Cloud VPN ja Cisco ASA: uuesti ülesehitamine ettepaneku lahknevuse järel

Cloud VPN kinnistab ettepaneku tunneliojekti sisse, seega lahknevus ASA-ga tähendab uuesti ülesehitamist. Kirjuta selektorid üles, sobita mõlemad faasid, kustuta vanad SA-d.

NEGOTIATION_FAILURE Cloud VPN tunnelis, mille teises otsas on Cisco ASA, on peaaegu alati ettepaneku või selektorite lahknevus, ja esimene kasulik tõsiasi on see, et ükski muudatus seda ei paranda. Cloud VPN fikseerib IKE ettepaneku tunneliojekti loomise hetkel. Algoritmi kohapeal muutmiseks välja ei ole, seega on parandus kustutamine ja uuesti loomine koos kirja pandud alguspunktiga. Käsitle seda ülesehitamisena ja tööst saab kontrollnimekiri, mitte oletusi täis pärastlõuna.

Loe tõrget enne, kui midagi kustutad

Läbirääkimiste tõrge on faasi probleem ja partneri logi nimetab tavaliselt faasi. Faasi 1 tõrge tähendab, et otsad ei jõudnud ettepanekus kokkuleppele või ei suutnud üksteist autentida. Faasi 2 tõrge tähendab, et tunnel tuli üles ja kaitstud selektorid ei klappinud. Need on erinevad parandused ja logirida tasub välja võtta enne, kui keegi konfiguratsiooni puutub.

Tõrge välistab ka asju. See ei ole VPC marsruut, mitte tulemüüri reegel tunneliliidesel ja mitte nimelahenduse viga võrgu sees. Nende taga ajamine annab enesekindlaid muudatusi, mis ei saa tulemust muuta, ja muudab lõpliku paranduse omistamise raskemaks.

Jäädvusta mõlemad konfiguratsioonid, kuni need veel olemas on

Tunneli kustutamine võtab pool minutit ja hävitab ainsa tõendi, mis sul oli. Enne seda kirjuta üles kohalikud ja kaugselektorid, partneri aadress, kellele kuulub ühine saladus ning ASA crypto map või IKEv2 profiil. ASA vastab kahele eraldi küsimusele: mis on konfigureeritud ja mis on praegu üleval:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google'i poolel loe tunneliojekti, mitte konsooli kokkuvõtet, sest partneri aadress ja selektori väljad on väärtused, mida pead täpselt taasesitama:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Pane need väärtused piletile enne esimest kustutamist. Allpool kirjeldatud ülesehitamine toimib ainult seetõttu, et saad sama objekti uuesti luua ühe teadliku erinevusega.

Algoritmid, millest üks pool keeldub läbi rääkimast

Cloud VPN ei vali IKEv1 algoritmide hulgast nagu tavaline partner. Partneri sätted, mida see ootab, on fikseeritud: aes-cbc-128 krüpteerimiseks, sha1-96 nii tervikluse kui PRF jaoks, Diffie-Hellmani grupp 2, faasi 1 jaoks 36,600 sekundit ja faasi 2 jaoks 10,800 sekundit. ASA poliitika peab pakkuma täpselt seda kogumit. Teine ettepanek ASA-s ei tee kahju, kui sobiv on samuti nimekirjas.

IKEv2 annab mõlemale poolele rohkem ruumi, aga reeglid säilitavad sama kuju: luba PFS, vali DH grupp, mida tunnel toetab, ja hoia ettepanekute nimekiri piisavalt lühike, et lahknevus oleks ilmne. ASA partner Cloud VPN-is tähendab ka staatilist marsruutimist, seega tuleb kaitstud prefiksid planeerida ja üles lugeda, mitte jätta BGP hooleks.

Teise tootja mallist kopeeritud eluiga on siin tavaline vale pööre. Google avaldab need väärtused nõutavate partneri sätetena, seega pane need paika; lühem väärtus ei räägita üles selleks, mida ASA tahab.

Kustuta, loo uuesti ja puhasta vana olek

Kustuta tunnel, mitte lüüs, ja pane kirja nimi, mille Cloud VPN asendajale annab, sest nimed antakse, mitte ei kasutata uuesti. Loo see uuesti kirjapandud väärtuste ja sama partneri aadressiga, seejärel lisa sobiv ettepanek ASA poliitika nimekirja.

Puhasta turvaassotsiatsioonid pärast ASA muudatust ja enne tulemuse lugemist. ASA võib pakkuda vananenud poliitikat seni, kuni praegune SA aegub, seega näeb õige konfiguratsioon katkine kogu vana eluea vältel ja vaatleja järeldab, et ülesehitamine ebaõnnestus, kuigi see polnud veel alanud:

clear crypto ikev2 sa
clear crypto ipsec sa

Kinnita, et faas 1 tuleb üles, enne kui vaatad faasi 2. Kuni faas 1 on maas, on ettepanek või eeljagatud võti vale ja selektorite töö ei muuda seda.

Selektorid peegelduvad, siis otsustavad loendurid

Faas 2 toimib ainult siis, kui mõlemad otsad on kaitstavate aadresside osas ühel meelel, ja kokkulepe on peegelpildis, mitte ühine. Google'i kohalik selektor peab klappima selektoriga, mida ASA nimetab kaugseks, ja Google'i kaugselektor sellega, mida ASA nimetab kohalikuks. Tunnel, mille ühel poolel on 0.0.0.0/0 ja teisel üks alavõrk, läbib faasi 1 ja kukub seejärel faasis 2 sama pealkirjaviga. Kumbki pool ei saa teise nimekirja laiendada.

Poliitikal põhinevate selektorite puhul loetle iga prefiksipaar ja hoia nimekirja piletis. Hiljem kohapeal lisatud alavõrk nõuab muudatust mõlemas otsas, sest uus marsruut ASA-s ei laienda selektorit, ja tulemuseks on tunnel, mis on üleval ja laseb liiklust läbi ainult nende prefiksite jaoks, mis olid esimesel päeval.

Lõpeta ühe hostist hosti vooga ja loe baidiloendureid mõlemal poolel. Loendurid, mis ASA-s kasvavad ja Google'is paigal püsivad, tähendavad tavaliselt, et vastus väljub teise liidese kaudu või et selektor ei kata tagasiprefiksit. Pane kirja algoritmid, eluead, selektorid ja uus tunneli nimi, sest järgmine ettepaneku muudatus kordab seda ülesehitamist ja need väärtused muudavad selle lühikeseks tööks.

Seotud artiklid