GCP HA VPN rebutja FortiGate: el tipus d’ID local no coincideix
Google compara la identitat que declara un FortiGate, no només la clau prèviament compartida. Un ID local de tipus FQDN falla aquesta comprovació mentre el registre encara diu autenticació.
L’AUTHENTICATION_FAILED de Google Cloud HA VPN normalment fa tornar la gent a la clau prèviament compartida, i la clau sol ser correcta. El túnel s’encalla a la fase 1 perquè Google compara també una altra cosa: la identitat que el parell declara durant l’intercanvi IKE. En un FortiGate aquesta identitat pot canviar de tipus sense que ningú editi cap adreça. Llegeixi el registre com una discrepància d’identitat un cop la clau s’ha tornat a introduir dues vegades.
Un sol error, dues comprovacions
IKE verifica un parell en dues passes separades. La clau prèviament compartida demostra que els dos extrems tenen el mateix secret, i una identitat declarada diu al responent qui diu el parell que és. Google comprova aquesta identitat contra el parell amb què es va configurar. Si es deixa sol, un FortiGate envia una identitat basada en adreça derivada de la seva interfície de sortida, i la comparació passa sense que ningú noti que ha passat.
Les dues passes cauen al mateix calaix del registre, cosa que explica el bucle familiar de tornar a escriure la clau quatre vegades abans que algú llegeixi la càrrega d’identitat.
Què posa un FortiGate a la càrrega d’identitat
El problema comença quan algú fixa un ID local per fer coincidir les dues bandes. Les compilacions recents de FortiOS marquen aquesta identitat com un nom de domini completament qualificat fins i tot quan el valor escrit és una adreça amb punts. Google, doncs, rep una identitat FQDN mentre espera una adreça, i refusa la sessió. Res del missatge no diu quina meitat ha fallat, així que l’informe es llegeix com un error d’autenticació.
Reprodueixi-ho una vegada amb la depuració IKE activada i llegeixi la càrrega d’identitat que el tallafoc emet realment.
En la mateixa passada, confirmi tres fets barats: la versió d’IKE que fan servir els dos extrems, la clau exacta incloent-hi caràcters finals invisibles, i l’adreça del parell que Google espera. Responen preguntes diferents, i una clau coincident no diu res sobre la identitat.
Opcions, i què costa cadascuna
Cada sortida arregla una capa diferent, i cap no està disponible per a tota implantació.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Corregir la identitat al tallafoc és la resposta més neta on el microprogramari permet triar el tipus i mantenir el valor. El camp existeix en algunes compilacions i omple el tipus malament en unes altres, així que provi la seva versió en lloc de refiar-se de les notes de la versió.
Una adreça pública encaminable a la interfície de negociació és la solució alternativa documentada, perquè llavors la identitat per defecte coincideix amb el que Google espera i no cal cap substitució. És on acaben la majoria d’implantacions, si el tallafoc pot mantenir una adreça així.
Terminar en un parell que valida el que vostè produeix és un canvi de topologia. Tracti-ho com una decisió de disseny i no com una solució alternativa amb una descripció més amable.
Quan NAT elimina una opció
Darrere de NAT la sortida per adreça pública desapareix, i el que queda depèn d’un comportament del microprogramari que vostè no controla. Aquest és el punt per triar deliberadament entre actualitzar, reubicar el parell o acceptar un altre punt final al núvol. Són tres pressupostos diferents, i triar-ne un per accident és com una solució temporal es converteix en arquitectura. Escrigui l’elecció i el seu motiu al costat del túnel.
Abans d’interpretar res d’això, confirmi l’estat del túnel al costat de Google i que IKE no s’està simplement descartant pel camí. Un paquet descartat caduca; no produeix un refús.
Què cal anotar mentre funciona
Anoti el tipus d’identitat, el seu valor, la versió del microprogramari i l’adreça del parell que estaven en vigor quan el túnel es va aixecar per última vegada. Una actualització del microprogramari pot tornar a canviar el valor per defecte, i la propera fallada semblarà exactament una discrepància de clau. Amb la identitat desada al costat de la clau i de l’adreça del parell, la persona següent comença per les comprovacions barates.
Aquest registre és també l’única manera de saber si una solució alternativa encara cal després de la propera actualització.