Cloud VPN i Cisco ASA: ailadeiladu ar ôl anghytundeb cynnig

Mae NEGOTIATION_FAILURE ar dwnnel Cloud VPN gyda Cisco ASA yn y pen pellaf bron bob tro yn anghytundeb cynnig neu ddetholwr, a'r ffaith gyntaf ddefnyddiol yw na fydd unrhyw olygiad yn ei drwsio. Mae Cloud VPN yn sefydlogi'r cynnig IKE pan grëir gwrthrych y twnnel. Nid oes maes ar gyfer newid algorithm yn ei le, felly'r atgyweiriad yw dileu ac ail-greu gyda man cychwyn wedi'i gofnodi. Triniwch ef fel ailadeiladu a daw'r gwaith yn rhestr wirio yn lle prynhawn o ddyfalu.

Darllenwch y methiant cyn dileu unrhyw beth

Mae methiant negodi yn broblem cam, ac mae log y cymar fel arfer yn enwi'r cam. Mae cam 1 yn methu yn golygu na allai'r penau gytuno ar gynnig neu na allent ddilysu ei gilydd. Mae cam 2 yn methu yn golygu bod y twnnel wedi codi ac nad oedd y detholwyr gwarchodedig yn cyfateb. Atgyweiriadau gwahanol yw'r rhain, ac mae'n werth tynnu'r llinell log cyn i unrhyw un gyffwrdd â chyfluniad.

Mae'r methiant hefyd yn diystyru pethau. Nid llwybr VPC yw hyn, nid rheol mur tân ar ryngwyneb y twnnel, ac nid nam datrys enwau y tu mewn i'r rhwydwaith. Mae mynd ar eu holau yn cynhyrchu newidiadau hyderus na allant newid y canlyniad, ac yn gwneud y gwelliant terfynol yn anoddach ei briodoli.

Cipiwch y ddau gyfluniad tra bo nhw'n dal i fodoli

Mae dileu twnnel yn cymryd hanner munud ac yn dinistrio'r unig dystiolaeth oedd gennych. Cyn hynny, nodwch y detholwyr lleol a phell, cyfeiriad y cymar, pwy sy'n berchen ar y gyfrinach a rennir, a crypto map neu broffil IKEv2 yr ASA. Mae'r ASA yn ateb dau gwestiwn ar wahân: beth sydd wedi'i ffurfweddu a beth sydd i fyny ar hyn o bryd:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Ar ochr Google, darllenwch wrthrych y twnnel yn hytrach na chrynodeb y consol, oherwydd cyfeiriad y cymar a meysydd y detholwyr yw'r gwerthoedd y mae'n rhaid i chi eu hatgynhyrchu'n union:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Rhowch y gwerthoedd hynny yn y tocyn cyn y dileu cyntaf. Dim ond oherwydd y gallwch ail-greu'r un gwrthrych gydag un gwahaniaeth bwriadol y mae'r ailadeiladu isod yn gweithio.

Yr algorithmau y mae un ochr yn gwrthod negodi

Nid yw Cloud VPN yn dewis o amrywiaeth o algorithmau IKEv1 fel y mae cymar traddodiadol. Mae gosodiadau'r cymar y mae'n eu disgwyl yn sefydlog: aes-cbc-128 ar gyfer amgryptio, sha1-96 ar gyfer cyfanrwydd a PRF ill dau, grŵp Diffie-Hellman 2, 36,600 eiliad ar gyfer cam 1 a 10,800 eiliad ar gyfer cam 2. Rhaid i bolisi'r ASA gynnig yr union set honno. Nid yw ail gynnig ar yr ASA yn niweidio cyn belled â bod yr un sy'n cyfateb ar y rhestr hefyd.

Mae IKEv2 yn rhoi mwy o le i'r ddwy ochr, ond mae'r rheolau'n cadw'r un siâp: galluogwch PFS, dewiswch grŵp DH y mae'r twnnel yn ei gefnogi, a chadwch y rhestr gynigion yn ddigon byr i anghytundeb fod yn amlwg. Mae cymar ASA ar Cloud VPN hefyd yn golygu llwybro statig, felly rhaid cynllunio a rhestrwyr rhagddodiadau gwarchodedig yn hytrach na'u gadael i BGP.

Mae oes a gopïwyd o dempled gwerthwr arall yn dro anghywir arferol yma. Mae Google yn cyhoeddi'r gwerthoedd hyn fel gosodiadau cymar gofynnol, felly gosodwch nhw; ni negodir gwerth byrrach i fyny at yr hyn y mae'r ASA ei eisiau.

Dileuwch, ail-grëwch, a chliriwch yr hen gyflwr

Dileuwch y twnnel, nid y porth, a nodwch yr enw y mae Cloud VPN yn ei roi i'r amnewidiad, oherwydd enwir enwau yn hytrach na'u hailddefnyddio. Ail-grëwch ef gyda'r gwerthoedd a gofnodwyd a'r un cyfeiriad cymar, yna ychwanegwch y cynnig cyfatebol at restr bolisi'r ASA.

Cliriwch y cymdeithasau diogelwch ar ôl newid yr ASA a chyn i chi ddarllen y canlyniad. Gall ASA barhau i gynnig polisi hen ffasiwn nes bod yr SA presennol yn dod i ben, felly mae cyfluniad cywir yn edrych yn doredig am hyd yr hen oes ac mae'r gwylwr yn casglu bod yr ailadeiladu wedi methu pan nad oedd wedi dechrau:

clear crypto ikev2 sa
clear crypto ipsec sa

Cadarnhewch fod cam 1 yn codi cyn edrych ar gam 2. Tra bo cam 1 i lawr, mae'r cynnig neu'r allwedd a rannwyd ymlaen llaw yn anghywir, ac ni fydd gwaith detholwyr yn newid hynny.

Mae detholwyr yn adlewyrchu, yna mae cyfrifwyr yn penderfynu

Dim ond pan fo'r ddau ben yn cytuno ar y cyfeiriadau sy'n cael eu gwarchod y mae cam 2 yn gweithio, ac mae'r cytundeb yn adlewyrchol yn hytrach na'i rannu. Rhaid i ddetholwr lleol Google gyfateb â'r detholwr y mae'r ASA yn ei alw'n bell, a rhaid i ddetholwr pell Google gyfateb â'r hyn y mae'r ASA yn ei alw'n lleol. Mae twnnel â 0.0.0.0/0 ar un ochr ac un is-rwydwaith ar y llall yn pasio cam 1 ac yna'n methu cam 2 gyda'r un prif wall. Ni all yr un ochr ehangu rhestr y llall.

Ar gyfer detholwyr sy'n seiliedig ar bolisi, rhestrwch bob pâr rhagddodiad a chadwch y rhestr yn y tocyn. Mae is-rwydwaith a ychwanegir yn y safle yn ddiweddarach angen golygiad ar y ddau ben, oherwydd nid yw llwybr newydd ar yr ASA yn ehangu detholwr, a'r canlyniad yw twnnel sy'n codi ac yn pasio traffig yn unig ar gyfer y rhagddodiadau a oedd yn bodoli ar y diwrnod cyntaf.

Gorffennwch ag un llif o westai i westai a darllenwch gyfrifwyr beit ar y ddwy ochr. Mae cyfrifwyr yn dringo ar yr ASA tra'n aros yn wastad ar Google fel arfer yn golygu bod yr ateb yn gadael trwy ryngwyneb gwahanol, neu nad yw'r detholwr yn cynnwys y rhagddodiad dychwelyd. Cofnodwch yr algorithmau, yr oesoedd, y detholwyr ac enw newydd y twnnel, oherwydd mae'r newid cynnig nesaf yn ailadrodd yr ailadeiladu hwn ac mae'r gwerthoedd hynny'n ei droi'n dasg fer.