Cloud VPN al Cisco ASA: rekonstruo post malkongruo de propono

Cloud VPN enigas la proponon en la tunelan objekton, do malkongruo kun la ASA signifas rekonstruon. Notu la selektilojn, kongruigu ambaŭ fazojn, forigu malnovajn SA.

NEGOTIATION_FAILURE sur Cloud VPN-tunelo kun Cisco ASA ĉe la alia fino preskaŭ ĉiam estas malkongruo de propono aŭ de selektiloj, kaj la unua utila fakto estas, ke neniu redakto ĝin riparos. Cloud VPN fiksas la IKE-proponon kiam la tunela objekto kreiĝas. Ne ekzistas kampo por ŝanĝi algoritmon surloke, do la riparo estas forigo kaj rekreado kun notita komenca punkto. Traktu ĝin kiel rekonstruon kaj la laboro fariĝas kontrol-listo anstataŭ posttagmezo da konjektado.

Legu la malsukceson antaŭ ol forigi ion ajn

Malsukceso de intertraktado estas problemo pri fazo, kaj la protokolo de la kunulo kutime nomas la fazon. Malsukceso de fazo 1 signifas, ke la finoj ne povis interkonsenti pri propono aŭ ne povis aŭtentikigi unu la alian. Malsukceso de fazo 2 signifas, ke la tunelo leviĝis kaj la protektitaj selektiloj ne kongruis. Tiuj estas malsamaj riparoj, kaj indas elitri la linion de la protokolo antaŭ ol iu tuŝos agordon.

La malsukceso ankaŭ ekskludas aferojn. Ĝi ne estas VPC-itinero, ne fajroŝirma regulo sur la tunela interfaco kaj ne difekto de nomrezolucio ene de la reto. Postkuri tiujn produktas memfidajn ŝanĝojn, kiuj ne povas ŝanĝi la rezulton, kaj ili malfaciligas atribui la finan riparon.

Kaptu ambaŭ agordojn dum ili ankoraŭ ekzistas

Forigi tunelon daŭras duonminuton kaj detruas la solan pruvon, kiun vi havis. Antaŭe skribu la lokajn kaj malproksimajn selektilojn, la adreson de la kunulo, kiu posedas la komunan sekreton, kaj la crypto map aŭ IKEv2-profilo de la ASA. La ASA respondas al du apartaj demandoj: kio estas agordita kaj kio nun funkcias:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Ĉe la flanko de Google legu la tunelan objekton anstataŭ la resumon de la konzolo, ĉar la adreso de la kunulo kaj la kampoj de selektiloj estas la valoroj, kiujn vi devas reprodukti precize:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Metu tiujn valorojn en la bileton antaŭ la unua forigo. La rekonstruo sube funkcias nur ĉar vi povas rekrei la saman objekton kun unu intenca diferenco.

La algoritmoj pri kiuj unu flanko rifuzas intertrakti

Cloud VPN ne elektas el gamo da IKEv1-algoritmoj kiel tradicia kunulo. La kunulaj agordoj, kiujn ĝi atendas, estas fiksaj: aes-cbc-128 por ĉifrado, sha1-96 por integreco kaj PRF, grupo Diffie-Hellman 2, 36,600 sekundoj por fazo 1 kaj 10,800 sekundoj por fazo 2. La politiko de la ASA devas proponi ĝuste tiun aron. Dua propono ĉe la ASA ne malutilas, se ankaŭ la kongrua estas en la listo.

IKEv2 donas al ambaŭ flankoj pli da spaco, sed la reguloj konservas la saman formon: ŝaltu PFS, elektu grupon DH kiun la tunelo subtenas kaj tenu la liston de proponoj sufiĉe mallonga por ke malkongruo estu evidenta. Kunulo ASA ĉe Cloud VPN ankaŭ signifas statikan enkursigadon, do la protektitaj prefiksoj devas esti planitaj kaj listigitaj anstataŭ lasitaj al BGP.

Vivdaŭro kopiita el ŝablono de alia vendisto estas la kutima malĝusta turno ĉi tie. Google publikigas tiujn valorojn kiel postulatajn kunulajn agordojn, do agordu ilin; pli mallonga valoro ne estas intertraktata supren ĝis tio, kion la ASA volas.

Forigu, rekrei kaj purigu la malnovan staton

Forigu la tunelon, ne la enirejon, kaj notu la nomon, kiun Cloud VPN donas al la anstataŭaĵo, ĉar nomoj estas atribuitaj kaj ne reuzataj. Rekreu ĝin kun la notitaj valoroj kaj la sama kunula adreso, poste aldonu la kongruan proponon al la politika listo de la ASA.

Purigu la sekurecajn asociojn post la ŝanĝo ĉe la ASA kaj antaŭ ol legi la rezulton. ASA povas daŭrigi proponi eksvalidiĝintan politikon ĝis la nuna SA finiĝos, do ĝusta agordo aspektas rompita dum la tuta malnova vivdaŭro kaj la observanto konkludas, ke la rekonstruo malsukcesis, kvankam ĝi ankoraŭ ne komenciĝis:

clear crypto ikev2 sa
clear crypto ipsec sa

Konfirmu, ke fazo 1 leviĝas antaŭ ol rigardi fazon 2. Dum fazo 1 estas malsupre, la propono aŭ la antaŭe dividita ŝlosilo estas malĝusta kaj laboro pri selektiloj tion ne ŝanĝos.

Selektiloj speguliĝas, poste decidas la nombriloj

Fazo 2 funkcias nur kiam ambaŭ finoj konsentas pri la protektataj adresoj, kaj la interkonsento estas spegula, ne komuna. La loka selektilo de Google devas kongrui kun la selektilo, kiun la ASA nomas malproksima, kaj la malproksima selektilo de Google kun tio, kion la ASA nomas loka. Tunelo kun 0.0.0.0/0 ĉe unu flanko kaj unu sola subreto ĉe la alia trapasas fazon 1 kaj poste malsukcesas ĉe fazo 2 kun la sama ĉefa eraro. Neniu flanko povas larĝigi la liston de la alia.

Por politik-bazitaj selektiloj listigu ĉiun prefiksan paron kaj tenu la liston en la bileto. Subreto aldonita poste surloke bezonas redakton ĉe ambaŭ finoj, ĉar nova itinero ĉe la ASA ne larĝigas selektilon, kaj la rezulto estas tunelo, kiu estas levita kaj pasigas trafikon nur por la prefiksoj, kiuj ekzistis en la unua tago.

Finu per unu fluo de gastiganto al gastiganto kaj legu la bajtajn nombrilojn ĉe ambaŭ flankoj. Nombriloj, kiuj altiĝas ĉe la ASA dum ili restas ebenaj ĉe Google, kutime signifas, ke la respondo eliras tra alia interfaco aŭ ke la selektilo ne kovras la revenan prefikson. Notu la algoritmojn, la vivdaŭrojn, la selektilojn kaj la novan tunelan nomon, ĉar la sekva propona ŝanĝo ripetas tiun rekonstruon kaj tiuj valoroj igas ĝin mallonga tasko.

Rilataj artikoloj