GCP HA VPN hylkää FortiGaten: paikallisen ID:n tyyppi ei täsmää
Google vertaa identiteettiä, jonka FortiGate väittää, ei vain ennalta jaettua avainta. FQDN-tyyppinen paikallinen ID ei läpäise tarkistusta, vaikka loki sanoo yhä todennus.
Google Cloud HA VPN:n AUTHENTICATION_FAILED lähettää ihmiset yleensä takaisin ennalta jaettuun avaimeen, ja avain on yleensä oikein. Tunneli juuttuu vaiheeseen 1, koska Google vertaa myös jotain muuta: identiteettiä, jonka vastapuoli väittää IKE-vaihdon aikana. FortiGatessa tämä identiteetti voi vaihtaa tyyppiä ilman, että kukaan muokkaa osoitetta. Lue loki identiteetin ristiriitana, kun avain on syötetty uudelleen kahdesti.
Yksi vika, kaksi tarkistusta
IKE vahvistaa vastapuolen kahdessa erillisessä vaiheessa. Ennalta jaettu avain todistaa, että molemmilla päillä on sama salaisuus, ja väitetty identiteetti kertoo vastaajalle, keneksi vastapuoli itsensä väittää. Google tarkistaa tämän identiteetin sitä vastapuolta vasten, jonka kanssa se määritettiin. Yksin jätettynä FortiGate lähettää osoitepohjaisen identiteetin, joka on johdettu sen lähtevästä rajapinnasta, ja vertailu menee läpi kenenkään huomaamatta.
Molemmat vaiheet päätyvät lokissa samaan ämpäriin, mikä selittää tutun silmukan, jossa avain kirjoitetaan neljästi uudelleen ennen kuin kukaan lukee identiteettihyötykuorman.
Mitä FortiGate laittaa identiteettihyötykuormaan
Ongelma alkaa, kun joku asettaa paikallisen ID:n jotta kaksi puolta sopivat. Tuoreet FortiOS-versiot merkitsevät tämän identiteetin täysin määritellyksi verkkotunnukseksi, vaikka syötetty arvo on pisteillä erotettu osoite. Google saa siis FQDN-identiteetin odottaessaan osoitetta, ja se hylkää istunnon. Mikään viestissä ei kerro, kumpi puoli epäonnistui, joten raportti luetaan todennusvirheenä.
Toista se kerran IKE-vianmääritys päällä ja lue identiteettihyötykuorma, jonka palomuuri todella lähettää.
Tarkista samalla kolme halpaa tosiasiaa: molempien päiden IKE-versio, tarkka avain mukaan lukien näkymättömät loppumerkit, ja vastapuolen osoite, jota Google odottaa. Ne vastaavat eri kysymyksiin, eikä täsmäävä avain kerro identiteetistä mitään.
Vaihtoehdot ja mitä kukin maksaa
Jokainen ulospääsy korjaa eri kerroksen, eikä mikään niistä ole kaikkien käyttöönottojen saatavilla.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Identiteetin korjaaminen palomuurilla on puhtain vastaus silloin, kun laiteohjelmisto antaa valita tyypin ja pitää arvon. Kenttä on joissain versioissa ja täyttää tyypin väärin toisissa, joten testaa oma versiosi sen sijaan, että luottaisit julkaisutietoihin.
Reititettävä julkinen osoite neuvottelevalla rajapinnalla on dokumentoitu kiertotie, koska silloin oletusidentiteetti vastaa sitä, mitä Google odottaa, eikä ohitusta tarvita. Sinne useimmat käyttöönotot päätyvät, jos palomuuri ylipäätään pystyy pitämään sellaista osoitetta.
Päättäminen vastapuoleen, joka validoi sen, mitä tuotat, on topologian muutos. Käsittele sitä suunnittelupäätöksenä, älä kiertotienä, jolla on ystävällisempi kuvaus.
Kun NAT poistaa yhden vaihtoehdon
NAT:n takana julkisen osoitteen ulospääsy katoaa, ja jäljelle jäävä riippuu laiteohjelmiston käytöksestä, jota et hallitse. Siinä on kohta, jossa valitaan tietoisesti päivityksen, vastapuolen siirtämisen tai toisen pilvikannan hyväksymisen välillä. Ne ovat kolme eri budjettia, ja yhden valitseminen vahingossa on se, miten väliaikaisesta kiertotiestä tulee arkkitehtuuria. Kirjoita valinta ja sen syy tunnelin viereen.
Ennen kuin tulkitset mitään tästä, varmista tunnelin tila Googlen puolella ja ettei IKE:tä yksinkertaisesti pudoteta matkalla. Pudotettu paketti aikakatkaistaan; se ei tuota hylkäystä.
Mitä kirjata, kun se toimii
Kirjaa identiteetin tyyppi, sen arvo, laiteohjelmistoversio ja vastapuolen osoite, jotka olivat voimassa, kun tunneli viimeksi nousi. Laiteohjelmistopäivitys voi muuttaa oletuksen taas, ja seuraava vika näyttää täsmälleen avaimen ristiriidalta. Kun identiteetti on tallennettu avaimen ja vastapuolen osoitteen viereen, seuraava henkilö aloittaa halvoista tarkistuksista.
Tämä kirjaus on myös ainoa tapa tietää, tarvitaanko kiertotietä vielä seuraavan päivityksen jälkeen.