Cloud VPN chuig Cisco ASA: atógáil tar éis easaontais molta

Is beagnach i gcónaí easaontas molta nó roghnóirí é NEGOTIATION_FAILURE ar thollán Cloud VPN le Cisco ASA ag an bhfad amach, agus is é an chéad fhíric úsáideach nach ndéanfaidh aon eagarthóireacht é a shocrú. Socraíonn Cloud VPN an moladh IKE nuair a chruthaítear oibiacht an tolláin. Níl aon réimse ann chun algartam a athrú ina áit, mar sin is é an deisiú ná scriosadh agus athchruthú le pointe tosaigh taifeadta. Caith leis mar atógáil agus éiríonn an obair ina seicliosta seachas tráthnóna de bhuille faoi thuairim.

Léigh an teip sula scriosann tú aon rud

Is fadhb chéime é teip idirbheartaithe, agus ainmníonn log an phiar an chéim de ghnáth. Ciallaíonn teip chéim 1 nach raibh na foircinn in ann teacht ar chomhaontú faoi mholadh nó nach raibh siad in ann a chéile a fhíordheimhniú. Ciallaíonn teip chéim 2 gur éirigh an tollán agus nár tháinig na roghnóirí cosanta le chéile. Deisiúcháin éagsúla iad sin, agus is fiú an líne log a bhaint amach sula mbaineann duine le cumraíocht.

Cuireann an teip rudaí as an áireamh freisin. Ní bealach VPC é, ní riail balla dóiteáin ar chomhéadan an tolláin é, agus ní locht réitigh ainmneacha laistigh den líonra é. Má leanann tú iad sin, cruthaítear athruithe muiníneacha nach féidir leis an toradh a athrú, agus déantar an deisiú deiridh níos deacra a chur i leith.

Gabhadh an dá chumraíocht fad is atá siad ann

Tógann scriosadh tolláin leathnóiméad agus scriosann sé an t-aon fhianaise a bhí agat. Roimhe sin, scríobh síos na roghnóirí áitiúla agus iargúlta, seoladh an phiar, cé a shealbhaíonn an rún comhroinnte, agus crypto map nó próifíl IKEv2 an ASA. Freagraíonn an ASA dhá cheist ar leith: cad atá cumraithe agus cad atá suas faoi láthair:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Ar thaobh Google, léigh oibiacht an tolláin seachas achoimre an chonsóil, mar is iad seoladh an phiar agus réimsí na roghnóirí na luachanna a chaithfidh tú a atáirgeadh go beacht:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Cuir na luachanna sin sa ticéad roimh an gcéad scriosadh. Ní oibríonn an atógáil thíos ach amháin mar is féidir leat an oibiacht chéanna a athchruthú le haon difríocht d'aon ghnó.

Na halgartaim a ndiúltaíonn taobh amháin idirbheartú fúthu

Ní roghnaíonn Cloud VPN as raon algartam IKEv1 mar a dhéanann piar traidisiúnta. Tá na socruithe piar a bhfuil súil aige leo seasta: aes-cbc-128 le haghaidh criptithe, sha1-96 le haghaidh iomláine agus PRF araon, grúpa Diffie-Hellman 2, 36,600 soicind do chéim 1 agus 10,800 soicind do chéim 2. Caithfidh polasaí an ASA an tsraith sin go beacht a thairiscint. Ní dhéanann an dara moladh ar an ASA dochar fad is atá an ceann comhoiriúnach sa liosta freisin.

Tugann IKEv2 níos mó spáis don dá thaobh, ach coinníonn na rialacha an fhoirm chéanna: cumasaigh PFS, roghnaigh grúpa DH a thacaíonn an tollán leis, agus coinnigh liosta na moltaí gearr go leor chun go mbeadh easaontas soiléir. Ciallaíonn piar ASA ar Cloud VPN ródú statach freisin, mar sin caithfear na réimíreanna cosanta a phleanáil agus a liostú seachas iad a fhágáil ag BGP.

Is é saolré a cóipeáladh ó theimpléad díoltóra eile an chas mícheart is gnách anseo. Foilsíonn Google na luachanna seo mar shocruithe piar éigeantacha, mar sin socraigh iad; ní idirbheartaítear luach níos giorra suas go dtí an rud a theastaíonn ón ASA.

Scrios, athchruthaigh agus glan an seanstaid

Scrios an tollán, ní an geata, agus tabhair faoi deara an t-ainm a thugann Cloud VPN don ionadaí, mar sinntear ainmneacha seachas iad a athúsáid. Athchruthaigh é leis na luachanna taifeadta agus an seoladh piar céanna, ansin cuir an moladh comhoiriúnach le liosta polasaí an ASA.

Glan na comhlachais slándála tar éis athrú an ASA agus sula léann tú an toradh. Is féidir le ASA polasaí seanchaite a thairiscint go dtí go dtéann an SA reatha in éag, mar sin breathnaíonn cumraíocht cheart briste ar feadh shaolré na sean-SA agus tagann an breathnadóir ar an tuairim gur theip ar an atógáil nuair nach raibh sé tosaithe:

clear crypto ikev2 sa
clear crypto ipsec sa

Deimhnigh go n-éiríonn céim 1 sula bhféachann tú ar chéim 2. Fad is atá céim 1 síos, tá an moladh nó an eochair réamhroinnte mícheart, agus ní athróidh obair na roghnóirí sin.

Tagann na roghnóirí le chéile mar scáthán, ansin socraíonn na cuntair

Ní oibríonn céim 2 ach amháin nuair a aontaíonn an dá fhoirceann faoi na seoltaí atá á gcosaint, agus tá an comhaontú scáthánach seachas comhroinnte. Caithfidh roghnóir áitiúil Google teacht leis an roghnóir a thugann an ASA iargúlta, agus caithfidh roghnóir iargúlta Google teacht leis an rud a thugann an ASA áitiúil. Tollán le 0.0.0.0/0 ar thaobh amháin agus foirlíon amháin ar an taobh eile a théann trí chéim 1 agus a theipeann ansin ar chéim 2 leis an bpríomh-earráid chéanna. Ní féidir le ceachtar taobh liosta an taobh eile a leathnú.

I gcás roghnóirí atá bunaithe ar pholasaí, liostaigh gach péire réimíre agus coinnigh an liosta sa ticéad. Teastaíonn eagarthóireacht ar an dá fhoirceann ó fhoirlíon a chuirtear leis an láithreán níos déanaí, mar ní leathnaíonn bealach nua ar an ASA roghnóir, agus is é an toradh tollán atá suas agus nach dtéann trácht ach do na réimíreanna a bhí ann an chéad lá.

Críochnaigh le sreabhadh amháin ó óstach go hóstach agus léigh cuntair bheart ar an dá thaobh. Is iondúil go gciallaíonn cuntair atá ag ardú ar an ASA agus atá cothrom ar Google go bhfágann an freagra trí chomhéadan eile, nó nach gclúdaíonn an roghnóir an réimír fillte. Taifead na halgartaim, na saolréanna, na roghnóirí agus ainm nua an tolláin, mar déanann an chéad athrú molta eile an atógáil seo a athrá agus déanann na luachanna sin tasc gearr de.