GCP HA VPN ag diúltú do FortiGate: cineál ID áitiúil ar neamhréir
Déanann Google comparáid idir an fhéiniúlacht a mhaíonn FortiGate, ní hamháin an eochair réamhroinnte. Teipeann ID áitiúil de chineál FQDN an tseiceáil sin agus an logal ag rá fós gur fíordheimhniú atá ann.
De ghnáth seolann AUTHENTICATION_FAILED ó Google Cloud HA VPN daoine ar ais chuig an eochair réamhroinnte, agus bíonn an eochair ceart de ghnáth. Stopann an tollán i bhfáis 1 mar go ndéanann Google rud éigin eile a chur i gcomparáid freisin: an fhéiniúlacht a mhaíonn an piara le linn an mhalartaithe IKE. Ar FortiGate féadann an fhéiniúlacht sin cineál a athrú gan aon duine ag eagrú seoladh. Léigh an logal mar neamhréir fhéiniúlachta a luaithe a athiontráladh an eochair faoi dhó.
Teip amháin, dhá sheiceáil
Fíoraíonn IKE piara i dhá chéim ar leith. Cruthaíonn an eochair réamhroinnte go bhfuil an rún céanna ag an dá cheann, agus insíonn féiniúlacht mhaíte don fhreagróir cé a deir an piara go bhfuil sé. Seiceálann Google an fhéiniúlacht sin i gcoinne an phiara ar cumraíodh é leis. Má fhágtar leis féin é, seolann FortiGate féiniúlacht bunaithe ar sheoladh a dhíorthaítear óna chomhéadan amach, agus éiríonn leis an gcomparáid gan aon duine ag tabhairt faoi deara.
Tagann an dá chéim san aon bhuicéad sa logal, rud a mhíníonn an lúb aithnidiúil de scriobh an eochair ceithre huaire sula léann aon duine an t-ualach féiniúlachta.
Cad a chuireann FortiGate san ualach féiniúlachta
Tosaíonn an trioblóid nuair a shocraíonn duine ID áitiúil chun an dá thaobh a thabhairt le chéile. Marcálann buildí FortiOS le déanaí an fhéiniúlacht sin mar ainm fearainn láncháilithe fiú nuair is seoladh le poncanna an luach a clóscríobhadh. Faigheann Google féiniúlacht FQDN mar sin agus é ag súil le seoladh, agus diúltaíonn sé don seisiún. Ní deir aon rud sa teachtaireacht cén leath a theip, mar sin léitear an tuarascáil mar theip fíordheimhnithe.
Atáirg é uair amháin le dífhabhtú IKE cumasaithe agus léigh an t-ualach féiniúlachta a astaíonn an balla dóiteáin i ndáiríre.
San am céanna, deimhnigh trí fhíric shaor: an leagan IKE a úsáideann an dá cheann, an eochair bheacht lena n-áirítear carachtair dheireanacha dofheicthe, agus seoladh an phiara a bhfuil Google ag súil leis. Freagraíonn siad ceisteanna éagsúla, agus ní deir eochair chomhoiriúnach rud ar bith faoin bhféiniúlacht.
Roghanna, agus cad a chosnaíonn gach ceann
Deisíonn gach bealach amach ciseal difriúil, agus níl aon cheann acu ar fáil do gach imscaradh.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Is é an fhéiniúlacht a cheartú ar an mballa dóiteáin an freagra is glaine nuair a ligeann an firmware duit an cineál a roghnú agus an luach a choinneáil. Tá an réimse ann i roinnt buildí agus líonann sé an cineál go mícheart i gcinn eile, mar sin tástáil do leagan féin in ionad brath ar nótaí eisithe.
Is é seoladh poiblí inródaithe ar an gcomhéadan idirbheartaíochta an seachbhóthar doiciméadaithe, mar go n-oireann an fhéiniúlacht réamhshocraithe ansin don rud a bhfuil Google ag súil leis agus nach bhfuil gá le haon sárú. Sin a mbaineann formhór na n-imscartha amach, más féidir leis an mballa dóiteáin a leithéid de sheoladh a choinneáil ar chor ar bith.
Is athrú toipeolaíochta é foireann ar phiara a dhéanann bailíochtú ar an rud a tháirgeann tú. Caith leis mar chinneadh deartha seachas mar sheachbhóthar a bhfuil cur síos níos cairdiúla air.
Nuair a bhaineann NAT rogha amháin
Taobh thiar de NAT imíonn an bealach amach trí sheoladh poiblí, agus braitheann an rud a fhanann ar iompar firmware nach rialaíonn tú. Sin an pointe le roghnú go feasach idir uasghrádú, an piara a athlonnú nó glacadh le críochphointe scamall eile. Trí bhuiséad éagsúla iad sin, agus is é roghnú ceann de thaisme an bealach a n-éiríonn seachbhóthar sealadach ina ailtireacht. Scríobh an rogha agus an chúis taobh leis an tollán.
Sula léirmhíníonn tú aon rud de seo, deimhnigh staid an tolláin ar thaobh Google agus nach bhfuil IKE á chaitheamh amach ar an mbealach. Téann paicéad caite amach as feidhm; ní tháirgeann sé diúltú.
Cad a thaifeadadh agus é ag obair
Taifead cineál na féiniúlachta, a luach, leagan an firmware agus seoladh an phiara a bhí i bhfeidhm nuair a tháinig an tollán suas go deireanach. Féadann nuashonrú firmware an réamhshocrú a athrú arís, agus beidh an chéad teip eile díreach cosúil le neamhréir eochrach. Agus an fhéiniúlacht stóráilte in aice leis an eochair agus seoladh an phiara, tosaíonn an chéad duine eile ar na seiceálacha saora.
Is é an taifead sin an t-aon bhealach freisin le fios an bhfuil seachbhóthar fós ag teastáil tar éis an chéad uasghrádú eile.