跳转到内容
本站为社区维护的非官方中文翻译，与 Cloudflare, Inc. 无关联。本站不提供账户登录，请勿在任何非官方站点输入您的 Cloudflare 账户信息。官方文档：developers.cloudflare.com
CF 中文文档非官方翻译
搜索文档
↵选择
↑↓导航
ESC关闭

Check Point

最后更新 查看 MarkdownAgent 设置

本指南说明如何在 Check Point Security Gateway 上关闭 IPsec 防重放保护，以便与 Cloudflare WAN anycast IPsec 隧道配合使用，以及如何验证、排查故障并回滚该更改。

Cloudflare 建议关闭 Cloudflare WAN anycast IPsec tunnel 的 anti-replay 保护。如需了解原因和安全注意事项，请参阅 Anti-replay 保护。

如果 Check Point 上开启了防重放保护，而 Cloudflare 上已关闭，Check Point 会丢弃 IKE 和 IPsec 流量。通过隧道的连接不稳定，且 Check Point 日志会显示带有以下消息的 IKE 丢弃：

Encryption failure: Warning - possible replay attack

如需有关 tunnel 不稳定或丢包的帮助，请参阅排查 tunnel 健康状况。

此临时流程与 Check Point Support 共同制定。

测试环境

此流程使用以下 Check Point 软件版本进行测试：

  • SmartConsole：R82.10 (82.10.9900.426)
  • Check Point Security Management：R82.10 Jumbo Hotfix Take 24（Gaia — Open Server Platform）
  • Check Point Security Gateway：R82.10 Jumbo Hotfix Take 24（Gaia — Open Server Platform）

适用性

使用此流程前，请确认您的部署满足以下条件：

  • Security Gateway 和 Management Server 的版本及 hotfix 级别。
  • 网关上还有哪些 VPN 社群或对等体会因全局关闭防重放而受影响。

Check Point 配置

前提条件

GuiDBedit 会暴露 SmartConsole 中不可用的高级属性。在继续之前，请阅读 sk13009 - Check Point Database Tool (GuiDBedit Tool) ↗ 以及您所用版本的 Check Point 文档，以了解 GuiDBedit 的完整用法。

完成以下前提条件：

  1. 安排维护窗口。重置隧道可能会中断流量和其他 VPN 隧道。
  2. 获取受影响网关的带外或控制台访问权限。
  3. 备份 Security Management Server 或 Multi-Domain Security Management Server，并确认备份成功完成。请参阅 sk54100 - How to back up your system ↗。
  4. 记录 disable_replay_check 的现有值以及受影响网关对象名称。
  5. 记录 Cloudflare 对等体 IP 地址以及当前的 IKE/IPsec SA 状态。
  6. 捕获当前的隧道健康状况、丢包症状和相关日志。
  7. 打开 GuiDBedit 前关闭 SmartConsole。在退出 GuiDBedit 之前保持 SmartConsole 关闭。

在 security gateway 对象上关闭防重放保护

  1. 确认 SmartConsole 已关闭。在退出 GuiDBedit 之前不要再次打开 SmartConsole。

  2. 从已安装的 SmartConsole 版本和 build 打开 GuiDBedit.exe：

    C:\Program Files (x86)\CheckPoint\SmartConsole\{VERSION}\{BUILD}\GuiDBedit.exe

    将 {VERSION} 和 {BUILD} 替换为已安装的 SmartConsole 版本和 build（可在 SmartConsole 的 Help > About 中查看），例如 R82.10\82.10.9900.426。

  3. 前往 Network Objects > network_objects。

  4. 找到受影响 Check Point Security Gateway 的对象，例如 chkp-sgw。

  5. 在 Object Name 下选择网关记录。

  6. 按 Ctrl+F 并搜索 disable_replay_check。选择 Find Next，直到到达所选 Security Gateway 对象上的精确 disable_replay_check 属性。其他配置元素可能包含类似的防重放引用，切勿更改。

  7. 记录现有值。默认值为 false，但先前的管理更改可能已将其设为其他值。

  8. 双击 disable_replay_check 并将值设为 true。

    在 GuiDBedit 中将 disable_replay_check 设为 true

  9. 选择 File > Save All，或选择工具栏中的磁盘图标。

  10. 选择 File > Exit，并确认 GuiDBedit 干净退出。

  11. 打开 SmartConsole。SmartConsole 打开时不要再次打开 GuiDBedit。

  12. 在受影响的 Security Gateway 上安装策略。

    如果 Check Point Support 有指示，请在 Install Policy 窗口中右键单击网关，并选择 Do not use Install Policy Acceleration for all targets。这会强制进行完整的策略编译和安装。

    为网关关闭 Install Policy Acceleration

  13. 确认策略安装成功完成。

  14. 使用 TunnelUtil (vpn tunnelutil 或 vpn tu) ↗ 删除 Security Gateway 上的 IKE 和 IPsec SA：

    1. 通过 SSH 连接到 Security Gateway。

    2. 进入 expert 模式（输入 expert 后跟 expert 密码）。

    3. 运行 vpn tu 以交互方式运行该实用程序。

    4. 选择选项 1（List all IKE SAs）以显示活动的 IKE SA。

    5. 选择选项 2（List all IPsec SAs）以显示活动的 IPsec SA。

    6. 删除第一阶段（IKE）和第二阶段（IPsec）安全关联，以强制隧道重新建立。请选择以下之一：

      • 选项 7 — 删除特定对等体的 IKE 和 IPsec SA（仅在 Cloudflare 隧道需要重新协商时首选）。
      • 选项 0 — 删除所有对等体和用户的 IKE 和 IPsec SA（会中断网关上的每个 VPN 对等体）。

      使用 vpn tunnelutil 删除第一阶段和第二阶段 SA 会强制隧道重新协商。删除 SA 后，无需在 Security Gateway 上重启防火墙服务。

验证已安装的配置

从受影响 Security Gateway 的 Expert 模式验证已安装的本地对象定义：

grep -n "disable_replay_check" "$FWDIR/database/myself_objects.C"

预期值：

:disable_replay_check: (true)

如果该值仍为 false：

  1. 关闭 SmartConsole。
  2. 打开 GuiDBedit，并确认已在正确的 Security Gateway 对象上更改该属性。
  3. 保存并退出 GuiDBedit。
  4. 重新打开 SmartConsole 并重新安装策略。
  5. 重复验证命令。

配置文件检查仅确认该设置已安装。其本身并不能证明丢包已经停止。

Cloudflare 配置

关闭重放保护

Cloudflare IPsec 隧道默认关闭防重放保护。在您首次部署 Check Point IPsec 隧道时，该选项可能已被打开。在 Check Point 侧将 disable_replay_check 从 false 改为 true 并应用更改后，可以安全地将其关闭。

重放保护按每条 IPsec 隧道配置。请对终止于受影响 Check Point Security Gateway 的每条 IPsec 隧道重复这些步骤。如果某条隧道仍开启重放保护，可能会继续导致丢包。

  1. 登录 Cloudflare 仪表板 ↗，前往 Networking > Connectors > IPsec/GRE tunnels。
  2. 找到终止于受影响 Check Point Security Gateway 的 IPsec 隧道，并选择 Edit。
  3. 前往 Security settings。
  4. 将 Turn on replay protection 设为关闭。
  5. 保存更改。
  6. 对该 Security Gateway 上终止的每条其他 IPsec 隧道重复步骤 2-5。

验证隧道运行

  1. 确认每个 Cloudflare 对等体的 IKE 和 IPsec SA 已重新建立。
  2. 确认每条隧道都能双向通过流量。
  3. 确认 Cloudflare 仪表板报告的隧道健康状况符合预期。
  4. 将丢包和应用程序行为与更改前的基线进行比较。
  5. 在 Check Point 和 Cloudflare 两侧都应用更改后，确认 Check Point 日志不再显示带有消息 Encryption failure: Warning - possible replay attack 的 IKE 丢弃。
  6. 在可行的情况下，至少监控一次预期的重协商（rekey）事件。

由于健康检查滞后，实际流量恢复后，Cloudflare 隧道健康可能仍会短暂显示为降级。除仪表板状态外，还应评估实际流量和日志。

回滚更改

如果策略安装失败、隧道未恢复、意外流量受到影响，或安全影响不可接受，请回滚。

  1. 关闭 SmartConsole。
  2. 打开 GuiDBedit。在退出 GuiDBedit 之前不要再次打开 SmartConsole。
  3. 在 Network Objects > network_objects 下选择同一 Security Gateway 对象。
  4. 将 disable_replay_check 设回记录的原始值，通常为 false。
  5. 保存所有更改并干净退出 GuiDBedit。
  6. 打开 SmartConsole，并在受影响网关上安装策略。
  7. 使用 vpn tunnelutil 删除 IKE 和 IPsec SA，以强制隧道重新协商。尽可能只删除受影响 Cloudflare 对等体的 SA。删除 SA 后，无需在 Security Gateway 上重启防火墙服务。
  8. 验证已安装的值、隧道状态、流量以及网关健康状况。

如果管理数据库损坏或网关无法恢复，请停止该流程。使用已验证的备份恢复 Security Management Server。

故障排除命令

在 Security Gateway 的 Expert 模式下运行这些命令。删除 SA 或开启内核调试的命令可能影响生产流量和系统性能。

以交互方式管理隧道

vpn tu

常见交互选项包括：

  • 选项 1：列出所有 IKE SA。
  • 选项 2：列出所有 IPsec SA。
  • 选项 7：删除一个对等体的 IKE 和 IPsec SA。
  • 选项 0：删除所有对等体和用户的 IKE 和 IPsec SA。

优先使用针对特定对等体的选项。选项 0 会中断每个 VPN 对等体和用户，仅在需要重新协商网关上的所有 SA 时使用。

参考：

列出隧道

vpn tu tlist

删除一个对等体的 SA

将 <PEER_IP> 替换为 Cloudflare 对等体 IP 地址：

vpn tu del <PEER_IP>

这会删除指定对等体的 IKE 和 IPsec SA。仅对受此次更改影响的 Cloudflare 对等体重复该操作。

删除所有对等体的 SA

vpn tu del all

显示丢弃的数据包

仅在复现问题所需的最短时间内运行丢弃调试。在繁忙网关上输出量可能很大，且 fw ctl zdebug 会增加 CPU 负载。避免在生产系统的高峰时段运行。

fw ctl zdebug + drop

收集所需输出后按 Ctrl+C，然后显式停止内核调试：

fw ctl debug 0

重置内核调试选项可能需要一些时间。结束故障排除会话前，请确认调试已停止。

支持

如需网关配置、数据库恢复、集群或 VSX 方面的协助，请联系 Check Point Support：

联系 Check Point Support 时，请包含脱敏后的网关和管理版本、受影响的对等体 IP、UTC 时间戳、策略安装结果、隧道状态和相关日志。切勿包含预共享密钥或其他机密。

相关链接

Cloudflare 文档：

Check Point 文档：

这篇文档对您有帮助吗？