Cloud VPN προς Cisco ASA: επανακατασκευή μετά από ασυμφωνία πρότασης

Ένα NEGOTIATION_FAILURE σε σήραγγα Cloud VPN με Cisco ASA στο άλλο άκρο είναι σχεδόν πάντα ασυμφωνία στην πρόταση ή στους επιλογείς, και το πρώτο χρήσιμο γεγονός είναι ότι καμία επεξεργασία δεν το διορθώνει. Το Cloud VPN καθηλώνει την πρόταση IKE όταν δημιουργείται το αντικείμενο της σήραγγας. Δεν υπάρχει πεδίο για αλλαγή αλγορίθμου επί τόπου, άρα η επισκευή είναι διαγραφή και νέα δημιουργία με καταγεγραμμένο σημείο εκκίνησης. Αντιμετωπίστε το ως επανακατασκευή και η δουλειά γίνεται λίστα ελέγχου αντί για ένα απόγευμα εικασιών.

Διαβάστε την αποτυχία πριν διαγράψετε οτιδήποτε

Η αποτυχία διαπραγμάτευσης είναι πρόβλημα φάσης, και το αρχείο καταγραφής του peer ονομάζει συνήθως τη φάση. Αποτυχία φάσης 1 σημαίνει ότι τα άκρα δεν συμφώνησαν σε πρόταση ή δεν μπόρεσαν να πιστοποιήσουν το ένα το άλλο. Αποτυχία φάσης 2 σημαίνει ότι η σήραγγα ανέβηκε και οι προστατευμένοι επιλογείς δεν ταίριαξαν. Είναι διαφορετικές επισκευές, και η γραμμή του αρχείου αξίζει να εξαχθεί πριν κάποιος αγγίξει μια διαμόρφωση.

Η αποτυχία αποκλείει και πράγματα. Δεν είναι διαδρομή VPC, δεν είναι κανόνας firewall στη διεπαφή της σήραγγας και δεν είναι βλάβη επίλυσης ονομάτων μέσα στο δίκτυο. Το κυνήγι τους παράγει σίγουρες αλλαγές που δεν μπορούν να αλλάξουν το αποτέλεσμα και κάνουν την τελική διόρθωση δυσκολότερο να αποδοθεί.

Καταγράψτε και τις δύο διαμορφώσεις όσο υπάρχουν ακόμη

Η διαγραφή μιας σήραγγας παίρνει μισό λεπτό και καταστρέφει το μόνο στοιχείο που είχατε. Πριν από αυτό, γράψτε τους τοπικούς και απομακρυσμένους επιλογείς, τη διεύθυνση του peer, ποιος κατέχει το κοινόχρηστο μυστικό και το crypto map ή το προφίλ IKEv2 του ASA. Το ASA απαντά σε δύο ξεχωριστές ερωτήσεις: τι είναι ρυθμισμένο και τι είναι ανεβασμένο τώρα:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Στην πλευρά της Google διαβάστε το αντικείμενο της σήραγγας και όχι τη σύνοψη της κονσόλας, γιατί η διεύθυνση του peer και τα πεδία επιλογέα είναι οι τιμές που πρέπει να αναπαράγετε ακριβώς:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Βάλτε αυτές τις τιμές στο εισιτήριο πριν από την πρώτη διαγραφή. Η επανακατασκευή παρακάτω λειτουργεί μόνο επειδή μπορείτε να δημιουργήσετε ξανά το ίδιο αντικείμενο με μία σκόπιμη διαφορά.

Οι αλγόριθμοι για τους οποίους η μία πλευρά αρνείται να διαπραγματευτεί

Το Cloud VPN δεν επιλέγει από μια γκάμα αλγορίθμων IKEv1 όπως ένας παραδοσιακός peer. Οι ρυθμίσεις peer που περιμένει είναι σταθερές: aes-cbc-128 για κρυπτογράφηση, sha1-96 για ακεραιότητα και PRF, ομάδα Diffie-Hellman 2, 36,600 δευτερόλεπτα για τη φάση 1 και 10,800 δευτερόλεπτα για τη φάση 2. Η πολιτική του ASA πρέπει να προσφέρει ακριβώς αυτό το σύνολο. Μια δεύτερη πρόταση στο ASA δεν βλάπτει, αρκεί να είναι και η αντίστοιχη στη λίστα.

Το IKEv2 δίνει περισσότερο χώρο και στις δύο πλευρές, αλλά οι κανόνες κρατούν το ίδιο σχήμα: ενεργοποιήστε PFS, επιλέξτε ομάδα DH που υποστηρίζει η σήραγγα και κρατήστε τη λίστα προτάσεων αρκετά σύντομη ώστε η ασυμφωνία να είναι προφανής. Ένας peer ASA στο Cloud VPN σημαίνει επίσης στατική δρομολόγηση, άρα τα προστατευμένα προθέματα πρέπει να σχεδιαστούν και να καταγραφούν αντί να αφεθούν στο BGP.

Η διάρκεια ζωής που αντιγράφεται από πρότυπο άλλου κατασκευαστή είναι η συνηθισμένη λάθος στροφή εδώ. Η Google δημοσιεύει αυτές τις τιμές ως απαιτούμενες ρυθμίσεις peer, άρα ορίστε τις· μια μικρότερη τιμή δεν διαπραγματεύεται προς τα πάνω μέχρι αυτό που θέλει το ASA.

Διαγράψτε, δημιουργήστε ξανά και καθαρίστε την παλιά κατάσταση

Διαγράψτε τη σήραγγα, όχι την πύλη, και σημειώστε το όνομα που δίνει το Cloud VPN στην αντικατάσταση, γιατί τα ονόματα εκχωρούνται και δεν επαναχρησιμοποιούνται. Δημιουργήστε την ξανά με τις καταγεγραμμένες τιμές και την ίδια διεύθυνση peer, και μετά προσθέστε την αντίστοιχη πρόταση στη λίστα πολιτικών του ASA.

Καθαρίστε τις ενώσεις ασφαλείας μετά την αλλαγή στο ASA και πριν διαβάσετε το αποτέλεσμα. Το ASA μπορεί να συνεχίσει να προσφέρει μια παρωχημένη πολιτική μέχρι να λήξει η τρέχουσα SA, άρα μια σωστή διαμόρφωση φαίνεται χαλασμένη για όλη τη διάρκεια της παλιάς ζωής, και ο παρατηρητής συμπεραίνει ότι η επανακατασκευή απέτυχε ενώ δεν είχε αρχίσει:

clear crypto ikev2 sa
clear crypto ipsec sa

Επιβεβαιώστε ότι η φάση 1 ανεβαίνει πριν κοιτάξετε τη φάση 2. Όσο η φάση 1 είναι κάτω, η πρόταση ή το προκοινόχρηστο κλειδί είναι λάθος και η δουλειά στους επιλογείς δεν θα το αλλάξει.

Οι επιλογείς κατοπτρίζονται, έπειτα αποφασίζουν οι μετρητές

Η φάση 2 λειτουργεί μόνο όταν τα δύο άκρα συμφωνούν για τις διευθύνσεις που προστατεύονται, και η συμφωνία είναι κατοπτρική και όχι κοινή. Ο τοπικός επιλογέας της Google πρέπει να ταιριάζει με τον επιλογέα που το ASA ονομάζει απομακρυσμένο, και ο απομακρυσμένος επιλογέας της Google με αυτό που το ASA ονομάζει τοπικό. Σήραγγα με 0.0.0.0/0 στη μία πλευρά και ένα μόνο υποδίκτυο στην άλλη περνά τη φάση 1 και μετά αποτυγχάνει στη φάση 2 με το ίδιο κύριο σφάλμα. Καμία πλευρά δεν μπορεί να διευρύνει τη λίστα της άλλης.

Για επιλογείς βασισμένους σε πολιτική, καταγράψτε κάθε ζεύγος προθεμάτων και κρατήστε τη λίστα στο εισιτήριο. Ένα υποδίκτυο που προστίθεται αργότερα στις εγκαταστάσεις απαιτεί αλλαγή και στα δύο άκρα, γιατί μια νέα διαδρομή στο ASA δεν διευρύνει επιλογέα, και το αποτέλεσμα είναι σήραγγα που είναι ανεβασμένη και περνά κίνηση μόνο για τα προθέματα που υπήρχαν την πρώτη μέρα.

Τελειώστε με μία ροή από host σε host και διαβάστε τους μετρητές byte και στις δύο πλευρές. Μετρητές που ανεβαίνουν στο ASA και μένουν σταθεροί στην Google συνήθως σημαίνουν ότι η απάντηση φεύγει από άλλη διεπαφή ή ότι ο επιλογέας δεν καλύπτει το πρόθεμα επιστροφής. Καταγράψτε τους αλγορίθμους, τις διάρκειες ζωής, τους επιλογείς και το νέο όνομα της σήραγγας, γιατί η επόμενη αλλαγή πρότασης επαναλαμβάνει αυτή την επανακατασκευή και αυτές οι τιμές τη μετατρέπουν σε σύντομη εργασία.