Cloud VPN prema Cisco ASA: ponovna izgradnja nakon neslaganja predloga

Cloud VPN ugrađuje predlog u objekat tunela, pa neslaganje sa ASA znači ponovnu izgradnju. Zabilježite selektore, uskladite obje faze, obrišite stare SA.

NEGOTIATION_FAILURE na Cloud VPN tunelu sa Cisco ASA na drugoj strani gotovo je uvijek neslaganje predloga ili selektora, a prva korisna činjenica je da nijedna izmjena to neće popraviti. Cloud VPN fiksira IKE predlog kada se objekat tunela kreira. Nema polja za promjenu algoritma na licu mjesta, pa je popravka brisanje i ponovno kreiranje sa zabilježenom početnom tačkom. Tretirajte to kao ponovnu izgradnju i posao postaje kontrolna lista, a ne poslijepodne nagađanja.

Pročitajte grešku prije nego što bilo šta obrišete

Neuspjeh pregovaranja je problem faze, a dnevnik partnera obično imenuje fazu. Neuspjeh faze 1 znači da se strane nisu mogle dogovoriti o predlogu ili nisu mogle jedna drugu autentificirati. Neuspjeh faze 2 znači da se tunel podigao a zaštićeni selektori se nisu poklopili. To su različite popravke, a liniju dnevnika vrijedi izvući prije nego što iko dotakne konfiguraciju.

Greška također isključuje neke stvari. To nije VPC ruta, nije firewall pravilo na interfejsu tunela i nije kvar razrješavanja imena unutar mreže. Jurenje za tim daje samouvjerene izmjene koje ne mogu promijeniti ishod i otežava pripisivanje konačne popravke.

Zabilježite obje konfiguracije dok još postoje

Brisanje tunela traje pola minute i uništava jedini dokaz koji ste imali. Prije toga zapišite lokalne i udaljene selektore, adresu partnera, kome pripada zajednička tajna i ASA-ov crypto map ili IKEv2 profil. ASA odgovara na dva odvojena pitanja: šta je konfigurisano i šta je trenutno podignuto:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Na Google strani čitajte objekat tunela, a ne sažetak u konzoli, jer su adresa partnera i polja selektora vrijednosti koje morate reproducirati tačno:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Upišite te vrijednosti u tiket prije prvog brisanja. Ponovna izgradnja ispod radi samo zato što možete ponovo kreirati isti objekat sa jednom namjernom razlikom.

Algoritmi o kojima jedna strana odbija pregovarati

Cloud VPN ne bira iz raspona IKEv1 algoritama kao tradicionalni partner. Postavke partnera koje očekuje su fiksne: aes-cbc-128 za enkripciju, sha1-96 za integritet i PRF, Diffie-Hellman grupa 2, 36,600 sekundi za fazu 1 i 10,800 sekundi za fazu 2. ASA politika mora ponuditi tačno taj skup. Drugi predlog na ASA ne šteti ako je odgovarajući također na listi.

IKEv2 daje objema stranama više prostora, ali pravila zadržavaju isti oblik: uključite PFS, odaberite DH grupu koju tunel podržava i držite listu predloga dovoljno kratkom da neslaganje bude očigledno. Partner ASA na Cloud VPN također znači statičko rutiranje, pa zaštićeni prefiksi moraju biti planirani i navedeni, a ne prepušteni BGP-u.

Životni vijek kopiran iz šablona drugog proizvođača uobičajen je pogrešan skretaj ovdje. Google objavljuje ove vrijednosti kao obavezne postavke partnera, pa ih postavite; kraća vrijednost se ne pregovara naviše do onoga što ASA želi.

Obrišite, ponovo kreirajte i očistite staro stanje

Obrišite tunel, ne gateway, i zapišite ime koje Cloud VPN dodijeli zamjeni, jer se imena dodjeljuju, a ne koriste ponovo. Ponovo ga kreirajte sa zabilježenim vrijednostima i istom adresom partnera, zatim dodajte odgovarajući predlog na listu ASA politike.

Očistite sigurnosne asocijacije nakon promjene na ASA i prije nego što pročitate rezultat. ASA može nastaviti nuditi zastarjelu politiku dok trenutna SA ne istekne, pa ispravna konfiguracija izgleda pokvareno cijelo vrijeme trajanja starog životnog vijeka, a posmatrač zaključi da je ponovna izgradnja propala dok još nije ni počela:

clear crypto ikev2 sa
clear crypto ipsec sa

Potvrdite da se faza 1 podigla prije nego što pogledate fazu 2. Dok je faza 1 dolje, predlog ili unaprijed dijeljeni ključ su pogrešni i rad na selektorima to neće promijeniti.

Selektori se preslikavaju, a zatim odlučuju brojači

Faza 2 radi samo kada se obje strane slažu oko zaštićenih adresa, a slaganje je preslikano, a ne zajedničko. Google lokalni selektor mora odgovarati selektoru koji ASA naziva udaljenim, a Google udaljeni selektor onome što ASA naziva lokalnim. Tunel sa 0.0.0.0/0 na jednoj strani i jednom podmrežom na drugoj prolazi fazu 1 i zatim pada na fazi 2 sa istom glavnom greškom. Nijedna strana ne može proširiti listu druge.

Za selektore zasnovane na politici navedite svaki par prefiksa i držite listu u tiketu. Podmreža dodana kasnije u lokalnoj mreži zahtijeva izmjenu na obje strane, jer nova ruta na ASA ne proširuje selektor, a rezultat je tunel koji je podignut i propušta saobraćaj samo za prefikse koji su postojali prvog dana.

Završite jednim tokom od hosta do hosta i pročitajte brojače bajtova na obje strane. Brojači koji rastu na ASA a stoje na Googleu obično znače da odgovor izlazi kroz drugi interfejs ili da selektor ne pokriva povratni prefiks. Zapišite algoritme, životne vijekove, selektore i novo ime tunela, jer sljedeća promjena predloga ponavlja ovu ponovnu izgradnju i te vrijednosti je pretvaraju u kratak posao.

Povezani članci