Problema de roteamento site2site com WatchGuard & Checkpoint

VPN
1

Olá, tenho um Watchguard T30 na Austrália Ocidental e um Checkpoint Quantum Spark em Melbourne.

O Checkpoint fica na matriz e a Austrália Ocidental é uma filial.

Na Austrália Ocidental, a internet é vdsl, então ela está sendo bridgada do modem/roteador do ISP para o Watchguard.

Quando fazemos uma VPN site-to-site entre os dois, funciona bem, mas após cerca de 30 minutos ela quebra a conexão. Mudei a renegociação de 8 horas para 12 horas, e durou cerca de 3 horas.

Alguém sabe o que está acontecendo e como resolver isso?

2

Minha suposição seria um conflito nos domínios de criptografia entre os dois sites. Eu revisaria e verificaria quais IDs IKE estão sendo enviados entre os dois gateways. Você deve conseguir capturar alguns depurados de VPN do lado do Check Point e revisar.

3

Você verificou os logs para obter alguma indicação do que está acontecendo? O fase 1 ou 2 está falhando?

4

Eu verificaria suas configurações de MTU e MSS.

Quando você diz que a conexão quebra, você quer dizer que o túnel pula, o túnel cai completamente, você perde pacotes, há latência, ou o quê?

5

Você abriu um ticket com CP ou WG?

6

Minha primeira ideia é não fazer VPN no Checkpoint, se você tiver escolha. Isso provavelmente não é o que você quer ouvir, mas é a resposta que posso dar.

7

Minha suposição seria um conflito nos domínios de criptografia entre os dois sites.

Essa também foi minha primeira ideia. Anos atrás, Check Points adorava alterar o domínio de criptografia para se encaixar no que achava que queria de forma aleatória, o que era aceitável se todos fossem firewalls CP. Check Point era excelente em tudo o mais, mas VPN… sem chance. Existem muitas opções de depuração nos Check Points, e tenho certeza que no WatchGuard também.