PracticU

הגדרת Site-to-Site VPN
חלק 8 - VPN Debug

בלי כתוביותעם כתוביות
PracticU › קורס צ'ק פוינט - Check Point Gaia R81 › הגדרת Site-to-Site VPN חלק 8 - VPN Debug
הגדרת Site-to-Site VPN חלק 8 - VPN Debug
הטאנל נופל בגלל אי-התאמה בהגדרות, והשיעור מראה איך מגלים אותה בעזרת tcpdump ולוגים, ומתי פונים לתמיכה של Check Point.
מהלך הדיבאג
1. הפלת הטאנל בכוונה: משבשים הגדרה בסניף תל אביב כדי שהטאנל לא יעלה, ואז מורידים את הטאנל הקיים עם vpn tu ובוחרים delete all IPSec.
2. Expert mode ב-gateway של ירושלים: נכנסים ל-expert, ושומרים עם save config כדי שסיסמת ה-expert תשרוד אתחול.
3. tcpdump על הממשק החיצוני: מסננים החוצה כתובות לא רלוונטיות עם grep -v, כמו כתובת הניהול. רואים שהצד השני מבקש IKEv2 init, ובדיקה כזו לבדה לא מראה את הבעיה.
4. הלוגים: שם מופיעה הסיבה, IKEv2 not supported for peer. ההגדרה של IKEv2 נעלמה, ומחזירים אותה כדי שהטאנל יעלה.
מתי פונים ל-Check Point
אם ההגדרות נכונות, אין בעיית תקשורת ו-tcpdump מראה תעבורה בשני הכיוונים, אפשר להעלות קבצים לתמיכה. מבצעים את הפקודות שהם מבקשים, כולל ביטול acceleration, מנסים לדמות את הבעיה כדקה או שתיים, אוספים את קבצי ikev ואת קבצי ה-debug של VPN, מבטלים את ה-debug ומעלים. זה דורש חוזה שירות, ואם אין לנו, לפעמים לצד השני יש.
סיכום שיטת הבדיקה
- כתובות ו-encryption domain והצפנה, ואז תעבורה ב-tcpdump משני הצדדים.
- הלוגים, שמראים אי-התאמה כמו IKEv1 במקום IKEv2.
- ה-monitor, שמראה אם הטאנל up או down.
הערה על ארכיטקטורה
הלוגים הם כלי מרכזי ב-debug, אבל אינדוקס שלהם יקר במשאבים. לכן מפרידים את שרת הניהול מה-firewall, כדי שה-firewall יטפל רק בתעבורה, בהגנות ובוירוסים.
אחרי השיעור אפשר לזהות בלוגים אי-התאמה בגרסת IKE ולדעת מתי הגיע הזמן לפנות לתמיכה.
השיעור הבא בקורס: הגדרת Site-to-Site VPN חלק 9 - סניף מרוחק בניהול מרכזי
מילון מושגים:
VPN - רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.
דיבאג - תהליך של איתור, הבנה ותיקון תקלות בקוד, לעיתים בעזרת כלי שמאפשר לעצור ולעקוב אחר ריצת התוכנית.
לוג - רישום מתועד של אירועים ופעולות שמתרחשים במערכת או בתוכנה, המשמש למעקב ולאיתור תקלות.
IPsec - אוסף פרוטוקולים להצפנה ולאימות של תעבורת IP, המשמש בעיקר לחיבורי VPN מאובטחים.
שער - התקן או נקודה שמחברים בין רשתות ומעבירים דרכם תעבורה החוצה, למשל שער ברירת המחדל ליציאה לאינטרנט.
הצפנה - המרת מידע לצורה בלתי קריאה בעזרת מפתח, כך שרק מי שמחזיק במפתח המתאים יכול לפענח ולקרוא אותו.
חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.
וירוס - תוכנה זדונית שמשכפלת את עצמה ומתפשטת ממחשב למחשב, ועלולה לפגוע בקבצים או בפעולת המערכת.

פרקי ההרצאה: הגדרת Site-to-Site VPN חלק 8 - VPN Debug

  1. 00:00

    בדיקת Log Messages

  2. 00:36

    הפלת הטאנל בכוונה

  3. 01:17

    שימוש ב-tcpdump

  4. 02:06

    זיהוי בקשות IKE בתעבורה

  5. 02:41

    שגיאת IKEv2 not supported

  6. 03:18

    העלאת קבצים לתמיכה

תמלול ההרצאה: הגדרת Site-to-Site VPN חלק 8 - VPN Debug

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Site-to-Site VPN חלק 8 - VPN Debug» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    אפשר לבדוק גם לוגים, כבר לוג מסייג'ס, בואו נעשה כרגע בלי גרפים, אנחנו יכולים לקבל פה מושג אם יש בעיה, אני צריך לזכור את המילים שיש בעיה בטאנל אולי קצת לפני, הייתה לי בעיית הגדרה, אפשר לנסות להפיל את הטאנל עם בעיית הגדרה, בואו ננסה, זה סניף תל אביב,

  2. 00:28

    בואו נפיל את הטאנל, נבחר איזושהי הגדרה לא נכונה, בואו ננסה, אני עכשיו משבש את התעבורה בכוונה שהטאנל לא יעלה לנו בואו נראה עכשיו את התעבורה 10.80 11.4 אנחנו על הגטוויי בואו נראה הטאנל עדיין למעלה בואו נוריד אותו dpn.tu אני אומר 0 delete all IPSec בואו נראה עכשיו אם הוא

  3. 00:57

    עולה עדיין עולה בואו ננסה להריץ פה דברים אמור להיכשל לנו, אני רוצה גם להיכנס לגטוויי jrgw ופה אני לא במצב אקספרט אז אני נכנס לאקספרט עדיין לא הגדרתי את הסיסמת אקספרט אני אומר לו save config כדי שאחרי restart האקספרט פארסוורד יישמר לנו ועכשיו אני במצב אקספרט גם פה יש לי vpn-to כרגע אנחנו רואים שהטאנל כבר למטה

  4. 01:21

    לא צריך לבחוק אותו ההגדרה של איי-קיי-וי-שתיים נעלמה בואו נעשה פה tcp-dump-inini-eth-fast-post עכשיו אני בירושלים אז אני רוצה לראות בקטות מתל אביב אנחנו רואים איי-קיי-וי-שתיים in it בואו נחזור לתל אביב כן, זה קצת מבלבל, יש לנו גרפ מינוס v כדי לא לראות דברים שלא מעניינים אותנו.

  5. 02:06

    10, 80, לא מעניין אותנו, 8, 11, שזה הניהול. הנה, אנחנו רואים ש-10, 80, 8, 2 מבקש i, k, v, 2, ש-8, 2 אמרנו זה jr, בכוונה אני שם אחד מעל השני, שיהיה לנו קל לעשות את הדיבאג, ואנחנו צריכים לראות שהוא מבקש v1, כאן לא רואים בוא נראה אם רואים את זה הכל v2 בוא נראה אם רואים את זה בלוגים

  6. 02:36

    אוקיי אנחנו רואים שהכל נחסם ikey v2 not supported for peer 10.80.8.2 רשום בעברית שיחה הכי פשוט שיש זאת אומרת שבמקרה הזה כל הדיבאגים שניסיתי פחות יעילים הדבר היחיד זה שראינו שזה v2 ולמדנו על הדרך תספידם בוא נראה אם בפיירול השני רואים את זה יש דיבאגים הרבה הרבה יותר מתקדמים שכל ההגדרות נכונות אין שגיאה בהגדרות ובכל

  7. 03:10

    זאת הטאנל לא עולה אז יש נוהל להעלות קבצים לצ'ק פוינט תכף אמצא את הפקודות ונראה אותם גם פה הצ'אלוגים פה יופיעו יש לי קובץ שאני מרכז בו כל הפקודות צ'ק פוינט למיניהם את כל הנהלי דיבאג כל מה שאני נתקל בו במהלך העבודה מהניסיון אז זה לפקודות ש-checkpoint מבקשים, מבטלים אקסלרציה שזה גם שיעור בפני עצמו,

לקורס המלא: קורס צ'ק פוינט – Check Point

ההרצאה הקודמת: הגדרת Site-to-Site VPN - חלק 7 - VPN Debug

ההרצאה הבאה: הגדרת Site-to-Site VPN - חלק 9 - סניף מרוחק בניהול מרכזי

הרצאות קשורות מקורסים אחרים

  • הגדרת VPN site-to-site
  • הקמת VPN Site-to-Site - הגדרת NAT
  • Debug View
  • VPN

קורסים נוספים במסלול

  • קורס CCNA - הסמכה בינלאומית של סיסקו - מבחן 200-301
  • קורס CCNP
  • קורס פורטיגייט - FortiGate