GCP HA VPN lükkab FortiGate’i tagasi: kohaliku ID tüüp ei klapi
Google võrdleb identiteeti, mida FortiGate väidab, mitte ainult eelnevalt jagatud võtit. FQDN-tüüpi kohalik ID ei läbi seda kontrolli, samal ajal kui logi ütleb endiselt autentimine.
Google Cloud HA VPN-i AUTHENTICATION_FAILED saadab inimesed tavaliselt tagasi eelnevalt jagatud võtme juurde ja võti on tavaliselt õige. Tunnel takerdub faasi 1, sest Google võrdleb ka midagi muud: identiteeti, mida partner IKE-vahetuse ajal väidab. FortiGate’il võib see identiteet tüüpi muuta, ilma et keegi aadressi muudaks. Lugege logi identiteedi lahknevusena, kui võti on teist korda uuesti sisestatud.
Üks tõrge, kaks kontrolli
IKE kontrollib partnerit kahes eraldi sammus. Eelnevalt jagatud võti tõestab, et mõlemal poolel on sama saladus, ja väidetud identiteet ütleb vastajale, kelleks partner end väidab. Google kontrollib seda identiteeti partneri vastu, kellega see konfigureeriti. Omaette jäetuna saadab FortiGate aadressipõhise identiteedi, mis on tuletatud selle väljuvast liidesest, ja võrdlus läbib märkamatult.
Mõlemad sammud maanduvad logis samasse ämbrisse, mis selgitab tuttavat tsüklit, kus võtit trükitakse neli korda uuesti enne, kui keegi identiteedi kandevõrgu loeb.
Mida FortiGate identiteedi kandevõrku paneb
Häda algab siis, kui keegi määrab kohaliku ID et kaks poolt kokku lepiksid. Viimased FortiOS-i versioonid märgivad selle identiteedi täielikult kvalifitseeritud domeeninimeks isegi siis, kui sisestatud väärtus on punktidega aadress. Google saab seega FQDN-identiteedi, samal ajal kui ootab aadressi, ja keeldub sessioonist. Sõnumis ei öelda, kumb pool ebaõnnestus, seega loetakse aruannet autentimistõrkena.
Reprodutseerige seda üks kord IKE-silumisega ja lugege identiteedi kandevõrku, mida tulemüür tegelikult väljastab.
Samas käigus kinnitage kolm odavat fakti: mõlema poole IKE-versioon, täpne võti koos nähtamatute lõpumärkidega ja partneri aadress, mida Google ootab. Need vastavad eri küsimustele ja sobiv võti ei ütle identiteedi kohta midagi.
Valikud ja mida igaüks maksab
Iga väljapääs parandab erinevat kihti ja ükski neist ei ole saadaval kõigile juurutustele.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Identiteedi parandamine tulemüüril on puhtaim vastus seal, kus püsivara laseb tüübi valida ja väärtuse alles hoida. Väli on mõnes versioonis olemas ja teistes täidab tüübi valesti, seega testige oma versiooni, selle asemel et usaldada väljalaskemärkmeid.
Marsruuditav avalik aadress läbirääkival liidesel on dokumenteeritud möörahu, sest siis vastab vaikeidentiteet sellele, mida Google ootab, ja ülekirjutust pole vaja. Sinna jõuab enamik juurutusi, kui tulemüür üldse sellist aadressi hoida suudab.
Lõpetamine partneril, kes valideerib seda, mida te toodate, on topoloogia muudatus. Käsitlege seda disainiotsusena, mitte sõbralikuma kirjeldusega möörahuna.
Kui NAT ühe valiku eemaldab
NAT-i taga kaob avaliku aadressi väljapääs ja allesjääv sõltub püsivara käitumisest, mida te ei kontrolli. See on koht, kus valida teadlikult täiendamise, partneri ümberpaigutamise või teise pilve lõpp-punkti aktsepteerimise vahel. Need on kolm erinevat eelarvet ja ühe juhuslik valimine on viis, kuidas ajutine möörahu saab arhitektuuriks. Kirjutage valik ja selle põhjus tunneli kõrvale.
Enne kui midagi sellest tõlgendate, kinnitage tunneli olek Google’i poolel ja et IKE-i ei lihtsalt visata teel ära. Äravisatud pakett aegub; see ei tekita keeldumist.
Mida töötamise ajal üles märkida
Märkige üles identiteedi tüüp, selle väärtus, püsivara versioon ja partneri aadress, mis kehtisid, kui tunnel viimati üles tuli. Püsivara uuendus võib vaikeväärtust jälle muuta ja järgmine tõrge näeb täpselt välja nagu võtme lahknevus. Kui identiteet on salvestatud võtme ja partneri aadressi kõrvale, alustab järgmine inimene odavatest kontrollidest.
See kirje on ka ainus viis teada, kas möörahu on pärast järgmist uuendust veel vaja.