההדבקה), טיימרים default ו-disable NAT.
4. תוצאה: אחרי תיקון שלוש הגדרות ו-install policy, ping ו-RDP עובדים. שיתוף קבצים נתקע עד שפותחים את SMB (פורט 445) ב-Windows Firewall של השרת.
כלי מעקב
1. Smart Dashboard: תחת device and license רואים gateway to gateway tunnel אחד, ואינדיקציה שהטאנל למעלה.
2. Logs & Monitor: מציגים תעבורה מוצפנת. ב-Tunnel and User Monitor בוחרים Tunnels, עדיף על ה-gateway, ורואים שהטאנל בין תל אביב לירושלים במצב up.
3. Monitor blade: אחרי הפעלה והתקנה אפשר לראות סטטיסטיקה של מה עובר בטאנל, ובאילו פורטים. העתקת קובץ גדול וצפייה בתעבורה מדגימה את הטאנל.
4. Expert mode: מצב debug של ה-firewall. הגדרות ברמת המכונה, כמו IP, DNS ו-NTP, נעשות בכלי אחר ואין בהן אזכור של VPN.
5. vpn tu: קיצור של tunnel utility. מציג רשימה של IKE (שלב 1) ו-IPsec (שלב 2), ואם אין טאנל לא רואים כלום.
6. בדיקת ping ו-ARP: ping ל-firewall בצד השני עשוי להיכשל גם כשאין תקלה, כי הוא חוסם. אם רואים ARP, יש תקשורת.
7. tcpdump על ETH0: מסננים לפי host של ה-firewall המרוחק ורואים ESP (פרוטוקול מוצפן). הבדיקה מראה אם בכלל מגיעה תעבורה מהצד הרחוק, והתקלה הנפוצה ביותר היא שלא מגיע דבר. מי שמצותת לקו רואה רק תעבורה בין שתי כתובות ה-gateway.
אחרי השיעור אפשר לעבור בשיטתיות על הגדרות VPN ולהשתמש בכלים הראשונים לבדיקת טאנל.
השיעור הבא בקורס: הגדרת Site-to-Site VPN חלק 8 - VPN Debug
מילון מושגים:
SHA - משפחת פונקציות האש קריפטוגרפיות, המשמשות לאימות שלמות מידע ולחתימות דיגיטליות.
AES - תקן הצפנה סימטרי נפוץ ומאובטח, המשמש להצפנת נתונים במנוחה ובמעבר.
Ping - פקודה שבודקת אם מכשיר ברשת מגיב ומודדת את זמן התגובה אליו.
SMB - פרוטוקול של Windows לשיתוף קבצים ומדפסות ברשת ולגישה למשאבים מרוחקים.
דשבורד - מסך שמרכז נתונים ומדדים חשובים בתצוגה חזותית, לצורך מעקב וקבלת החלטות במבט אחד.
NTP - פרוטוקול לסנכרון שעון המחשבים ברשת מול מקור זמן מדויק.
IPsec - אוסף פרוטוקולים להצפנה ולאימות של תעבורת IP, המשמש בעיקר לחיבורי VPN מאובטחים.
ARP - פרוטוקול שמתרגם כתובת IP לכתובת ה-MAC של המכשיר המתאים ברשת המקומית.

פרקי ההרצאה: הגדרת Site-to-Site VPN חלק 7 - VPN Debug

  1. 00:00

    מעבר על ההגדרות לדיבאג

  2. 00:42

    בדיקת ההגדרות בתל אביב

  3. 01:35

    בדיקת IKE וההצפנה

  4. 02:13

    בדיקת ההגדרות בירושלים

  5. 03:12

    בדיקת פינג ו-RDP

  6. 03:50

    צפייה בטאנל בדשבורד

  7. 04:31

    ניטור תעבורה מוצפנת

תמלול ההרצאה: הגדרת Site-to-Site VPN חלק 7 - VPN Debug

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Site-to-Site VPN חלק 7 - VPN Debug» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    אנחנו רואים שהתאנל לא עובד לנו והדיבאג הראשון שאנחנו עושים זה עוברים על ההגדרות אמרנו שההגדרות חייבות להיות תואמות בשני הפיירוולים צריך להקפיד שכל הכתובות פה מוגדרות נכון שהפרוטוקולים מוגדרים נכון האנקריפשן דומיין בשני הצדדים מסמכוון אז אנחנו נתחיל עם הסניף הראשי שלנו אני כבר עברתי על ההגדרות,

  2. 00:30

    אתם יכולים לחפש שלוש טעויות שעשיתי בסרטון הקודם. אני כבר תיקנתי אותן, אז יש לכם אתגר לראות את הסרטון שוב ולרשום לי איפה טעיתי. שלוש טעויות, ברגע שמתקנים אותן הטאנל עולה.

  3. 00:46

    אז קודם כל אנחנו עכשיו בסניף תל אביב, אני עובר על ההגדרות. אז חשוב לוודא שה-Encry Domain הוא באמת מתאים לסניף.

  4. 00:57

    אנחנו פה tlv encryption domain אני לא יכול לפתוח פה את הטאב אז אנחנו ניכנס ל-edit device ונלך ל-vpn domain view אנחנו רואים פה את השרת זה מה שמורשה לעבור בטאנל אותו דבר נעשה את זה על ירושלים אני מוודא שזו הכתובת IP הנכונה אנחנו הולכים לטופולוג'י encryption domain 10.90.9.10 זה מה שנכון אני בודק שוב את הכתובות

  5. 01:28

    הכל מוגדר נכון, 8292. אנחנו ממשיכים הלאה, V2 only, SHAA AES, גרופ 14 בדיוק כמו בטבלה שלנו. ממשיכים הלאה, טאנל אחד פר גטוויי, אמרנו סנטר אונלי, אין לנו כרגע אקסקלוד ושמנו share secret, שמתי איזשהו מספר כאילו מסוכם מראש ואחריו קופי פייסט מהאקסל.

  6. 01:58

    לינאט טיימרים דפולטיביים בוא נעשה את אותו דבר בירושלים אנחנו בודקים את האנקריפשן דומיין הכתובת חייבת להיות נכונה כי זה הדשבורד של הפיירול הזה אני רואה פה אנחנו ירושלים זה צריך להיות 10.90.9.10 אנחנו נבדוק אותו דבר את הסניף של תל אביב אני בודק שהכתובת נכונה הכתובות פה נכונות 8.1.1.1 רואים את זה בסרטוט

  7. 02:28

    8111. שימו לב שלא שמתי את הרגל מול הניהול כי היא לא מעניינת אותנו לטובת ה-VPN ואנחנו בודקים encryption domain יש לנו את השרת יפה. נעבור איי-קי וי שתיים אונלי איי-אס שא גרופ הכל לפי האקסל הקטן שלנו פה one VPN tunnel per gateway זה מספיק טוב לנו אמרנו n-excludes יש לנו shared שמתי מספר סלולרי מראש ואחריו הדבק אמרנו טיימרים דיפולטיביים

  8. 03:03

    ו-disable nut אז כאן הכל מוגדר נכון אני תיקנתי שלוש הגדרות עשיתי install policy ויש לנו 10.80 1.2 אנחנו מנסים להגיע אליו שמתי גם shortcut ל-RDP אנחנו רואים שעתה נבלה בואו נראה את הפינגים במקביל יש לנו פינגים זאת אומרת שפינג ו-RDP כבר עובד לנו רק זה לא עובד לנו בוא נראה אם משהו בכלל משותף בשרת יש פה לא

  9. 03:32

    מעט Lab Folder בוא נראה אם ה-Windows Firewall פתוח בוא נראה שצריך לפתוח פה אני מהמר כי יש לי PING ויש לי RDP אני פותח פה 139.4.4.5.SMB בוא ננסה עכשיו אני חוזר ל-VMJR בוא ננסה לגשת מקפיץ ליוזר לסיסמה טאנל למעלה אני רוצה לראות

  10. 03:59

    את זה בצורה של דיישבורד אז יש לנו פה device and license ואנחנו רואים פה gateway to gateway tunnel יש לנו אחד אנחנו יכולים לראות פה כל מיני דברים encrypted throughput אבל פה יש לנו איזושהי אינדיקציה שהתענה למעלה באותה שיטה נעשה גם פה אני הולך ל device license יש לנו gateway to gateway אחד זה כלי ראשון אנחנו נפתח דשבורד נוסף אנחנו

  11. 04:31

    בעצם נפתח אותו מפה לוגן מוניטור נמצמצם את זה להיום אז כבר אנחנו רואים פה תעבורה מוצפנת זה סימן של תעבורה מוצפנת בלייט VPN אבל יש לנו כלי נוסף הוא נמצא פה למטה כשאני פותח ניו טאב הלוגים טאנל אנד יוזר מוניטור זה הממשק שנפתח אנחנו הולכים לטאנלס אפשר on קומיוניטי אפשר און גטוויי יותר קל לראות

  12. 05:00

    על גטוויי כי אז נראה את כל הקומיוניטי ופה אנחנו רואים מהגטוויי של תל אביב לירושלים

לקורס המלא: קורס צ'ק פוינט – Check Point

ההרצאה הקודמת: הגדרת Site-to-Site VPN - חלק 6

ההרצאה הבאה: הגדרת Site-to-Site VPN - חלק 8 - VPN Debug

הרצאות קשורות מקורסים אחרים

  • הגדרת VPN site-to-site
  • הקמת VPN Site-to-Site - הגדרת NAT
  • Debug View
  • VPN

קורסים נוספים במסלול

  • קורס CCNA - הסמכה בינלאומית של סיסקו - מבחן 200-301
  • קורס CCNP
  • קורס פורטיגייט - FortiGate