GCP HA VPN yn gwrthod FortiGate: math ID lleol yn anghytuno
Mae Google yn cymharu’r hunaniaeth y mae FortiGate yn ei honni, nid yn unig yr allwedd a rennir ymlaen llaw. Mae ID lleol FQDN yn methu’r prawf hwnnw tra bod y log yn dal i ddweud dilysu.
Mae AUTHENTICATION_FAILED o Google Cloud HA VPN fel arfer yn anfon pobl yn ôl at yr allwedd a rennir ymlaen llaw, ac mae’r allwedd fel arfer yn gywir. Mae’r twnnel yn stopio yng ngham 1 oherwydd bod Google yn cymharu rhywbeth arall hefyd: yr hunaniaeth y mae’r partner yn ei honni yn ystod cyfnewid IKE. Ar FortiGate gall y hunaniaeth honno newid math heb i neb olygu cyfeiriad. Darllenwch y log fel anghytundeb hunaniaeth ar ôl i’r allwedd gael ei hail-fynd ddwywaith.
Un methiant, dau brawf
Mae IKE yn gwirio partner mewn dau gam ar wahân. Mae’r allwedd a rennir ymlaen llaw yn profi bod y ddau ben yn dal yr un gyfrinach, ac mae hunaniaeth a honnir yn dweud wrth yr atebydd pwy y mae’r partner yn honni ei fod. Mae Google yn gwirio’r hunaniaeth honno yn erbyn y partner y cafodd ei ffurfweddu ag ef. Heb ymyrraeth, mae FortiGate yn anfon hunaniaeth seiliedig ar gyfeiriad sy’n deillio o’i ryngwyneb allan, ac mae’r gymhariaeth yn pasio heb i neb sylwi.
Mae’r ddau gam yn glanio yn yr un bwced yn y log, sy’n esbonio’r ddolen gyfarwydd o ail-deipio’r allwedd bedair gwaith cyn i neb ddarllen y llwyth hunaniaeth.
Beth mae FortiGate yn ei roi yn y llwyth hunaniaeth
Mae’r drafferth yn dechrau pan fydd rhywun yn gosod ID lleol i wneud i’r ddwy ochr gytuno. Mae adeileddau FortiOS diweddar yn marcio’r hunaniaeth honno fel enw parth cwbl gymwys hyd yn oed pan fo’r gwerth a deipiwyd yn gyfeiriad â dotiau. Felly mae Google yn derbyn hunaniaeth FQDN tra’n disgwyl cyfeiriad, ac mae’n gwrthod y sesiwn. Nid oes dim yn y neges yn dweud pa hanner a fethodd, felly mae’r adroddiad yn darllen fel methiant dilysu.
Atgynhyrchwch hyn unwaith gyda dadfygio IKE wedi’i alluogi a darllenwch y llwyth hunaniaeth y mae’r mur tân yn ei allyrru mewn gwirionedd.
Yn yr un cylch, cadarnhewch dri ffaith rad: y fersiwn IKE y mae’r ddau ben yn ei defnyddio, yr allwedd union gan gynnwys nodau olaf anweladwy, a chyfeiriad y partner y mae Google yn disgwyl ei gael. Maent yn ateb cwestiynau gwahanol, ac nid yw allwedd sy’n cyfateb yn dweud dim am yr hunaniaeth.
Opsiynau, a beth mae pob un yn ei gostio
Mae pob allanfa yn trwsio haen wahanol, ac nid oes yr un ohonynt ar gael i bob defnydd.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Cywiro’r hunaniaeth ar y mur tân yw’r ateb glanaf lle mae’r firmware yn gadael i chi ddewis y math a chadw’r gwerth. Mae’r maes yn bodoli mewn rhai adeileddau ac yn llenwi’r math yn anghywir mewn eraill, felly profwch eich fersiwn yn hytrach na choelio nodiadau rhyddhau.
Cyfeiriad cyhoeddus y gellir ei lwybr ar y rhyngwyneb negodi yw’r ateb dogfennedig, oherwydd wedyn mae’r hunaniaeth ragosodedig yn cyfateb i’r hyn y mae Google yn ei ddisgwyl ac nid oes angen trosysgrifo. Dyna lle mae’r rhan fwyaf o ddefnyddiau yn glanio, os gall y mur tân ddal cyfeiriad o’r fath o gwbl.
Mae terfynu ar bartner sy’n dilysu’r hyn rydych yn ei gynhyrchu yn newid topoleg. Triniwch ef fel penderfyniad dylunio yn hytrach nag ateb â disgrifiad mwy cyfeillgar.
Pan fydd NAT yn dileu un opsiwn
Y tu ôl i NAT mae’r allanfa drwy gyfeiriad cyhoeddus yn diflannu, ac mae’r hyn sy’n weddill yn dibynnu ar ymddygiad firmware nad ydych yn ei reoli. Dyma’r pwynt i ddewis yn fwriadol rhwng uwchraddio, symud y partner, neu dderbyn pen draw cwmwl gwahanol. Mae’r rhain yn dri chyllideb wahanol, a dewis un trwy ddamwain yw sut y mae ateb dros dro yn troi’n bensaernïaeth. Ysgrifennwch y dewis a’i reswm wrth ymyl y twnnel.
Cyn dehongli unrhyw beth o hyn, cadarnhewch gyflwr y twnnel ar ochr Google ac nad yw IKE yn cael ei ollwng ar y ffordd. Mae pecyn a ollyngwyd yn dod i ben; nid yw’n cynhyrchu gwrthodiad.
Beth i’w gofnodi tra mae’n gweithio
Cofnodwch y math hunaniaeth, ei werth, fersiwn y firmware a chyfeiriad y partner a oedd mewn grym pan gododd y twnnel ddiwethaf. Gall diweddariad firmware newid y rhagosodiad eto, a bydd y methiant nesaf yn edrych yn union fel anghytundeb allwedd. Gyda’r hunaniaeth wedi’i storio wrth ymyl yr allwedd a chyfeiriad y partner, mae’r person nesaf yn dechrau o’r profion rhad.
Y cofnod hwnnw hefyd yw’r unig ffordd i wybod a oes angen ateb o hyd ar ôl yr uwchraddiad nesaf.