GCP HA VPN адхіляе FortiGate: несупадзенне тыпу локальнага ID
Google параўноўвае ідэнтычнасць, якую заяўляе FortiGate, а не толькі папярэдне агучаны ключ. Локальны ID тыпу FQDN не праходзіць гэтую праверку, хаця журнал усё яшчэ кажа пра аўтэнтыфікацыю.
AUTHENTICATION_FAILED ад Google Cloud HA VPN звычайна вяртае людзей да папярэдне агучанага ключа, і ключ звычайна правільны. Тунель спыняецца на фазе 1, бо Google параўноўвае яшчэ і іншае: ідэнтычнасць, якую суразмоўца заяўляе падчас абмену IKE. На FortiGate гэтая ідэнтычнасць можа змяніць тып без таго, каб хтосьці рэдагаваў адрас. Чытайце журнал як несупадзенне ідэнтычнасцей пасля таго, як ключ увялі другі раз.
Адна памылка, дзве праверкі
IKE правярае суразмоўцу ў два асобныя крокі. Папярэдне агучаны ключ даказвае, што абодва бакі маюць аднолькавы сакрэт, а заяўленая ідэнтычнасць паведамляе адказніку, кім суразмоўца сябе ўяўляе. Google звярае гэтую ідэнтычнасць з тым суразмоўцам, з якім яго наладзілі. Калі нічога не рабіць, FortiGate дасылае ідэнтычнасць на аснове адраса, выведзеную з яго зыходнага інтэрфейсу, і параўнанне праходзіць незаўважна.
Абодва крокі трапляюць у адну і тую ж катэгорыю ў журнале, што і тлумачыць знаёмы цыкл перадрукоўвання ключа чатыры разы, перш чым хтосьці прачытае карысную нагрузку ідэнтычнасці.
Што FortiGate змяшчае ў карысную нагрузку ідэнтычнасці
Блага пачынаецца тады, калі хтосьці задае локальны ID каб два бакі ўзгадніліся. Новыя зборкі FortiOS пазначаюць гэтую ідэнтычнасць як цалкам кваліфікаванае даменнае імя, нават калі ўведзенае значэнне — адрас з кропкамі. Таму Google атрымлівае ідэнтычнасць FQDN, чакаючы адрас, і адхіляе сеанс. У паведамленні не сказана, якая палова не прайшла, таму справаздача чытаецца як збой аўтэнтыфікацыі.
Аднавіце гэта адзін раз з уключанай адладкай IKE і прачытайце карысную нагрузку ідэнтычнасці, якую фаервол сапраўды адпраўляе.
У тым жа праходзе пацвердзіце тры танныя факты: версію IKE, якую выкарыстоўваюць абодва бакі, дакладны ключ разам з нябачнымі знакамі ў канцы і адрас суразмоўцы, які Google чакае. Яны адказваюць на розныя пытанні, і ключ, што супадае, нічога не кажа пра ідэнтычнасць.
Варыянты і што кожны з іх каштуе
Кожны выхад выпраўляе іншы пласт, і ніводзін з іх не даступны ўсім разгортванням.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Выпраўленне ідэнтычнасці на фаерволе — самы чысты адказ там, дзе прашыўка дазваляе выбраць тып і захаваць значэнне. Поле ёсць у адных зборках і няправільна запоўнена ў іншых, таму праверце сваю версію, а не давярайце нататкам аб выпуску.
Маршрутызуемы публічны адрас на інтэрфейсе перамоваў — дакументаваны абыходны шлях, бо тады стандартная ідэнтычнасць супадае з тым, што чакае Google, і перамена не патрабуецца. Менавіта туды трапляе большасць разгортванняў, калі фаервол наогул можа ўтрымаць такі адрас.
Завяршэнне на суразмоўцы, які правярае тое, што вы выдаеце, — гэта змена тапалогіі. Стаўцеся да гэтага як да праектнага рашэння, а не як да абыходнага шляху з больш ласкавым апісаннем.
Калі NAT прыбірае адзін варыянт
За NAT выхад праз публічны адрас знікае, і тое, што застаецца, залежыць ад паводзін прашыўкі, якія вы не кантралюеце. Гэта момант, каб свядома выбраць паміж абнаўленнем, пераносам суразмоўцы або прыняццем іншай хмарнай канцавой кропкі. Гэта тры розныя бюджэты, і выбар аднаго выпадкова — гэта тое, як часовы абыходны шлях пераўтвараецца ў архітэктуру. Запішыце выбар і яго прычыну побач з тунелем.
Перад тым як нешта з гэтага інтэрпрэтаваць, пацвердзіце стан тунеля на баку Google і што IKE не проста скідваецца па дарозе. Скінуты пакет сканчаецца тайм-аўтам; ён не дае адмовы.
Што запісаць, пакуль яно працуе
Запішыце тып ідэнтычнасці, яго значэнне, версію прашыўкі і адрас суразмоўцы, якія дзейнічалі, калі тунель апошні раз узнімаўся. Абнаўленне прашыўкі можа зноў змяніць стандарт, і наступны збой будзе выглядаць дакладна як несупадзенне ключа. Калі ідэнтычнасць захавана побач з ключом і адрасам суразмоўцы, наступны чалавек пачынае з танных праверак.
Гэты запіс — таксама адзіны спосаб даведацца, ці патрэбны абыходны шлях пасля наступнага абнаўлення.