GCP HA VPN-ek FortiGate ukatzen du: tokiko ID mota ez dator bat
Google-k FortiGate batek aldarrikatzen duen identitatea alderatzen du, ez soilik aurrez partekatutako gakoa. FQDN motako tokiko ID batek huts egiten du egiaztapen horretan, erregistroak oraindik autentifikazioa dioen bitartean.
Google Cloud HA VPN-eko AUTHENTICATION_FAILED-ek jendea aurrez partekatutako gakora bidaltzen du normalean, eta gakoa zuzena izan ohi da. Tunela 1 fasean trabatzen da, Google-k beste zerbait ere alderatzen duelako: IKE trukean parekoak aldarrikatzen duen identitatea. FortiGate batean identitate horrek mota alda dezake inork helbiderik editatu gabe. Irakurri erregistroa identitate-desadostasun gisa gakoa bi aldiz berriro sartu ondoren.
Hutsegite bakarra, bi egiaztapen
IKE-k parekoa bi urrats bereizitan egiaztatzen du. Aurrez partekatutako gakoak frogatzen du bi muturrek sekretu bera dutela, eta aldarrikatutako identitateak erantzuleari esaten dio nortzat ematen duen parekoak. Google-k identitate hori konfiguratu zen parekoaren aurka egiaztatzen du. Bakarrik utzita, FortiGate batek irteerako interfazean oinarritutako helbide-identitatea bidaltzen du, eta konparazioa inork ohartu gabe igarotzen da.
Bi urratsak erregistroko ontzi berean amaitzen dira, eta horrek azaltzen du gakoa lau aldiz berridazteko begizta ezaguna, inork identitate-karga irakurri aurretik.
Zer jartzen du FortiGate batek identitate-kargan
Arazoa orduan hasten da, norbaitek tokiko ID bat ezartzen duenean bi aldeak bat etor daitezen. FortiOS bertsio berriek identitate hori domeinu-izen erabat kualifikatu gisa markatzen dute, idatzitako balioa puntudun helbidea izan arren. Beraz, Google-k FQDN identitatea jasotzen du helbidea espero duen bitartean, eta saioa ukatzen du. Mezuak ez du esaten zein erdik huts egin duen, beraz txostena autentifikazio-hutsegite gisa irakurtzen da.
Erreproduzitu behin IKE arazketa gaituta eta irakurri suebakiak benetan igortzen duen identitate-karga.
Pasada berean, egiaztatu hiru datu merke: bi muturrek erabiltzen duten IKE bertsioa, gako zehatza amaierako karaktere ikusezinak barne, eta Google-k espero duen parekoaren helbidea. Galdera desberdinei erantzuten diete, eta bat datorren gakoak ez du ezer esaten identitateari buruz.
Aukerak, eta zenbat kostatzen duen bakoitzak
Irteera bakoitzak geruza desberdin bat konpontzen du, eta bat ere ez dago eskuragarri inplementazio guztientzat.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Suebakiaren identitatea zuzentzea da erantzunik garbiena firmwareak mota aukeratzen eta balioa mantentzen uzten dizunean. Eremua bertsio batzuetan badago eta besteetan mota gaizki betetzen du, beraz probatu zure bertsioa, argitaratze-oharretan fidatu beharrean.
Negoziazio-interfazean bideragarria den helbide publikoa da dokumentatutako irtenbidea, orduan identitate lehenetsiak Google-k espero duenarekin bat egiten duelako eta ez delako inolako gainidazketarik behar. Han amaitzen dira inplementazio gehienak, suebakiak halako helbidea eusteko gai bada behintzat.
Zuk sortzen duzuna baliozkotzen duen pareko batean amaitzea topologia-aldaketa da. Diseinu-erabaki gisa hartu, eta ez deskribapen atseginagoa duen irtenbide gisa.
NAT-ek aukera bat kentzen duenean
NAT atzean helbide publikoaren irteera desagertzen da, eta geratzen dena kontrolatzen ez duzun firmware-jokabidearen mende dago. Hori da deliberatuki aukeratzeko unea: bertsioa igotzea, parekoa lekuz aldatzea edo beste hodei-mutur puntu bat onartzea. Hiru aurrekontu desberdin dira, eta bat ustekabean aukeratzeak bihurtzen du behin-behineko irtenbidea arkitektura. Idatzi aukera eta haren arrazoia tunelaren ondoan.
Hauetako ezer interpretatu aurretik, egiaztatu tunelaren egoera Google aldean eta IKE ez dela bidean besterik gabe botatzen. Botatako paketea iraungitzen da; ez du ukatzerik sortzen.
Zer erregistratu funtzionatzen duen bitartean
Idatzi identitate-mota, haren balioa, firmware bertsioa eta parekoaren helbidea, tunela azken aldiz altxatu zirenean indarrean zeudenak. Firmware eguneraketak lehenetsia berriro alda dezake, eta hurrengo hutsegitea gako-desadostasun baten itxura zehatza izango du. Identitatea gakoaren eta parekoaren helbidearen ondoan gordeta, hurrengo pertsonak egiaztapen merkeetatik hasten da.
Erregistro hori da, halaber, hurrengo eguneraketaren ondoren irtenbidea oraindik behar den jakiteko modu bakarra.