GCP HA VPN απορρίπτει το FortiGate: αναντιστοιχία τύπου τοπικού ID
Το Google συγκρίνει την ταυτότητα που δηλώνει ένα FortiGate, όχι μόνο το προ-κοινόχρηστο κλειδί. Ένα τοπικό ID τύπου FQDN αποτυγχάνει σε αυτόν τον έλεγχο, ενώ το αρχείο καταγραφής λέει ακόμη πιστοποίηση.
Το AUTHENTICATION_FAILED από το Google Cloud HA VPN συνήθως στέλνει τους ανθρώπους πίσω στο προ-κοινόχρηστο κλειδί, και το κλειδί είναι συνήθως σωστό. Η σήραγγα κολλάει στη φάση 1 επειδή το Google συγκρίνει και κάτι άλλο: την ταυτότητα που δηλώνει ο ομότιμος κατά την ανταλλαγή IKE. Σε ένα FortiGate αυτή η ταυτότητα μπορεί να αλλάξει τύπο χωρίς να επεξεργαστεί κανείς διεύθυνση. Διαβάστε το αρχείο καταγραφής ως αναντιστοιχία ταυτότητας μόλις το κλειδί εισαχθεί ξανά δύο φορές.
Μία αποτυχία, δύο έλεγχοι
Το IKE επαληθεύει έναν ομότιμο σε δύο ξεχωριστά βήματα. Το προ-κοινόχρηστο κλειδί αποδεικνύει ότι και τα δύο άκρα κατέχουν το ίδιο μυστικό, και μια δηλωμένη ταυτότητα λέει στον αποκρινόμενο ποιος ισχυρίζεται ότι είναι ο ομότιμος. Το Google ελέγχει αυτή την ταυτότητα απέναντι στον ομότιμο με τον οποίο ρυθμίστηκε. Αν αφεθεί μόνο του, ένα FortiGate στέλνει ταυτότητα βασισμένη σε διεύθυνση που προκύπτει από τη διεπαφή εξόδου του, και η σύγκριση περνά χωρίς να το αντιληφθεί κανείς.
Και τα δύο βήματα καταλήγουν στον ίδιο κάδο του αρχείου καταγραφής, κάτι που εξηγεί τον γνωστό κύκλο επανάληψης του κλειδιού τέσσερις φορές πριν διαβάσει κανείς το ωφέλιμο φορτίο της ταυτότητας.
Τι βάζει ένα FortiGate στο ωφέλιμο φορτίο ταυτότητας
Το πρόβλημα αρχίζει όταν κάποιος ορίζει ένα τοπικό ID ώστε να συμφωνήσουν οι δύο πλευρές. Οι πρόσφατες εκδόσεις FortiOS χαρακτηρίζουν αυτή την ταυτότητα ως πλήρως καταρτισμένο όνομα τομέα ακόμη και όταν η τιμή που πληκτρολογήθηκε είναι διεύθυνση με τελείες. Το Google επομένως λαμβάνει ταυτότητα FQDN ενώ περιμένει διεύθυνση, και απορρίπτει τη συνεδρία. Τίποτα στο μήνυμα δεν λέει ποιο μισό απέτυχε, οπότε η αναφορά διαβάζεται ως αποτυχία πιστοποίησης.
Αναπαράγετε το μία φορά με ενεργοποιημένη την αποσφαλμάτωση IKE και διαβάστε το ωφέλιμο φορτίο ταυτότητας που εκπέμπει πραγματικά το τείχος προστασίας.
Στην ίδια διαδρομή, επιβεβαιώστε τρία φθηνά γεγονότα: την έκδοση IKE που χρησιμοποιούν και τα δύο άκρα, το ακριβές κλειδί μαζί με αόρατους τελικούς χαρακτήρες, και τη διεύθυνση ομοτίμου που περιμένει το Google. Απαντούν σε διαφορετικά ερωτήματα, και ένα κλειδί που ταιριάζει δεν λέει τίποτα για την ταυτότητα.
Επιλογές και τι κοστίζει η καθεμία
Κάθε διέξοδος διορθώνει διαφορετικό επίπεδο, και καμία δεν είναι διαθέσιμη σε κάθε εγκατάσταση.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Η διόρθωση της ταυτότητας στο τείχος προστασίας είναι η καθαρότερη απάντηση όπου το firmware σας αφήνει να επιλέξετε τον τύπο και να κρατήσετε την τιμή. Το πεδίο υπάρχει σε μερικές εκδόσεις και συμπληρώνει λάθος τον τύπο σε άλλες, οπότε δοκιμάστε τη δική σας έκδοση αντί να εμπιστεύεστε τις σημειώσεις έκδοσης.
Μια δρομολογήσιμη δημόσια διεύθυνση στη διεπαφή διαπραγμάτευσης είναι η τεκμηριωμένη λύση, επειδή τότε η προεπιλεγμένη ταυτότητα ταιριάζει με αυτό που περιμένει το Google και δεν απαιτείται παράκαμψη. Εκεί καταλήγουν οι περισσότερες εγκαταστάσεις, αν το τείχος προστασίας μπορεί καθόλου να κρατήσει τέτοια διεύθυνση.
Ο τερματισμός σε έναν ομότιμο που επικυρώνει αυτό που παράγετε είναι αλλαγή τοπολογίας. Αντιμετωπίστε το ως σχεδιαστική απόφαση και όχι ως λύση με φιλικότερη περιγραφή.
Όταν το NAT αφαιρεί μία επιλογή
Πίσω από NAT η διέξοδος μέσω δημόσιας διεύθυνσης εξαφανίζεται, και ό,τι απομένει εξαρτάται από συμπεριφορά firmware που δεν ελέγχετε. Αυτό είναι το σημείο για συνειδητή επιλογή ανάμεσα σε αναβάθμιση, μετακίνηση του ομοτίμου ή αποδοχή διαφορετικού τελικού σημείου cloud. Αυτοί είναι τρεις διαφορετικοί προϋπολογισμοί, και το να διαλέξετε έναν κατά λάθος είναι το πώς μια προσωρινή λύση γίνεται αρχιτεκτονική. Γράψτε την επιλογή και τον λόγο της δίπλα στη σήραγγα.
Πριν ερμηνεύσετε οτιδήποτε από αυτά, επιβεβαιώστε την κατάσταση της σήραγγας στην πλευρά του Google και ότι το IKE δεν απορρίπτεται απλώς στην πορεία. Ένα πακέτο που απορρίπτεται λήγει· δεν παράγει άρνηση.
Τι να καταγράψετε όσο λειτουργεί
Σημειώστε τον τύπο ταυτότητας, την τιμή της, την έκδοση firmware και τη διεύθυνση ομοτίμου που ίσχυαν όταν η σήραγγα ανέβηκε τελευταία φορά. Μια ενημέρωση firmware μπορεί να αλλάξει ξανά την προεπιλογή, και η επόμενη αποτυχία θα μοιάζει ακριβώς με αναντιστοιχία κλειδιού. Με την ταυτότητα αποθηκευμένη δίπλα στο κλειδί και τη διεύθυνση ομοτίμου, το επόμενο άτομο ξεκινά από τους φθηνούς ελέγχους.
Αυτή η καταγραφή είναι επίσης ο μόνος τρόπος να ξέρετε αν χρειάζεται ακόμη λύση μετά την επόμενη αναβάθμιση.