Cloud VPN إلى Cisco ASA: إعادة البناء بعد عدم تطابق المقترح

يشير الخطأ NEGOTIATION_FAILURE على نفق Cloud VPN مع جهاز Cisco ASA في الطرف الآخر في معظم الحالات إلى خلاف في المقترح أو في المحددات، وأول حقيقة مفيدة هي أنه لا يوجد تعديل سيعالجه. يثبّت Cloud VPN مقترح IKE عند إنشاء كائن النفق. لا يوجد حقل لتغيير خوارزمية في مكانها، لذا فإن الإصلاح هو حذف وإعادة إنشاء مع نقطة بداية مسجّلة. تعامل مع الأمر كإعادة بناء وسيصبح العمل قائمة تحقق بدلًا من أمسية من التخمين.

اقرأ الفشل قبل أن تحذف أي شيء

فشل التفاوض مشكلة مرحلة، وسجل الطرف الآخر يسمّي المرحلة عادة. فشل المرحلة 1 يعني أن الطرفين لم يتفقا على مقترح أو لم يستطيعا مصادقة بعضهما. فشل المرحلة 2 يعني أن النفق قام ولم تتطابق المحددات المحمية. هذان إصلاحان مختلفان، ويستحق سطر السجل أن تستخرجه قبل أن يلمس أي شخص إعدادًا.

الفشل يستبعد أشياء أيضًا. إنه ليس مسار VPC، ولا قاعدة جدار حماية على واجهة النفق، ولا خللًا في تحليل الأسماء داخل الشبكة. ملاحقة ذلك تنتج تغييرات واثقة لا يمكنها تغيير النتيجة، وتجعل الإصلاح النهائي أصعب في العزو.

التقط الإعدادين بينما ما زالا موجودين

حذف نفق يستغرق نصف دقيقة ويهدم الدليل الوحيد الذي كان لديك. قبل ذلك، اكتب المحددات المحلية والبعيدة، وعنوان الطرف الآخر، ومن يملك السر المشترك، وخريطة التشفير أو ملف IKEv2 على ASA. يجيب ASA على سؤالين منفصلين: ما هو مُعدّ، وما هو قائم الآن:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

من جانب Google، اقرأ كائن النفق بدلًا من ملخص وحدة التحكم، لأن عنوان الطرف الآخر وحقول المحددات هي القيم التي يجب أن تعيد إنتاجها بالضبط:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

ضع تلك القيم في التذكرة قبل أول حذف. إعادة البناء أدناه تنجح فقط لأنك تستطيع إعادة إنشاء الكائن نفسه بفرق واحد متعمّد.

الخوارزميات التي يرفض أحد الطرفين التفاوض عليها

لا يختار Cloud VPN من مجموعة خوارزميات IKEv1 كما يفعل طرف تقليدي. إعدادات الطرف الآخر التي يتوقعها ثابتة: aes-cbc-128 للتشفير، وsha1-96 لكل من السلامة وPRF، ومجموعة Diffie-Hellman 2، و36,600 ثانية للمرحلة 1 و10,800 ثانية للمرحلة 2. على سياسة ASA أن تقدّم هذه المجموعة بالضبط. وجود مقترح ثانٍ على ASA لا يضر ما دام المقترح المطابق في القائمة أيضًا.

يمنح IKEv2 الطرفين مساحة أكبر، لكن القواعد تحافظ على الشكل نفسه: فعّل PFS، واختر مجموعة DH يدعمها النفق، وأبقِ قائمة المقترحات قصيرة بما يكفي ليظهر عدم التطابق بوضوح. كما أن طرف ASA على Cloud VPN يعني توجيهًا ثابتًا، لذا يجب تخطيط البادئات المحمية وإدراجها بدلًا من تركها لـ BGP.

نسخ عمر من قالب بائع آخر هو المنعطف الخاطئ المعتاد هنا. تنشر Google هذه القيم كإعدادات مطلوبة للطرف الآخر، فاضبطها؛ القيمة الأقصر لا يُتفاوض عليها صعودًا إلى ما تريده ASA.

احذف، وأعد الإنشاء، وامسح الحالة القديمة

احذف النفق، لا البوابة، ولاحظ الاسم الذي يمنحه Cloud VPN للبديل، لأن الأسماء تُسنَد ولا تُعاد. أعد إنشاءه بالقيم المسجّلة وبعنوان الطرف الآخر نفسه، ثم أضف المقترح المطابق إلى قائمة سياسة ASA.

امسح ارتباطات الأمان بعد تغيير ASA وقبل أن تقرأ النتيجة. يمكن أن يستمر ASA في تقديم سياسة قديمة حتى تنتهي صلاحية ارتباط الأمان الحالي، فيبدو إعداد صحيح معطوبًا لطول العمر القديم ويستنتج المراقب أن إعادة البناء فشلت بينما لم تكن قد بدأت:

clear crypto ikev2 sa
clear crypto ipsec sa

تأكد من قيام المرحلة 1 قبل النظر إلى المرحلة 2. وما دامت المرحلة 1 معطلة، فالمقترح أو المفتاح المشترك المسبق خاطئ، ولن يغيّر عمل المحددات ذلك.

المحددات تتطابق انعكاسيًا، ثم تحسم العدادات

لا تعمل المرحلة 2 إلا عندما يتفق الطرفان على العناوين المحمية، والاتفاق انعكاسي لا مشترك. يجب أن يطابق المحدد المحلي في Google المحدد الذي يسمّيه ASA بعيدًا، ويجب أن يطابق المحدد البعيد في Google ما يسمّيه ASA محليًا. نفق فيه 0.0.0.0/0 على جانب وشبكة فرعية واحدة على الجانب الآخر يجتاز المرحلة 1 ثم يفشل في المرحلة 2 بالخطأ الرئيسي نفسه. لا يستطيع أي طرف توسيع قائمة الآخر.

بالنسبة إلى المحددات القائمة على السياسة، ادرج كل زوج بادئات واحتفظ بالقائمة في التذكرة. أي شبكة فرعية تُضاف في المقر لاحقًا تحتاج إلى تعديل على الطرفين، لأن مسارًا جديدًا على ASA لا يوسّع محددًا، والنتيجة نفق قائم يمرر الحركة فقط للبادئات التي كانت موجودة في اليوم الأول.

أنهِ بمسار واحد من مضيف إلى مضيف واقرأ عدادات البايت على الطرفين. العدادات الصاعدة على ASA مع بقائها ثابتة على Google تعني عادة أن الرد يخرج عبر واجهة أخرى، أو أن المحدد لا يغطي بادئة العودة. سجّل الخوارزميات والأعمار والمحددات واسم النفق الجديد، لأن تغيير المقترح التالي يعيد إعادة البناء هذه وتلك القيم تجعله مهمة قصيرة.