Panier d’achat

Aucun produit dans le panier.

Sophos Firewall – Dépannage et résolution des problèmes de connexion IPsec

Les connexions IPsec site à site (S2S) sont un élément essentiel de nombreux réseaux, en particulier lorsqu’il s’agit de relier différents sites en toute sécurité. Cependant, si une telle connexion n’est pas stable ou ne peut pas être établie, cela peut avoir de graves conséquences sur l’ensemble des communications réseau. Cet article s’adresse aux administrateurs informatiques qui cherchent des solutions aux problèmes IPsec courants sur Sophos Firewall. Il décrit les étapes et les commandes que vous pouvez utiliser pour résoudre les problèmes.

Pourquoi les connexions IPsec peuvent poser problème

Les connexions IPsec peuvent devenir instables ou échouer pour diverses raisons. Les causes les plus courantes sont

  • Configurations incorrectes des réseaux de part et d’autre du tunnel
  • Versions IKE non concordantes
  • Mismatches dans les identifiants de connexion
  • Clés pré-partagées erronées
  • Règles de pare-feu mal configurées

Ces problèmes peuvent avoir de graves conséquences sur la fonctionnalité de la connexion VPN et nécessitent un dépannage minutieux.

Premiers pas : logs et débogage

Avant d’identifier et de résoudre des problèmes spécifiques, il est essentiel de collecter les bonnes informations. Les journaux et les outils de débogage disponibles sur Sophos Firewall peuvent vous aider dans cette tâche.

Surveiller les logs en temps réel

Pour obtenir une vue détaillée du service IPsec en cours d’exécution, il est utile de surveiller les journaux en temps réel. Cela peut être fait en utilisant la commande suivante dans la CLI de Sophos Firewall : 

tail -f /log/strongswan.log | grep azure-vpn


Cette commande filtre les entrées du journal en fonction du tunnel spécifique (dans cet exemple, « azure-vpn ») et n’affiche que les informations pertinentes. Ceci est particulièrement utile pour voir ce qui se passe exactement pendant l’établissement de la connexion ou en cas d’erreur.

Activer le mode de débogage pour le service StrongSwan


Si les journaux standard ne suffisent pas à diagnostiquer le problème, le mode de débogage du service Strongswan peut être activé. Cela permet d’obtenir des informations plus détaillées : 

service strongswan:debug -ds nosync


Le mode de débogage offre une vision plus approfondie des opérations du service IPsec, ce qui facilite le diagnostic des problèmes complexes.

⚠️ Le journal IPsec peut rapidement prendre beaucoup d’espace sur les disques SSD, c’est pourquoi le mode de débogage doit être désactivé immédiatement après l’analyse.

Problèmes courants et leur résolution

Une fois les logs et les informations de débogage collectés, vous pouvez commencer à identifier et à corriger des problèmes spécifiques.

Mauvais sélectionneurs de trafic

Un problème courant avec les connexions IPsec est que les sélecteurs de trafic (également appelés associations de sécurité ou SA) de chaque côté du tunnel ne correspondent pas. Cela peut entraîner l’établissement incorrect du tunnel. Il est important de s’assurer que les réseaux à connecter via le tunnel sont configurés de manière identique des deux côtés.

Aucune configuration IKE trouvée

Un autre problème se produit lorsque les versions IKE ne correspondent pas de part et d’autre de la connexion. Si c’est le cas, la connexion n’est pas établie et un message d’erreur apparaît dans le journal. Il faut vérifier que les versions d’IKE correspondent sur les deux pare-feux et les modifier en conséquence.

Échec de l’authentification par les pairs

Si l’authentification par les pairs échoue, c’est souvent parce que les ID de connexion ne correspondent pas. Vous devez vous assurer que les ID de connexion locale et distante sont correctement configurées des deux côtés. Ces identifiants doivent être identiques pour que la phase 1 de la connexion puisse se terminer avec succès.

Pas de trafic à travers le tunnel IPsec

Si le tunnel est établi mais que le trafic ne passe pas, le problème est souvent dû aux règles du pare-feu. Il faut s’assurer que les règles sont correctement configurées pour autoriser le trafic VPN. De plus, il faut vérifier que la priorité des routes VPN et statiques est correctement définie afin de s’assurer que le trafic est acheminé via le tunnel.

Charge utile HASH_V1 non valide

Une charge utile HASH_V1 non valide indique généralement une clé pré-partagée incorrecte. Il faut vérifier la clé pré-partagée sur les deux pare-feux pour s’assurer qu’ils correspondent. Une clé incorrecte entraîne l’impossibilité d’authentifier la connexion et empêche donc l’établissement du tunnel avec succès.

Clôture

Le dépannage des connexions IPsec sur Sophos Firewall peut être complexe, mais avec les bons outils et les bonnes méthodes, il est possible d’identifier et de résoudre la plupart des problèmes. En surveillant les journaux en temps réel et en activant le mode de débogage, on obtient les informations nécessaires pour rechercher spécifiquement la cause des problèmes de connexion. En connaissant les problèmes les plus courants et leurs solutions, vous serez en mesure de faire fonctionner les connexions IPsec de manière stable et fiable.

Si toutefois vous rencontrez des problèmes qui ne peuvent pas être résolus, il peut être utile de collecter les journaux avec TCPDump pour analyse et de nous les transmettre ou de les transmettre au support technique Sophos pour obtenir une assistance supplémentaire.

Autres aides

Si le dépannage de la connexion IPsec sur Sophos Firewall continue de poser problème, il existe des ressources supplémentaires qui peuvent être utiles. Celles-ci comprennent des instructions détaillées et des résolutions de problèmes courantes :

Ces sources fournissent des informations précieuses et peuvent aider à résoudre avec succès les problèmes persistants liés aux connexions IPsec.