Mwongozo wa Utatuzi wa Makosa ya FortiGate VPN: Rekebisha Matatizo ya Muunganisho, Trafiki na Uthabiti

FortiGate VPN ni sehemu muhimu ya ufikiaji salama wa mbali wa biashara na muunganisho wa tovuti hadi tovuti. Inawezesha nguvu kazi mseto, mawasiliano ya ofisi ya tawi, na ufikiaji salama wa programu za ndani kama vile ERP, barua pepe, na huduma za wingu.

Hata hivyo, hitilafu za VPN ni miongoni mwa matukio yanayosumbua zaidi katika mitandao ya biashara. Masuala kama vile "VPN haiunganishi," "handaki imezimwa lakini hakuna trafiki," au "miunganisho isiyo imara ya mara kwa mara" yanaweza kuathiri mara moja mwendelezo wa biashara na kufuata SLA.

Mwongozo huu ni kitabu cha utatuzi wa matatizo katika ngazi ya biashara kilichoundwa kwa ajili ya wahandisi wa mtandao, wahandisi wa usalama, na wasimamizi wa TEHAMA ili kugundua na kutatua matatizo ya muunganisho wa VPN wa FortiGate kimfumo.

• Sehemu ya 1: VPN ya FortiGate Haiunganishi (SSL VPN / IPsec)
• Sehemu ya 2: VPN Imeunganishwa Lakini Hakuna Pasi za Trafiki
• Sehemu ya 3: Matatizo ya Utendaji na Kutengana kwa Mara kwa Mara
• Sehemu ya 4: Kushindwa kwa Uthibitishaji (LDAP / SAML / Watumiaji wa Ndani)
• Sehemu ya 5: Muhtasari wa Sababu Muhimu ya Kiwango cha Biashara
• Sehemu ya 6: Wakati Masuala ya VPN Yanahusiana na Maunzi
• Sehemu ya 7: Ununuzi na Mipango ya Miundombinu
• Sehemu ya 8: Hitimisho

Sehemu ya 1: VPN ya FortiGate Haiunganishi (SSL VPN / IPsec)

VPN inaposhindwa kuanzisha muunganisho, tatizo hutokea katika uthibitishaji, mazungumzo ya usimbaji fiche, au ufikiaji wa msingi wa mtandao.

Sababu za kawaida za mizizi

• Jina la mtumiaji/nenosiri au hitilafu isiyo sahihi ya uthibitishaji wa sehemu ya nyuma (LDAP / SAML / watumiaji wa ndani)
• Lango la VPN la SSL limezuiwa (chaguo-msingi la TCP 443 au 10443)
• Kushindwa kwa mazungumzo ya Awamu ya 1 ya IPsec (IKE)
• Ufunguo ulioshirikiwa awali (PSK) haulingani
• Firewall au NAT ya juu inazuia trafiki ya kusalimia kwa VPN

Uchanganuzi wa Utambuzi wa IPsec VPN

Kushindwa kwingi kwa IPsec hutokea wakati wa mazungumzo ya Awamu ya 1 au Awamu ya 2.

Amri za utatuzi wa CLI:

diagnose debug application ike -1
diagnose debug enable

Ujumbe wa makosa ya kawaida

• "Uwezekano wa kutolingana kwa ufunguo ulioshirikiwa awali" → Kutolingana kwa PSK kati ya wenzao
• "hakuna pendekezo linalolingana lililopatikana" → kutolingana kwa usimbaji fiche/hash (AES128 dhidi ya AES256, kutolingana kwa kundi la DH)
• "awamu ya 1 chini / handaki chini" → Tatizo la NAT-T au UDP 500/4500 iliyozuiwa

Matatizo ya Muunganisho wa SSL VPN

• Hakikisha TCP 443 / 10443 inapatikana
• Thibitisha kuwa kiolesura cha FortiGate kinasikiliza
• Angalia kumbukumbu za uthibitishaji wa mtumiaji

Upimaji wa uthibitishaji CLI:

diagnose test authserver ldap   

Imekwama katika suala la 98%

Kushindwa kwa kawaida kwa VPN ya SSL ambapo uthibitishaji hufanikiwa lakini muunganisho hukwama kwa kawaida husababishwa na mgongano wa IPv6/IPv4, hitilafu ya adapta pepe, au kuingiliwa kwa usalama wa sehemu ya mwisho.

Sehemu ya 2: VPN Imeunganishwa Lakini Hakuna Pasi za Trafiki

Hii ni mojawapo ya hali muhimu na zinazopotosha zaidi za kushindwa. Handaki ni "JUU," lakini watumiaji hawawezi kufikia rasilimali za ndani au nje.

Sababu za mizizi

• Usanidi usiofaa wa uelekezaji (hakuna njia halali ya kwenda kwenye mtandao wa ndani)
• Sera ya ngome inayokosekana au isiyo sahihi kati ya VPN na LAN
• Usanidi usiofaa wa NAT kwenye sera za IPsec
• Tofauti ya kiteuzi cha Awamu ya 2 (tofauti ya trafiki ya kuvutia ya IPsec)

Amri za utatuzi wa kina

diagnose debug flow filter addr 
diagnose debug flow show iprope enable
diagnose debug flow trace start 100

Viashiria vya kumbukumbu

• Hakuna kiteuzi cha IPsec kinacholingana, dondosha
• kukataa sera
• hitilafu ya kusambaza

Sehemu ya 3: Matatizo ya Utendaji na Kutengana kwa Mara kwa Mara

Ikiwa VPN itaunganishwa lakini itaanguka mara kwa mara au haifanyi kazi vizuri, tatizo mara nyingi huhusiana na vikwazo vya utendaji au gharama ya usimbaji fiche.

Sababu za kawaida

• Matumizi ya juu ya CPU wakati wa usimbaji fiche/kuondoa usimbaji fiche
• Kupotea au kutokuwa na utulivu wa pakiti ya WAN
• Kutolingana kwa MTU/MSS kunasababisha mgawanyiko
• Kipindi cha SSL VPN kinazidi

Dokezo la utendaji wa SSL VPN

VPN ya kawaida ya SSL hujumuisha TCP juu ya TCP, ambayo inaweza kusababisha ucheleweshaji wa utumaji upya. Kuwezesha DTLS huboresha utendaji kwa kutumia usafiri unaotegemea UDP.

Kipengele cha kikomo cha vifaa

Vifaa vya zamani vya FortiGate vinaweza kukosa uwezo wa kutosha wa kupakua CPU au vifaa vya SPU, na kusababisha kupungua kwa upitishaji wa VPN na kutokuwa na utulivu wakati wa mzigo.

Sehemu ya 4: Kushindwa kwa Uthibitishaji (LDAP / SAML / Watumiaji wa Ndani)

• Seva ya LDAP haiwezi kufikiwa au haijasanidiwa vizuri
• DN au vitambulisho visivyo sahihi vya kufunga
• Usanidi usiofaa wa mtoa huduma wa utambulisho wa SAML
• Kutolingana kwa ramani ya kikundi cha watumiaji

Thibitisha kumbukumbu za uthibitishaji na ujaribu uthibitishaji moja kwa moja kutoka FortiGate ili kutenganisha masuala ya safu ya utambulisho.

Sehemu ya 5: Muhtasari wa Sababu Muhimu ya Kiwango cha Biashara

• Safu ya utambulisho: hitilafu za uthibitishaji (LDAP / SAML / watumiaji wa ndani)
• Safu ya udhibiti: Majadiliano ya IPsec na masuala ya salamu za mkono za SSL
• Safu ya data: hitilafu za uelekezaji, sera, na usanidi wa NAT

Sehemu ya 6: Wakati Masuala ya VPN Yanahusiana na Maunzi

Ikiwa ukosefu wa utulivu wa VPN utaendelea baada ya marekebisho ya usanidi, chanzo kikuu kinaweza kuwa mapungufu ya miundombinu kama vile overload ya CPU, uwezo mdogo wa usimbaji fiche, au mifumo ya ngome iliyopitwa na wakati.

Katika mazingira ya biashara, utendaji wa VPN unahusiana moja kwa moja na uwezo wa ngome, uwezo wa kushughulikia vipindi, na ufanisi wa kuongeza kasi ya vifaa.

Sehemu ya 7: Ununuzi na Mipango ya Miundombinu

Wakati wa kupanua miundombinu ya VPN katika matawi au ofisi za mbali, upangaji wa mzunguko wa maisha wa vifaa na upatikanaji wake unakuwa muhimu.

Tumia vifaa vya hesabu na bei vya wakati halisi kama vile IT-Bei kutathmini upatikanaji wa ngome ya biashara kabla ya maamuzi ya kuitekeleza.

Kwa ajili ya mitandao ya kiwango cha biashara na vifaa vya usalama vinavyopatikana kwa kutumia minyororo ya usambazaji iliyothibitishwa, Router-switch hutoa suluhisho za miundombinu ya wauzaji wengi kwa mazingira ya uzalishaji.

Sehemu ya 8: Hitimisho

Utatuzi wa matatizo ya VPN ya FortiGate unahitaji mbinu iliyopangwa na yenye tabaka mbalimbali katika uthibitishaji, mazungumzo ya usimbaji fiche, uelekezaji, na sera ya ngome.

Kwa kutenganisha kimfumo ikiwa tatizo ni hitilafu ya muunganisho, kuzuiwa kwa trafiki, au kuzorota kwa utendaji, timu za TEHAMA zinaweza kupunguza kwa kiasi kikubwa muda wa kutofanya kazi na kurejesha ufikiaji salama wa mbali kwa ufanisi.

Uthabiti wa VPN wa muda mrefu pia unategemea upangaji sahihi wa uwezo, ufahamu wa mzunguko wa maisha, na upatikanaji wa miundombinu unaoaminika.