Cloud VPN ja Cisco ASA: uudelleenrakennus ehdotuksen poikettua

NEGOTIATION_FAILURE Cloud VPN -tunnelissa, jonka toisessa päässä on Cisco ASA, on lähes aina ehdotuksen tai valitsimien eroavuus, ja ensimmäinen hyödyllinen tosiasia on, ettei mikään muokkaus korjaa sitä. Cloud VPN kiinnittää IKE-ehdotuksen, kun tunneliolio luodaan. Kenttää algoritmin vaihtamiseen paikan päällä ei ole, joten korjaus on poisto ja uudelleenluonti kirjatulla aloituspisteellä. Käsittele sitä uudelleenrakennuksena, niin työstä tulee tarkistuslista eikä arvailun täyteinen iltapäivä.

Lue vika ennen kuin poistat mitään

Neuvotteluvika on vaiheongelma, ja vastapuolen loki nimeää yleensä vaiheen. Vaiheen 1 vika tarkoittaa, etteivät päät päässeet sopuun ehdotuksesta tai eivät voineet todentaa toisiaan. Vaiheen 2 vika tarkoittaa, että tunneli nousi ja suojatut valitsimet eivät täsmänneet. Ne ovat eri korjauksia, ja lokirivi kannattaa poimia ennen kuin kukaan koskee konfiguraatioon.

Vika sulkee myös asioita pois. Se ei ole VPC-reitti, ei tunnelin rajapinnan palomuurisääntö eikä verkon sisäinen nimien selvitysvika. Niiden perässä juokseminen tuottaa varmoja muutoksia, jotka eivät voi muuttaa lopputulosta, ja ne vaikeuttavat lopullisen korjauksen kohdistamista.

Tallenna molemmat konfiguraatiot, kun ne vielä ovat olemassa

Tunnelin poistaminen kestää puoli minuuttia ja tuhoaa ainoan todisteen, joka sinulla oli. Kirjaa sitä ennen paikalliset ja etävalitsimet, vastapuolen osoite, kuka omistaa jaetun salaisuuden sekä ASA:n crypto map tai IKEv2-profiili. ASA vastaa kahteen erilliseen kysymykseen: mikä on konfiguroitu ja mikä on juuri nyt ylhäällä:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Lue Google-puolella tunneliolio konsolin yhteenvedon sijaan, sillä vastapuolen osoite ja valitsinkentät ovat arvot, jotka sinun on toistettava tarkalleen:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Kirjaa nämä arvot tikettiin ennen ensimmäistä poistoa. Alla oleva uudelleenrakennus toimii vain siksi, että voit luoda saman olion uudelleen yhdellä tarkoituksellisella erolla.

Algoritmit, joista toinen osapuoli kieltäytyy neuvottelemasta

Cloud VPN ei valitse IKEv1-algoritmien joukosta kuten perinteinen vastapuoli. Sen odottamat vastapuolen asetukset ovat kiinteät: aes-cbc-128 salaukseen, sha1-96 sekä eheydelle että PRF:lle, Diffie-Hellman-ryhmä 2, 36,600 sekuntia vaiheelle 1 ja 10,800 sekuntia vaiheelle 2. ASA-käytännön on tarjottava täsmälleen tämä joukko. Toinen ehdotus ASA:ssa ei haittaa, kunhan täsmäävä on myös listalla.

IKEv2 antaa molemmille osapuolille enemmän tilaa, mutta säännöt pitävät saman muodon: ota PFS käyttöön, valitse DH-ryhmä, jota tunneli tukee, ja pidä ehdotuslista riittävän lyhyenä, jotta eroavuus on ilmeinen. ASA-vastapuoli Cloud VPN:ssä tarkoittaa myös staattista reititystä, joten suojatut etuliitteet on suunniteltava ja lueteltava eikä jätettävä BGP:lle.

Toisen valmistajan mallista kopioitu elinikä on tavallinen väärä käännös tässä. Google julkaisee nämä arvot vaadittuina vastapuolen asetuksina, joten aseta ne; lyhyempi arvo ei neuvotteleudu ylös siihen, mitä ASA haluaa.

Poista, luo uudelleen ja siivoa vanha tila

Poista tunneli, älä yhdyskäytävää, ja kirjaa nimi, jonka Cloud VPN antaa korvaajalle, sillä nimet annetaan eikä niitä käytetä uudelleen. Luo se uudelleen kirjatuilla arvoilla ja samalla vastapuolen osoitteella ja lisää sitten täsmäävä ehdotus ASA:n käytäntölistaan.

Siivoa tietoturvayhteydet ASA-muutoksen jälkeen ja ennen tuloksen lukemista. ASA voi tarjota vanhentunutta käytäntöä, kunnes nykyinen SA vanhenee, joten oikea konfiguraatio näyttää rikkinäiseltä koko vanhan eliniän ajan ja seuraaja päättelee, että uudelleenrakennus epäonnistui, vaikka se ei ollut vielä alkanut:

clear crypto ikev2 sa
clear crypto ipsec sa

Varmista, että vaihe 1 nousee, ennen kuin katsot vaihetta 2. Kun vaihe 1 on alhaalla, ehdotus tai ennalta jaettu avain on väärä, eikä valitsintyö muuta sitä.

Valitsimet peilautuvat, sitten laskurit ratkaisevat

Vaihe 2 toimii vain, kun molemmat päät sopivat suojattavista osoitteista, ja sopu on peilattu eikä jaettu. Googlen paikallisen valitsimen on vastattava valitsinta, jota ASA kutsuu etävalitsimeksi, ja Googlen etävalitsimen sitä, mitä ASA kutsuu paikalliseksi. Tunneli, jonka toisella puolella on 0.0.0.0/0 ja toisella yksi aliverkko, läpäisee vaiheen 1 ja epäonnistuu sitten vaiheessa 2 samalla otsikkovirheellä. Kumpikaan puoli ei voi leventää toisen listaa.

Käytäntöperusteisissa valitsimissa luettele jokainen etuliitepari ja pidä lista tiketissä. Myöhemmin paikan päällä lisätty aliverkko vaatii muokkauksen molemmissa päissä, koska uusi reitti ASA:ssa ei levennä valitsinta, ja tuloksena on tunneli, joka on ylhäällä ja päästää liikennettä vain niille etuliitteille, jotka olivat olemassa ensimmäisenä päivänä.

Lopeta yhteen isäntä-isäntä-virtaan ja lue tavulaskurit molemmilta puolilta. Laskurit, jotka kasvavat ASA:ssa ja pysyvät tasaisina Googlella, tarkoittavat yleensä, että vastaus lähtee toisen rajapinnan kautta tai ettei valitsin kata paluuetuliitettä. Kirjaa algoritmit, eliniät, valitsimet ja uusi tunnelin nimi, sillä seuraava ehdotuksen muutos toistaa tämän uudelleenrakennuksen ja nuo arvot tekevät siitä lyhyen työn.