GCP HA VPN FortiGate-i rədd edir: yerli ID növü uyğun gəlmir
Google FortiGate-in bildirdiyi kimliyi müqayisə edir, yalnız əvvəlcədən paylaşılan açarı yox. FQDN tipli yerli ID bu yoxlamadan keçmir, jurnal isə hələ də autentifikasiya deyir.
Google Cloud HA VPN-dən gələn AUTHENTICATION_FAILED adətən insanları əvvəlcədən paylaşılan açara qaytarır və açar çox vaxt düzgündür. Tunel 1-ci fazada dayanır, çünki Google başqa bir şeyi də müqayisə edir: həmsöhbətin IKE mübadiləsi zamanı bildirdiyi kimliyi. FortiGate-də bu kimlik heç kim ünvana toxunmadan növünü dəyişə bilər. Açar iki dəfə yenidən daxil edildikdən sonra jurnalı kimlik uyğunsuzluğu kimi oxuyun.
Bir nasazlıq, iki yoxlama
IKE həmsöhbəti iki ayrı addımda yoxlayır. Əvvəlcədən paylaşılan açar hər iki tərəfin eyni sirri saxladığını sübut edir, bildirilən kimlik isə cavab verənə həmsöhbətin kim olduğunu deyir. Google bu kimliyi konfiqurasiya etdiyi həmsöhbətlə müqayisə edir. Öz axarına buraxılan FortiGate çıxış interfeysindən törəmə ünvan əsaslı kimlik göndərir və müqayisə heç kimin görmədiyi halda keçir.
Hər iki addım jurnalda eyni qaba düşür və bu, kimlik yükünü heç kim oxumadan açarın dörd dəfə yenidən yazılması ilə tanış dövrü izah edir.
FortiGate kimlik yükünə nə qoyur
Problem o zaman başlayır ki, kimsə yerli ID təyin edir ki, iki tərəf razılaşsın. Yeni FortiOS buraxılışları həmin kimliyi tam keyfiyyətli domen adı kimi işarələyir, hətta daxil edilən dəyər nöqtəli ünvan olsa belə. Buna görə Google ünvan gözlədiyi halda FQDN kimliyi alır və sessiyanı rədd edir. Mesajda hansı yarısının uğursuz olduğu deyilmir, ona görə hesabat autentifikasiya nasazlığı kimi oxunur.
IKE sazlaması aktiv ikən bunu bir dəfə təkrarlayın və firewall-un həqiqətən göndərdiyi kimlik yükünü oxuyun.
Eyni mərhələdə üç ucuz faktı təsdiqləyin: hər iki tərəfin istifadə etdiyi IKE versiyası, görünməz son simvollar daxil olmaqla dəqiq açar və Google-un gözlədiyi həmsöhbət ünvanı. Onlar ayrı suallara cavab verir və uyğun gələn açar kimlik haqqında heç nə demir.
Seçimlər və hər birinin qiyməti
Hər çıxış fərqli bir qatı düzəldir və heç biri hər yerləşdirmə üçün mövcud deyil.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Firewall-da kimliyi düzəltmək ən təmiz cavabdır, əgər proqram təminatı növü seçməyə və dəyəri saxlamağa imkan verirsə. Sahə bəzi buraxılışlarda var və digərlərində növü səhv doldurur, ona görə buraxılış qeydlərinə güvənmək əvəzinə öz versiyanızı sınayın.
Danışıq interfeysində marşrutlana bilən ümumi ünvan sənədləşdirilmiş işə yaramadır, çünki o zaman standart kimlik Google-un gözlədiyi ilə uyğun gəlir və heç bir ləğv tələb olunmur. Əgər firewall belə bir ünvan saxlaya bilirsə, əksər yerləşdirmələr buraya gəlir.
Sizin istehsal etdiyinizi təsdiqləyən həmsöhbətdə sonlandırmaq topologiya dəyişikliyidir. Buna daha mehriban təsvirli işə yaramad kimi deyil, dizayn qərarı kimi baxın.
NAT bir seçimi çıxardıqda
NAT-ın arxasında ümumi ünvan çıxışı yox olur və qalan şey sizin idarə etmədiyiniz proqram təminatı davranışından asılıdır. Bu, yüksəltmə, həmsöhbəti köçürmə və ya başqa bulud son nöqtəsini qəbul etmə arasında qəsdən seçim etmə nöqtəsidir. Bunlar üç fərqli büdcədir və birini təsadüfən seçmək müvəqqəti işə yaramadın memarlığa çevrilmə üsuludur. Seçimi və səbəbini tunelin yanına yazın.
Bunlardan hər hansını şərh etməzdən əvvəl Google tərəfində tunelin vəziyyətini və IKE-in sadəcə yolda atılmadığını təsdiqləyin. Atılan paket vaxt aşımına düşür; rədd cavabı yaratmır.
İşləyərkən nə qeyd etməli
Tunel son dəfə qalxdığında qüvvədə olan kimlik növünü, dəyərini, proqram təminatı versiyasını və həmsöhbət ünvanını qeyd edin. Proqram təminatı yeniləməsi standartı yenidən dəyişə bilər və növbəti nasazlıq tam olaraq açar uyğunsuzluğuna bənzəyəcək. Kimlik açarın və həmsöhbət ünvanının yanında saxlanıldıqda, növbəti şəxs ucuz yoxlamalardan başlayır.
Bu qeyd həm də növbəti yüksəltmədən sonra işə yaramadın hələ lazım olub-olmadığını bilməyin yeganə yoludur.