Sprievodca riešením problémov s FortiGate VPN: Riešenie problémov s pripojením, prevádzkou a stabilitou

FortiGate VPN je kľúčovou súčasťou zabezpečeného vzdialeného prístupu a pripojenia medzi jednotlivými pracoviskami v rámci podniku. Umožňuje hybridné pracovné sily, komunikáciu medzi pobočkami a bezpečný prístup k interným aplikáciám, ako sú ERP, e-mail a cloudové služby.

Zlyhania VPN však patria medzi najrušivejšie incidenty v podnikových sieťach. Problémy ako „VPN sa nepripája“, „tunel je spustený, ale žiadna prevádzka“ alebo „nestabilné občasné odpojenia“ môžu okamžite ovplyvniť kontinuitu podnikania a dodržiavanie SLA.

Táto príručka je príručkou na riešenie problémov na podnikovej úrovni určenou pre sieťových inžinierov, bezpečnostných inžinierov a IT administrátorov na systematickú diagnostiku a riešenie problémov s pripojením FortiGate VPN.

• Časť 1: FortiGate VPN sa nepripája (SSL VPN / IPsec)
• Časť 2: VPN pripojená, ale neprechádza žiadna prevádzka
• Časť 3: Občasné odpojenia a problémy s výkonom
• Časť 4: Zlyhania overovania (LDAP / SAML / Lokálni používatelia)
• Časť 5: Zhrnutie základných príčin na úrovni podniku
• Časť 6: Keď sú problémy s VPN spojené s hardvérom
• Časť 7: Obstarávanie a plánovanie infraštruktúry
• Časť 8: Záver

Časť 1: FortiGate VPN sa nepripája (SSL VPN / IPsec)

Keď sa VPN nepodarí nadviazať pripojenie, problém sa zvyčajne vyskytuje v overovaní, vyjednávaní šifrovania alebo základnej dostupnosti siete.

Bežné základné príčiny

• Nesprávne používateľské meno/heslo alebo zlyhanie overenia na strane servera (LDAP / SAML / lokálni používatelia)
• Blokovaný SSL VPN port (predvolený TCP 443 alebo 10443)
• Zlyhanie vyjednávania fázy 1 protokolu IPsec (IKE)
• Nezhoda predzdieľaného kľúča (PSK)
• Firewall alebo upstream NAT blokuje prevádzku VPN handshake

Diagnostické rozdelenie IPsec VPN

Väčšina zlyhaní IPsec sa vyskytuje počas vyjednávania fázy 1 alebo fázy 2.

Príkazy na ladenie CLI:

diagnose debug application ike -1
diagnose debug enable

Bežné chybové hlásenia

• „pravdepodobný nesúlad predzdieľaných kľúčov“ → nesúlad PSK medzi peermi
• „nenašiel sa žiadny zodpovedajúci návrh“ → nesúlad šifrovania/hashovania (AES128 vs. AES256, nesúlad DH skupiny)
• „fáza 1 nedostupná / tunel nedostupný“ → problém s NAT-T alebo blokovaný UDP 500/4500

Problémy s pripojením SSL VPN

• Uistite sa, že TCP 443 / 10443 je dosiahnuteľný
• Overte, či rozhranie FortiGate počúva
• Skontrolujte protokoly overovania používateľov

CLI testovanie autentifikácie:

diagnose test authserver ldap   

Zaseknutý na 98% problému

Bežné zlyhanie SSL VPN, pri ktorom je overenie úspešné, ale pripojenie prestane fungovať, je zvyčajne spôsobené konfliktom IPv6/IPv4, zlyhaním virtuálneho adaptéra alebo narušením zabezpečenia koncového bodu.

Časť 2: VPN pripojená, ale neprechádza žiadna prevádzka

Toto je jeden z najkritickejších a najzavádzajúcich stavov zlyhania. Tunel je „PREVÁDZANÝ“, ale používatelia nemajú prístup k interným ani externým zdrojom.

Hlavné príčiny

• Nesprávna konfigurácia smerovania (žiadna platná trasa do internej siete)
• Chýbajúca alebo nesprávna politika brány firewall medzi VPN a LAN
• Nesprávna konfigurácia NAT v politikách IPsec
• Nezhoda selektora fázy 2 (nezhoda zaujímavej prevádzky IPsec)

Príkazy na hlboké ladenie

diagnose debug flow filter addr 
diagnose debug flow show iprope enable
diagnose debug flow trace start 100

Indikátory protokolov

• Neexistuje zodpovedajúci selektor IPsec, zrušte ho
• odmietnutie politiky
• chyba dopredu

Časť 3: Občasné odpojenia a problémy s výkonom

Ak sa VPN pripojí, ale často preruší pripojenie alebo funguje slabo, problém často súvisí s obmedzeniami výkonu alebo réžiou šifrovania.

Bežné príčiny

• Vysoké využitie CPU počas šifrovania/dešifrovania
• Strata alebo nestabilita paketov WAN
• Nesúlad MTU/MSS spôsobujúci fragmentáciu
• Preťaženie relácie SSL VPN

Poznámka k výkonu SSL VPN

Štandardná SSL VPN zapuzdruje TCP cez TCP, čo môže spôsobiť oneskorenia pri opakovanom prenose. Povolenie DTLS zlepšuje výkon používaním prenosu založeného na UDP.

Faktor obmedzenia hardvéru

Staršie zariadenia FortiGate môžu mať nedostatočnú kapacitu na odľahčenie CPU alebo hardvéru SPU, čo má za následok zníženú priepustnosť VPN a nestabilitu pri záťaži.

Časť 4: Zlyhania overovania (LDAP / SAML / Lokálni používatelia)

• LDAP server je nedostupný alebo je nesprávne nakonfigurovaný
• Nesprávne DN väzby alebo poverenia
• Nesprávna konfigurácia poskytovateľa identity SAML
• Nezhoda mapovania skupín používateľov

Overte protokoly overovania a otestujte overovanie priamo z FortiGate, aby ste izolovali problémy na úrovni identity.

Časť 5: Zhrnutie základných príčin na úrovni podniku

• Vrstva identity: zlyhania autentifikácie (LDAP / SAML / lokálni používatelia)
• Riadiaca vrstva: problémy s vyjednávaním IPsec a handshakeom SSL
• Dátová vrstva: zlyhania konfigurácie smerovania, politík a NAT

Časť 6: Keď sú problémy s VPN spojené s hardvérom

Ak nestabilita VPN pretrváva aj po opravách konfigurácie, hlavnou príčinou môžu byť obmedzenia infraštruktúry, ako je preťaženie CPU, nedostatočná schopnosť odľahčenia šifrovania alebo zastarané modely firewallov.

V podnikových prostrediach je výkon VPN priamo spojený s kapacitou firewallu, schopnosťou spracovania relácií a efektivitou hardvérovej akcelerácie.

Časť 7: Obstarávanie a plánovanie infraštruktúry

Pri škálovaní infraštruktúry VPN naprieč pobočkami alebo vzdialenými kanceláriami sa plánovanie životného cyklu a dostupnosť hardvéru stávajú kritickými.

Používajte nástroje na správu zásob a stanovenie cien v reálnom čase, ako napríklad IT-Price vyhodnotiť dostupnosť podnikového firewallu pred rozhodnutiami o nasadení.

Pre zabezpečenie podnikových sietí a bezpečnostného hardvéru s overenými dodávateľskými reťazcami poskytuje Router-switch infraštruktúrne riešenia od viacerých dodávateľov pre produkčné prostredia.

Časť 8: Záver

Riešenie problémov s VPN FortiGate vyžaduje štruktúrovaný, viacvrstvový prístup, ktorý zahŕňa autentifikáciu, vyjednávanie šifrovania, smerovanie a politiku firewallu.

Systematickou izoláciou toho, či je problémom zlyhanie pripojenia, blokovanie prevádzky alebo zníženie výkonu, môžu IT tímy výrazne skrátiť prestoje a efektívne obnoviť bezpečný vzdialený prístup.

Dlhodobá stabilita VPN závisí aj od správneho plánovania kapacity, povedomia o životnom cykle a spoľahlivého získavania infraštruktúry.