GCP HA VPN odmítá FortiGate: nesoulad typu lokálního ID
Google porovnává identitu, kterou FortiGate tvrdí, ne jen předsdílený klíč. Lokální ID typu FQDN touto kontrolou neprojde, zatímco log stále hlásí autentizaci.
AUTHENTICATION_FAILED z Google Cloud HA VPN obvykle posílá lidi zpět k předsdílenému klíči, a klíč bývá správný. Tunel se zasekne ve fázi 1, protože Google porovnává ještě něco jiného: identitu, kterou protějšek během výměny IKE tvrdí. Na FortiGate může tato identita změnit typ, aniž by kdokoli upravoval adresu. Čtěte log jako nesoulad identity poté, co byl klíč dvakrát znovu zadán.
Jedno selhání, dvě kontroly
IKE ověřuje protějšek ve dvou oddělených krocích. Předsdílený klíč dokazuje, že oba konce mají stejné tajemství, a tvrzená identita říká odpovídající straně, kým se protějšek prohlašuje být. Google tuto identitu porovnává s protějškem, se kterým byl nakonfigurován. Ponechán sám sobě, FortiGate posílá identitu založenou na adrese odvozenou z výchozího rozhraní, a srovnání projde, aniž by si toho někdo všiml.
Oba kroky končí ve stejném kbelíku v logu, což vysvětluje známou smyčku přepisování klíče čtyřikrát, než někdo přečte datovou část identity.
Co FortiGate dává do datové části identity
Problém začíná, když někdo nastaví lokální ID aby se obě strany shodly. Nedávné buildy FortiOS označují tuto identitu jako plně kvalifikované doménové jméno, i když je zadaná hodnota adresa s tečkami. Google tedy dostane identitu FQDN, zatímco očekává adresu, a relaci odmítne. Nic ve zprávě neříká, která polovina selhala, takže se hlášení čte jako selhání autentizace.
Zreprodukujte to jednou se zapnutým laděním IKE a přečtěte datovou část identity, kterou firewall skutečně vysílá.
Ve stejném průchodu potvrďte tři levná fakta: verzi IKE, kterou oba konce používají, přesný klíč včetně neviditelných koncových znaků, a adresu protějšku, kterou Google očekává. Odpovídají na různé otázky a shodný klíč o identitě neříká nic.
Možnosti a co každá stojí
Každé východisko opravuje jinou vrstvu a žádné není dostupné pro každé nasazení.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Oprava identity na firewallu je nejčistší odpověď tam, kde firmware dovolí zvolit typ a hodnotu zachovat. Pole existuje v některých buildech a v jiných vyplňuje typ špatně, takže testujte svou verzi, místo abyste věřili poznámkám k vydání.
Směrovatelná veřejná adresa na vyjednávajícím rozhraní je dokumentované obejití, protože výchozí identita pak odpovídá tomu, co Google očekává, a žádné přepsání není potřeba. Tam končí většina nasazení, pokud firewall takovou adresu vůbec udrží.
Ukončení na protějšku, který ověřuje to, co produkujete, je změna topologie. Berte to jako návrhové rozhodnutí, ne jako obejití s přátelštějším popisem.
Když NAT odebere jednu možnost
Za NAT východisko přes veřejnou adresu mizí a to, co zbývá, závisí na chování firmwaru, které neovládáte. To je okamžik pro vědomou volbu mezi upgradem, přemístěním protějšku nebo přijetím jiného cloudového koncového bodu. To jsou tři různé rozpočty a náhodný výběr jednoho je způsob, jak se dočasné obejití stane architekturou. Napište volbu a její důvod vedle tunelu.
Než cokoli z toho vyložíte, potvrďte stav tunelu na straně Google a že IKE není prostě zahozen cestou. Zahozený paket vyprší; nevyvolá odmítnutí.
Co zaznamenat, dokud to funguje
Zapište typ identity, její hodnotu, verzi firmwaru a adresu protějšku, které platily, když tunel naposledy naskočil. Aktualizace firmwaru může výchozí hodnotu znovu změnit a další selhání bude vypadat přesně jako nesoulad klíče. S identitou uloženou vedle klíče a adresy protějšku začíná další člověk u levných kontrol.
Tento záznam je také jediný způsob, jak zjistit, zda je obejití po dalším upgradu ještě potřeba.