Yeni SSG5 lerde ( 701 ) eski SSG5 lere göre vpn ayarları Checkpoint R65 ve SSG5 üzerinde farklılık göstermektedir.


Yapılması Gereken Ayarlar:


SSG 5 Tarafı:

CLI da verilecek komut:

unset ike policy

Eğer yukarıdaki komut verilmezse Proxy-ip unmatch , rule mismatch gibi hatalar alinacaktir.


WEB UI Ayarları:

IKE V1

Phase 1 Proposal: pre-g2-3des-sha / pre-g2-aes128-sha
none / none

Phase 2 Proposal: g2-esp-aes128-sha / g2-esp-aes128-sha
none / none

CheckPoint R65 Tarafı:


Smartdashboard Ayarları:

VPN Properties:

IKE Phase 1 Properties: 3DES/SHA1

IPSEC Phase 2 Properties: AES128/SHA1


Advanced VPN Properties:

IKE Phase 1:

Use Diffie Helman Group: Group2 1024 bit
Renegotiate IKE Security Assocations every 1440 minutes



IPSEC Phase 2:

Use Perfect Forward Secrecy
Use Diffie Helman Group: Group2 1024 bit
Renegotiate IPSEC Security Assocations every 3600 seconds


NAT:

Disable NAT inside the VPN Community


Not: SSG5 VPN Monitor Status de SA Status: Active - Link: Down gözükmesi bir problem oluşturmamaktadır.


Not2:

SSG5 tarafı debug:

Öncelikle, müşteriler şubelerinde yer alan makinelerin hangilerinin üzerinde RDP açık veya hangileri ping e açık - kapalı ve/veya hangi makine açık kapalı bunu bilemeyebildiklerinden dolayı
yanlış yönlendirmelerin önünce geçmek için, SSG5 de SSH2 ile CLI a bağlanıp kendi lokal network ün de yer alan makinenin aktif olup olmadığını anlamak için lokal de yer alan bilgisayarin lokal ip adresine ping atilir, eğer makine o an up değilse ping e cevap dönemez ve bu durumda SSG5 log larında ( ilgili rule log larında ) Close Reason olarak Close - AGE OUT olarak görülür.


Ancak up olan makinede kesinlikle CLOSE - TCP RST ve/veya CLOSE - TCP FIN olarak görülecektir.

Bu log lar kontrol edilip , müşteri x.x.x.x makinesine bağlanmıyorum dediği zaman makinenin up veya down olduğu anlaşılır.


VPN de detaylı log ları görüp olası problemleri tam olarak analiz edebilmek için aşağıdaki komutlar SSG5 CLI da verilir:

debug ike all
clear db
get db str


SA durumlarını görmek için ise:


get sa komutunun verilmesi yeterlidir.