GCP HA VPN odbija FortiGate: nepodudarnost tipa lokalnog ID-a
Google uspoređuje identitet koji FortiGate tvrdi, a ne samo prethodno dijeljeni ključ. Lokalni ID tipa FQDN pada na toj provjeri dok zapis još kaže autentifikacija.
AUTHENTICATION_FAILED iz Google Cloud HA VPN obično vraća ljude na prethodno dijeljeni ključ, a ključ je najčešće ispravan. Tunel se zaustavlja u fazi 1 jer Google uspoređuje još nešto: identitet koji partner tvrdi tijekom IKE razmjene. Na FortiGateu taj identitet može promijeniti tip bez toga da itko uređuje adresu. Čitajte zapis kao nepodudarnost identiteta nakon što je ključ dvaput ponovno unesen.
Jedna greška, dvije provjere
IKE provjerava partnera u dva odvojena koraka. Prethodno dijeljeni ključ dokazuje da oba kraja drže istu tajnu, a tvrđeni identitet govori sugovorniku kime se partner predstavlja. Google provjerava taj identitet prema partneru s kojim je konfiguriran. Prepušten sebi, FortiGate šalje identitet zasnovan na adresi izveden iz svog odlaznog sučelja, i usporedba prolazi bez da itko primijeti da se to dogodilo.
Oba koraka završavaju u istoj kanti u zapisu, što objašnjava poznatu petlju ponovnog upisivanja ključa četiri puta prije nego što itko pročita identitetski teret.
Što FortiGate stavlja u identitetski teret
Nevolja počinje kada netko postavi lokalni ID kako bi se dvije strane uskladile. Novije FortiOS verzije označavaju taj identitet kao potpuno kvalificirano ime domene čak i kada je upisana vrijednost adresa s točkama. Google stoga prima identitet tipa FQDN dok očekuje adresu, i odbija sesiju. Ništa u poruci ne kaže koja je polovica pala, pa se izvještaj čita kao neuspjeh autentifikacije.
Reproducirajte to jednom uz uključeno IKE otklanjanje pogrešaka i pročitajte identitetski teret koji vatrozid doista ispisuje.
U istom prolazu potvrdite tri jeftine činjenice: verziju IKE koju koriste oba kraja, točan ključ uključujući nevidljive završne znakove, i partnersku adresu koju Google očekuje. One odgovaraju na različita pitanja, a ključ koji se podudara ne govori ništa o identitetu.
Opcije i koliko svaka košta
Svaki izlaz popravlja drugi sloj, i nijedan nije dostupan svakoj implementaciji.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Ispravljanje identiteta na vatrozidu najčišći je odgovor gdje vam firmware dopušta odabir tipa i zadržavanje vrijednosti. Polje postoji u nekim verzijama, a u drugima tip popunjava pogrešno, pa testirajte svoju verziju umjesto da vjerujete napomenama o izdanju.
Usmjeriva javna adresa na sučelju za pregovaranje dokumentirana je zaobilaznica, jer se tada zadani identitet podudara s onim što Google očekuje i nikakvo prepisivanje nije potrebno. Tu završava većina implementacija, ako vatrozid uopće može držati takvu adresu.
Završavanje na partneru koji provjerava ono što proizvodite promjena je topologije. Tretirajte to kao projektnu odluku, a ne kao zaobilaznicu s ljubaznijim opisom.
Kada NAT ukloni jednu opciju
Iza NAT-a izlaz preko javne adrese nestaje, a ono što ostaje ovisi o ponašanju firmwarea koje ne kontrolirate. To je trenutak za svjestan odabir između nadogradnje, premještanja partnera ili prihvaćanja druge oblak-krajnje točke. To su tri različita proračuna, i slučajan odabir jednoga način je na koji privremena zaobilaznica postaje arhitektura. Zapišite odabir i njegov razlog uz tunel.
Prije tumačenja ičega od ovoga, potvrdite stanje tunela na Googleovoj strani i da IKE nije jednostavno odbačen na putu. Odbačen paket istječe; on ne proizvodi odbijanje.
Što zabilježiti dok radi
Zabilježite tip identiteta, njegovu vrijednost, verziju firmwarea i partnersku adresu koji su bili na snazi kada se tunel posljednji put podigao. Ažuriranje firmwarea može ponovno promijeniti zadano, a sljedeći neuspjeh izgledat će točno kao nepodudarnost ključa. Uz identitet pohranjen uz ključ i partnersku adresu, sljedeća osoba počinje od jeftinih provjera.
Taj je zapis ujedno i jedini način da se zna treba li zaobilaznica još i nakon sljedeće nadogradnje.