Cloud VPN və Cisco ASA: təklif uyğunsuzluğundan sonra yenidən qurma

Uzaq tərəfdə Cisco ASA olan Cloud VPN tunelində NEGOTIATION_FAILURE demək olar ki, həmişə təklif və ya selektor uyğunsuzluğudur və ilk faydalı fakt budur ki, heç bir düzəliş bunu həll etməyəcək. Cloud VPN IKE təklifini tunel obyekti yaradılanda sabitləyir. Alqoritmi yerində dəyişmək üçün sahə yoxdur, ona görə bərpa silmək və qeydə alınmış başlanğıc nöqtəsi ilə yenidən yaratmaqdır. Buna yenidən qurma kimi baxın və iş təxminlə dolu bir günorta əvəzinə yoxlama siyahısına çevrilir.

Nəyisə silməzdən əvvəl nasazlığı oxuyun

Danışıq nasazlığı faza problemidir və qarşı tərəfin jurnalı adətən fazanı göstərir. Faza 1-in uğursuz olması tərəflərin təklif barədə razılaşa bilməməsi və ya bir-birini autentifikasiya edə bilməməsi deməkdir. Faza 2-nin uğursuz olması tunelin qalxdığını və qorunan selektorların uyğun gəlmədiyini bildirir. Bunlar fərqli bərpalardır və jurnal sətri hər hansı konfiqurasiyaya toxunmazdan əvvəl çıxarmağa dəyər.

Nasazlıq həm də bəzi şeyləri istisna edir. Bu VPC marşrutu deyil, tunel interfeysində firewall qaydası deyil və şəbəkə daxilində ad həlli xətası deyil. Bunların ardınca getmək nəticəni dəyişə bilməyən inamlı dəyişikliklər yaradır və son bərpanı aid etməyi çətinləşdirir.

Hər iki konfiqurasiyanı hələ mövcudkən çıxarın

Tuneli silmək yarım dəqiqə çəkir və sahib olduğunuz yeganə sübutu məhv edir. Bundan əvvəl yerli və uzaq selektorları, qarşı tərəf ünvanını, ortaq sirrin kimə aid olduğunu və ASA-nın crypto map və ya IKEv2 profilini yazın. ASA iki ayrı suala cavab verir: nə konfiqurasiya edilib və hazırda nə qalxıb:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google tərəfində konsol xülasəsini deyil, tunel obyektini oxuyun, çünki qarşı tərəf ünvanı və selektor sahələri dəqiq təkrar etməli olduğunuz dəyərlərdir:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Bu dəyərləri ilk silmədən əvvəl bilete yazın. Aşağıdakı yenidənqurma yalnız ona görə işləyir ki, eyni obyekti bir qəsdən edilmiş fərqlə yenidən yarada bilirsiniz.

Bir tərəfin danışıqdan imtina etdiyi alqoritmlər

Cloud VPN ənənəvi qarşı tərəf kimi IKEv1 alqoritmləri çeşidindən seçmir. Gözlədiyi qarşı tərəf ayarları sabitdir: şifrələmə üçün aes-cbc-128, həm bütövlük həm də PRF üçün sha1-96, Diffie-Hellman qrupu 2, Faza 1 üçün 36,600 saniyə və Faza 2 üçün 10,800 saniyə. ASA siyasəti məhz bu dəsti təklif etməlidir. ASA-da ikinci təklif zərər vermir, bir şərtlə ki, uyğun olan da siyahıda olsun.

IKEv2 hər iki tərəfə daha çox yer verir, lakin qaydalar eyni formanı saxlayır: PFS-i aktivləşdirin, tunelin dəstəklədiyi DH qrupunu seçin və təklif siyahısını uyğunsuzluq aydın görünəcək qədər qısa saxlayın. Cloud VPN-də ASA qarşı tərəfi statik marşrutlaşdırma deməkdir, ona görə qorunan prefikslər BGP-yə buraxılmaq əvəzinə planlaşdırılmalı və siyahıya alınmalıdır.

Başqa bir satıcının şablonundan köçürülmüş ömür müddəti burada adi səhv dönüşdür. Google bu dəyərləri tələb olunan qarşı tərəf ayarları kimi dərc edir, ona görə onları qoyun; daha qısa dəyər ASA-nın istədiyinə qədər yuxarı danışılmır.

Silin, yenidən yaradın və köhnə vəziyyəti təmizləyin

Gateway-i deyil, tuneli silin və Cloud VPN-in əvəzediciyə verdiyi adı qeyd edin, çünki adlar təkrar istifadə olunmur, təyin edilir. Onu qeydə alınmış dəyərlərlə və eyni qarşı tərəf ünvanı ilə yenidən yaradın, sonra uyğun təklifi ASA siyasət siyahısına əlavə edin.

Təhlükəsizlik assosiasiyalarını ASA dəyişikliyindən sonra və nəticəni oxumazdan əvvəl təmizləyin. ASA cari SA bitənə qədər köhnə siyasəti təklif etməyə davam edə bilər, ona görə düzgün konfiqurasiya köhnə ömür müddəti boyu sınıq görünür və müşahidəçi yenidənqurmanın başlamamışdan uğursuz olduğu qənaətinə gəlir:

clear crypto ikev2 sa
clear crypto ipsec sa

Faza 2-yə baxmazdan əvvəl Faza 1-in qalxdığını təsdiqləyin. Faza 1 aşağıda olduqca təklif və ya əvvəlcədən paylaşılmış açar səhvdir və selektor işi bunu dəyişməyəcək.

Selektorlar güzgü kimi uyğunlaşır, sonra sayğaclar qərar verir

Faza 2 yalnız hər iki tərəf qorunan ünvanlar barədə razılaşanda işləyir və razılaşma ortaq deyil, güzgü kimidir. Google-un yerli selektoru ASA-nın uzaq adlandırdığı selektorla uyğun olmalıdır və Google-un uzaq selektoru ASA-nın yerli adlandırdığı ilə uyğun olmalıdır. Bir tərəfdə 0.0.0.0/0, digər tərəfdə tək bir alt şəbəkə olan tunel Faza 1-i keçir və sonra eyni əsas xəta ilə Faza 2-də uğursuz olur. Heç bir tərəf digərinin siyahısını genişləndirə bilməz.

Siyasət əsaslı selektorlar üçün hər prefiks cütünü siyahıya alın və siyahını biletdə saxlayın. Sonradan yerli şəbəkədə əlavə edilən alt şəbəkə hər iki tərəfdə düzəliş tələb edir, çünki ASA-da yeni marşrut selektoru genişləndirmir və nəticə qalxan, lakin yalnız birinci gün mövcud olan prefikslər üçün trafik keçirən tunel olur.

Bir hostdan hosta axınla bitirin və hər iki tərəfdə bayt sayğaclarını oxuyun. ASA-da artan, Google-da isə sabit qalan sayğaclar adətən cavabın başqa interfeysdən çıxdığını və ya selektorun qayıdış prefiksini əhatə etmədiyini bildirir. Alqoritmləri, ömür müddətlərini, selektorları və yeni tunel adını qeyd edin, çünki növbəti təklif dəyişikliyi bu yenidənqurmanı təkrarlayır və həmin dəyərlər onu qısa işə çevirir.