Cloud VPN Cisco ASA felé: újraépítés ajánlat-eltérés után

A NEGOTIATION_FAILURE a túlsó végén Cisco ASA-val rendelkező Cloud VPN-alagúton szinte mindig ajánlat- vagy szelektor-eltérés, és az első hasznos tény, hogy ezt egyetlen szerkesztés sem javítja. A Cloud VPN az IKE-ajánlatot az alagút-objektum létrehozásakor rögzíti. Nincs mező az algoritmus helyben történő módosítására, ezért a javítás törlés és újralétrehozás egy rögzített kiindulóponttal. Kezelje újraépítésként, és a munka egy délutáni találgatás helyett ellenőrzőlistává válik.

Olvassa el a hibát, mielőtt bármit törölne

A tárgyalási hiba fázisprobléma, és a partner naplója általában megnevezi a fázist. Az 1. fázis hibája azt jelenti, hogy a végpontok nem tudtak megegyezni egy ajánlatban, vagy nem tudták hitelesíteni egymást. A 2. fázis hibája azt jelenti, hogy az alagút feljött, de a védett szelektorok nem egyeztek. Ezek különböző javítások, és érdemes kinyerni a naplósort, mielőtt bárki hozzányúl egy konfigurációhoz.

A hiba dolgokat ki is zár. Ez nem VPC-útvonal, nem tűzfal-szabály az alagút interfészén, és nem névfeloldási hiba a hálózaton belül. Ezek kergetése magabiztos változtatásokat hoz, amelyek nem tudják megváltoztatni az eredményt, és megnehezítik a végső javítás hozzárendelését.

Rögzítse mindkét konfigurációt, amíg még léteznek

Egy alagút törlése fél percet vesz igénybe, és megsemmisíti az egyetlen bizonyítékot, amije volt. Előtte írja le a helyi és távoli szelektorokat, a partner címét, hogy ki birtokolja a közös titkot, valamint az ASA crypto map vagy IKEv2 profilját. Az ASA két külön kérdésre válaszol: mi van beállítva, és mi van éppen fent:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

A Google oldalán az alagút-objektumot olvassa a konzol összefoglalója helyett, mert a partner címe és a szelektor mezők azok az értékek, amelyeket pontosan reprodukálnia kell:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Jegyezze fel ezeket az értékeket a ticketbe az első törlés előtt. Az alábbi újraépítés csak azért működik, mert ugyanazt az objektumot egy szándékos különbséggel újra létre tudja hozni.

Az algoritmusok, amelyekről az egyik fél nem hajlandó tárgyalni

A Cloud VPN nem választ IKEv1-algoritmusok kínálatából, mint egy hagyományos partner. Az általa elvárt partnerbeállítások rögzítettek: aes-cbc-128 a titkosításhoz, sha1-96 az integritáshoz és a PRF-hez, Diffie-Hellman 2. csoport, 36,600 másodperc az 1. fázishoz és 10,800 másodperc a 2. fázishoz. Az ASA házirendjének pontosan ezt a készletet kell kínálnia. Egy második ajánlat az ASA-n nem árt, amíg a megfelelő is szerepel a listán.

Az IKEv2 több teret ad mindkét félnek, de a szabályok ugyanazt a formát tartják: kapcsolja be a PFS-t, válasszon olyan DH-csoportot, amelyet az alagút támogat, és tartsa a javaslatlistát elég rövidnek ahhoz, hogy az eltérés nyilvánvaló legyen. Az ASA-partner a Cloud VPN-en statikus útvonalválasztást is jelent, ezért a védett prefixeket meg kell tervezni és fel kell sorolni, nem a BGP-re hagyni.

Egy másik gyártó sablonjából másolt élettartam a szokásos rossz irány itt. A Google ezeket az értékeket kötelező partnerbeállításként teszi közzé, ezért állítsa be őket; a rövidebb értéket nem tárgyalják fel addig, amit az ASA akar.

Töröljön, hozzon létre újra, és tisztítsa meg a régi állapotot

Az alagutat törölje, ne az átjárót, és jegyezze fel a nevet, amelyet a Cloud VPN a helyettesítőnek ad, mert a neveket kiosztják, nem újrahasználják. Hozza létre újra a rögzített értékekkel és ugyanazzal a partner-címmel, majd adja hozzá a megfelelő ajánlatot az ASA házirendlistájához.

Tisztítsa meg a biztonsági társításokat az ASA módosítása után és az eredmény olvasása előtt. Az ASA a jelenlegi SA lejártáig tovább kínálhat egy elavult házirendet, ezért egy helyes konfiguráció a régi élettartam teljes hosszában töröttnek látszik, és a megfigyelő arra jut, hogy az újraépítés meghiúsult, pedig még el sem kezdődött:

clear crypto ikev2 sa
clear crypto ipsec sa

Erősítse meg, hogy az 1. fázis feljön, mielőtt a 2. fázisra nézne. Amíg az 1. fázis lent van, az ajánlat vagy az előre megosztott kulcs hibás, és a szelektorokkal végzett munka ezen nem változtat.

A szelektorok tükröződnek, aztán a számlálók döntenek

A 2. fázis csak akkor működik, ha mindkét végpont egyetért a védett címekben, és az egyetértés tükrözött, nem közös. A Google helyi szelektorának meg kell egyeznie azzal a szelektorral, amelyet az ASA távolinak nevez, a Google távoli szelektorának pedig azzal, amit az ASA helyinek nevez. Egy alagút, amelynek egyik oldalán 0.0.0.0/0, a másikon egyetlen alhálózat van, átmegy az 1. fázison, majd a 2. fázisban ugyanazzal a fő hibával elbukik. Egyik fél sem szélesítheti a másik listáját.

Házirend-alapú szelektoroknál sorolja fel az összes prefixpárt, és tartsa a listát a ticketben. A később a helyszínen hozzáadott alhálózat mindkét végén szerkesztést igényel, mert az ASA-n egy új útvonal nem szélesít szelektort, és az eredmény egy fent lévő alagút, amely csak az első napon létező prefixek forgalmát engedi át.

Fejezze be egy hoszt–hoszt folyamattal, és olvassa le a bájtszámlálókat mindkét oldalon. Az ASA-n növekvő, Google-on lapos számlálók általában azt jelentik, hogy a válasz másik interfészen távozik, vagy a szelektor nem fedi a visszatérő prefixet. Jegyezze fel az algoritmusokat, élettartamokat, szelektorokat és az új alagútnevet, mert a következő ajánlatváltozás megismétli ezt az újraépítést, és ezek az értékek rövid feladattá teszik.