Cloud VPN Cisco ASA-ra: berreraiki proposamenaren desadostasunaren ondoren

Cisco ASA beste aldean duen Cloud VPN tunel batean NEGOTIATION_FAILURE ia beti proposamenaren edo hautatzaileen desadostasuna da, eta lehen datu erabilgarria da edizio batek ere ez duela konponduko. Cloud VPN-k IKE proposamena finkatzen du tunelaren objektua sortzean. Ez dago algoritmoa tokian bertan aldatzeko eremurik, beraz konponketa ezabatu eta berriro sortzea da, abiapuntu bat erregistratuta. Berreraikuntza gisa hartuta, lana arratsalde bateko susmoen ordez kontrol-zerrenda bihurtzen da.

Irakurri hutsegitea ezer ezabatu aurretik

Negoziazio-hutsegitea fase-arazoa da, eta parearen erregistroak fasea izendatu ohi du. 1. faseak huts egiteak esan nahi du muturrek ez zutela proposamenik adostu edo ezin zutela elkar autentifikatu. 2. faseak huts egiteak esan nahi du tunela altxatu zela eta hautatzaile babestuak ez zetozela bat. Konponketa desberdinak dira, eta merezi du erregistroaren lerroa ateratzea norbaitek konfigurazioari heldu aurretik.

Hutsegiteak gauzak baztertzen ditu. Ez da VPC bide bat, ez da firewall arau bat tunelaren interfazean, eta ez da sarearen barruko izen-ebazpen hutsegite bat. Horien atzetik ibiltzeak emaitza alda ez dezaketen aldaketa seguruak sortzen ditu, eta azken konponketa egoztea zailtzen du.

Hartu bi konfigurazioak oraindik existitzen diren bitartean

Tunel bat ezabatzeak minutu erdi bat hartzen du eta zenuen froga bakarra suntsitzen du. Hori baino lehen, idatzi hautatzaile lokal eta urrunak, parearen helbidea, nork duen sekretu partekatua, eta ASA-ren crypto map edo IKEv2 profila. ASA-k bi galdera desberdini erantzuten die: zer dago konfiguratuta eta zer dago gora orain:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google aldean, irakurri tunelaren objektua kontsolaren laburpenaren ordez, parearen helbidea eta hautatzailearen eremuak zehazki erreproduzitu behar dituzun balioak baitira:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Sartu balio horiek tiket-ean lehen ezabaketa baino lehen. Beheko berreraikuntzak bakarrik funtzionatzen du objektu bera desberdintasun nahita batekin berriro sor dezakezulako.

Alde batek negoziatzeari uko egiten dion algoritmoak

Cloud VPN-k ez du IKEv1 algoritmo sorta batetik hautatzen pare tradizional batek bezala. Espero dituen pare-ezarpenak finkoak dira: aes-cbc-128 zifratzeko, sha1-96 bai osotasunerako bai PRF-rako, Diffie-Hellman 2. taldea, 36,600 segundo 1. faserako eta 10,800 segundo 2. faserako. ASA politikak multzo zehatz hori eskaini behar du. ASA-n bigarren proposamen batek ez du kalterik egiten, bat datorrena ere zerrendan badago.

IKEv2-k bi aldeei tarte handiagoa ematen die, baina arauak forma berean mantentzen dira: aktibatu PFS, aukeratu tunelak onartzen duen DH talde bat, eta mantendu proposamen-zerrenda nahikoa labur desadostasuna begi-bistakoa izan dadin. Cloud VPN-n ASA pare batek bideratze estatikoa ere esan nahi du, beraz prefijo babestuak planifikatu eta zerrendatu behar dira, BGP-ri utzi beharrean.

Beste hornitzaile baten txantiloitik kopiatutako bizitza-denbora da hemen ohiko norabide okerra. Google-k balio horiek pare-ezarpen derrigorrezko gisa argitaratzen ditu, beraz jarri itzazu; balio laburragoa ez da gora negoziatzen ASA-k nahi duen arte.

Ezabatu, berriro sortu eta garbitu egoera zaharra

Ezabatu tunela, ez atebidea, eta idatzi Cloud VPN-k ordezkoari ematen dion izena, izenak esleitzen baitira eta ez baitira berrerabiltzen. Sortu berriro erregistratutako balioekin eta parearen helbide berarekin, eta gero gehitu bat datorren proposamena ASA politikaren zerrendara.

Garbitu segurtasun-elkarteak ASA aldaketaren ondoren eta emaitza irakurri aurretik. ASA-k politika zaharkitua eskaintzen jarrai dezake uneko SA iraungi arte, beraz konfigurazio zuzena hautsita ematen du bizitza-denbora zahar osoan, eta behatzaileak berreraikuntza huts egin zuela ondorioztatzen du hasi ere egin ez zenean:

clear crypto ikev2 sa
clear crypto ipsec sa

Egiaztatu 1. fasea altxatzen dela 2. faseari begiratu aurretik. 1. fasea behera dagoen bitartean, proposamena edo aldez aurretik partekatutako gakoa okerra da, eta hautatzaileen lanak ez du hori aldatuko.

Hautatzaileak islatu egiten dira, gero kontagailuek erabakitzen dute

2. faseak soilik funtzionatzen du bi muturrek babestutako helbideetan bat egiten dutenean, eta adostasuna ispilua da, ez partekatua. Google-ren hautatzaile lokalak ASA-k urruntzat deitzen duen hautatzailearekin bat etorri behar du, eta Google-ren hautatzaile urrunak ASA-k lokaltzat deitzen duenarekin. Alde batean 0.0.0.0/0 eta bestean azpisare bakarra dituen tunel batek 1. fasea gainditzen du eta gero 2. fasean huts egiten du titular berbereko errorearekin. Inongo aldek ezin du bestearen zerrenda zabaldu.

Politikan oinarritutako hautatzaileetarako, zerrendatu prefijo-bikote bakoitza eta gorde zerrenda tiket-ean. Geroago egoitzan gehitutako azpisare batek bi muturretan edizioa behar du, ASA-n bide berri batek ez baitu hautatzaile bat zabaltzen, eta emaitza gora dagoen eta lehen egunean zeuden prefijoetarako soilik trafikoa pasatzen duen tunel bat da.

Amaitu hostetik hosterako fluxu batekin eta irakurri byte kontagailuak bi aldeetan. ASA-n igotzen eta Google-n lau geratzen diren kontagailuek esan ohi dute erantzuna beste interfaze batetik ateratzen dela, edo hautatzaileak ez duela itzulera-prefijoa estaltzen. Idatzi algoritmoak, bizitza-denborak, hautatzaileak eta tunelaren izen berria, hurrengo proposamen-aldaketak berreraikuntza hau errepikatzen baitu eta balio horiek lan labur bihurtzen dute.