GCP HA VPN wegeret FortiGate: type pleatslik ID past net
Google ferget de identiteit dy’t in FortiGate beweart, net allinnich de foarôf dielde kaai. In pleatslik ID fan it type FQDN slagget net foar dy kontrôle, wylst it loch noch altyd autentikaasje seit.
AUTHENTICATION_FAILED fan Google Cloud HA VPN stjoert minsken meastentiids werom nei de foarôf dielde kaai, en de kaai is meastentiids goed. De tunnel stiet stil yn faze 1, omdat Google ek wat oars ferget: de identiteit dy’t de peer by de IKE-útwikseling beweart. Op in FortiGate kin dy identiteit fan type feroarje sûnder dat immen in adres bewurket. Lês it loch as in identiteitskonflikt sadree’t de kaai twa kear op ’e nij ynfierd is.
Ien flater, twa kontrôles
IKE ferifiearret in peer yn twa aparte stappen. De foarôf dielde kaai bewiist dat beide kanten itselde geheim hawwe, en in bewearde identiteit fertelt de beantwurder wa’t de peer seit dat er is. Google ferget dy identiteit tsjin de peer dêr’t it mei konfigurearre is. As it mei rêst litten wurdt, stjoert in FortiGate in adresbasearre identiteit dy’t fan syn útgeande ynterface ôflaat is, en de ferliking slagget sûnder dat immen it merkt.
Beide stappen lânje yn deselde amer yn it loch, wat de bekende lus ferklearret fan it fjouwer kear opnij typen fan de kaai foardat immen de identiteitslading lêst.
Wat in FortiGate yn ’e identiteitslading set
De swierrichheid begjint as immen in pleatslik ID ynstelt om de beide kanten oerienkomme te litten. Resinte FortiOS-buorden markearje dy identiteit as in folslein kwalifisearre domeinnamme, sels as de ynfierde wearde in adres mei punten is. Google krijt dêrom in FQDN-identiteit wylst it in adres ferwachtet, en it wegeret de sesje. Neat yn it berjocht seit hokker helte mislearre, dus it rapport wurdt lêzen as in autentikaasjeflater.
Reprodusearje it ien kear mei IKE-debugging oan en lês de identiteitslading dy’t de firewall wier útstjoert.
Befêstigje yn deselde pass trije goedkeape feiten: de IKE-ferzje dy’t beide kanten brûke, de krekte kaai ynklusyf ûnsichtbere eintekens, en it peer-adres dat Google ferwachtet. Se beantwurdzje ferskate fragen, en in passende kaai seit neat oer de identiteit.
Opsjes, en wat elk kostet
Elke útgong reparearret in oare laach, en gjinien is foar elke útrôl beskikber.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
De identiteit op de firewall korrizjearje is it skjinste antwurd dêr’t de firmware jo it type kieze lit en de wearde hâlde. It fjild bestiet yn guon buorden en follet it type ferkeard yn oaren, dus test jo ferzje ynstee fan te fertrouwen op frijlaatnotysjes.
In rûtber iepenbier adres op ’e ûnderhanneljende ynterface is de dokumintearre omwei, omdat de standertidentiteit dan oerienkomt mei wat Google ferwachtet en gjin oerskriuwing nedich is. Dêr einigje de measte útrôlen, as de firewall sa’n adres hielendal hâlde kin.
Terminearje op in peer dy’t falidearret wat jo produsearje is in topologyske feroaring. Behannelje it as in ûntwerpbeslút en net as in omwei mei in freonliker beskriuwing.
As NAT ien opsje fuorthellet
Efter NAT ferdwynt de útgong fia iepenbier adres, en wat oerbliuwt hinget ôf fan firmwaregedrach dat jo net behearskje. Dat is it punt om bewust te kiezen tusken opwurdearje, de peer ferpleatse of in oare cloud-einpunt akseptearje. Dat binne trije ferskate budzjetten, en ien by ûngelok kieze is hoe’t in tydlike omwei arsjitektuer wurdt. Skriuw de kar en syn reden njonken de tunnel.
Foardat jo hokker fan dit dan ek ynterpretearje, befêstigje de tunnelsteat oan ’e Google-kant en dat IKE net gewoan ûnderweis weilitten wurdt. In weilitten pakket ferrint; it makket gjin wegering.
Wat fêst te lizzen wylst it wurket
Notearje it identiteitstype, syn wearde, de firmwareferzje en it peer-adres dy’t jilden doe’t de tunnel foar it lêst omheech kaam. In firmware-update kin de standert wer feroarje, en de folgjende flater sil der krekt as in kaai-konflikt útsjen. Mei de identiteit njonken de kaai en it peer-adres opslein, begjint de folgjende persoan by de goedkeape kontrôles.
Dat ferslach is ek de iennichste manier om te witten oft in omwei nei de folgjende opwurdearring noch nedich is.