GCP HA VPN отхвърля FortiGate: несъответствие на типа на локалния ID
Google сравнява идентичността, която FortiGate заявява, а не само предварително споделения ключ. Локален ID от тип FQDN не минава тази проверка, докато журналът все още казва удостоверяване.
AUTHENTICATION_FAILED от Google Cloud HA VPN обикновено връща хората към предварително споделения ключ, а ключът по правило е верен. Тунелът засича във фаза 1, защото Google сравнява и още нещо: идентичността, която партньорът заявява по време на IKE обмена. На FortiGate тази идентичност може да смени типа си, без никой да редактира адрес. Четете журнала като несъответствие на идентичност, след като ключът е въведен повторно два пъти.
Една повреда, две проверки
IKE проверява партньора в два отделни етапа. Предварително споделеният ключ доказва, че двата края държат една и съща тайна, а заявената идентичност казва на отговарящия кой твърди партньорът, че е. Google сверява тази идентичност с партньора, с който е конфигуриран. Оставен сам, FortiGate изпраща идентичност, базирана на адрес, извлечена от изходящия му интерфейс, и сравнението минава, без някой да забележи.
И двата етапа попадат в една и съща кофа в журнала, което обяснява познатия цикъл на преписване на ключа четири пъти, преди някой да прочете полезния товар на идентичността.
Какво слага FortiGate в полезния товар на идентичността
Проблемът започва, когато някой зададе локален ID за да се съгласуват двете страни. Скорошните сборки на FortiOS маркират тази идентичност като напълно квалифицирано домейн име, дори когато въведената стойност е адрес с точки. Затова Google получава идентичност от тип FQDN, докато очаква адрес, и отхвърля сесията. Нищо в съобщението не казва коя половина е отказала, така че докладът се чете като отказ на удостоверяването.
Възпроизведете го веднъж с включено отстраняване на грешки за IKE и прочетете полезния товар на идентичността, който защитната стена действително излъчва.
В същия преглед потвърдете три евтини факта: версията на IKE, която ползват двата края, точния ключ, включително невидимите знаци в края, и адреса на партньора, който Google очаква. Те отговарят на различни въпроси, а съвпадащият ключ не казва нищо за идентичността.
Опции и какво струва всяка
Всеки изход поправя различен слой и нито един не е достъпен за всяко внедряване.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Коригирането на идентичността на защитната стена е най-чистият отговор там, където фърмуерът ви позволява да изберете типа и да запазите стойността. Полето съществува в някои сборки и попълва типа погрешно в други, затова тествайте своята версия, вместо да се доверявате на бележките към изданието.
Маршрутизиращ се публичен адрес на договарящия интерфейс е документираният заобиколен път, защото тогава идентичността по подразбиране съвпада с това, което Google очаква, и не е нужно заместване. Там се озовават повечето внедрявания, ако защитната стена въобще може да държи такъв адрес.
Завършването на партньор, който валидира това, което произвеждате, е промяна на топологията. Третирайте го като проектно решение, а не като заобиколен път с по-приятелско описание.
Когато NAT премахне една опция
Зад NAT изходът през публичен адрес изчезва и това, което остава, зависи от поведението на фърмуера, което не контролирате. Това е моментът да изберете съзнателно между надграждане, преместване на партньора или приемане на друга облачна крайна точка. Това са три различни бюджета и избирането на един по случайност е начинът, по който временен заобиколен път се превръща в архитектура. Запишете избора и причината му до тунела.
Преди да тълкувате нещо от това, потвърдете състоянието на тунела от страна на Google и че IKE просто не се изхвърля по пътя. Изхвърлен пакет изтича по време; той не дава отказ.
Какво да запишете, докато работи
Запишете типа на идентичността, стойността ѝ, версията на фърмуера и адреса на партньора, които са били в сила, когато тунелът последно се вдигна. Актуализация на фърмуера може отново да смени стойността по подразбиране и следващият отказ ще изглежда точно като несъответствие на ключ. С идентичност, съхранена до ключа и адреса на партньора, следващият човек започва от евтините проверки.
Този запис е и единственият начин да разберете дали заобиколен път все още е нужен след следващото надграждане.