Cloud VPN դեպի Cisco ASA. վերակառուցում առաջարկի անհամապատասխանությունից հետո

Cloud VPN-ը առաջարկը ներկառուցում է թունելի օբյեկտի մեջ, ուստի ASA-ի հետ անհամապատասխանությունը նշանակում է վերակառուցում. Գրանցեք սելեկտորները, համապատասխանեցրեք երկու փուլերը, մաքրեք հին SA-ները.

NEGOTIATION_FAILURE-ը Cloud VPN թունելում, որի մյուս ծայրում Cisco ASA է, գրեթե միշտ առաջարկի կամ սելեկտորների անհամապատասխանություն է, և առաջին օգտակար փաստն այն է, որ ոչ մի խմբագրում դա չի շտկի. Cloud VPN-ը IKE առաջարկը ամրագրում է թունելի օբյեկտը ստեղծելիս. Տեղում ալգորիթմը փոխելու դաշտ չկա, ուստի վերանորոգումը ջնջումն ու գրանցված մեկնարկային կետով նորից ստեղծումն է. Դիտարկեք որպես վերակառուցում, և աշխատանքը կդառնա ստուգաթերթ, այլ ոչ թե գուշակություններով լի կես օր.

Կարդացեք խափանումը, նախքան ինչ-որ բան ջնջելը

Բանակցությունների խափանումը փուլի խնդիր է, և հակառակորդի մատյանը սովորաբար նշում է փուլը. 1-ին փուլի խափանումը նշանակում է, որ ծայրերը չեն կարողացել համաձայնել առաջարկի շուրջ կամ չեն կարողացել նույնականացնել միմյանց. 2-րդ փուլի խափանումը նշանակում է, որ թունելը բարձրացել է, իսկ պաշտպանված սելեկտորները չեն համընկել. Դրանք տարբեր վերանորոգումներ են, և արժե մատյանի տողը հանել նախքան ինչ-որ մեկը կարգավորումը կպչի.

Խափանումը նաև բացառում է որոշ բաներ. Սա VPC երթուղի չէ, թունելի ինտերֆեյսի վրա firewall կանոն չէ և ցանցի ներսում անվանումների լուծման խափանում չէ. Դրանց հետևելը տալիս է ինքնավստահ փոփոխություններ, որոնք չեն կարող փոխել արդյունքը, և դժվարացնում են վերջնական ուղղումը վերագրելը.

Գրանցեք երկու կարգավորումները, քանի դեռ դրանք կան

Թունել ջնջելը տևում է կես րոպե և ոչնչացնում է միակ ապացույցը, որ ունեցել եք. Մինչ այդ գրեք տեղական և հեռավոր սելեկտորները, հակառակորդի հասցեն, թե ում է պատկանում ընդհանուր գաղտնիքը, և ASA-ի crypto map-ը կամ IKEv2 պրոֆիլը. ASA-ն պատասխանում է երկու առանձին հարցի՝ ինչ է կարգավորված և ինչ է հիմա բարձրացված.

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google-ի կողմում կարդացեք թունելի օբյեկտը, ոչ թե կոնսոլի ամփոփումը, որովհետև հակառակորդի հասցեն և սելեկտորի դաշտերը հենց այն արժեքներն են, որ պետք է ճշգրիտ վերարտադրեք.

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Այդ արժեքները մուտքագրեք տոմսի մեջ առաջին ջնջումից առաջ. Ներքևի վերակառուցումը աշխատում է միայն այն պատճառով, որ կարող եք նույն օբյեկտը նորից ստեղծել մեկ դիտավորյալ տարբերությամբ.

Ալգորիթմները, որոնց շուրջ մի կողմը հրաժարվում է բանակցել

Cloud VPN-ը չի ընտրում IKEv1 ալգորիթմների շարքից, ինչպես ավանդական հակառակորդը. Այն սպասվող հակառակորդի կարգավորումները ֆիքսված են՝ aes-cbc-128 գաղտնագրման համար, sha1-96 և՛ ամբողջականության, և՛ PRF-ի համար, Diffie-Hellman 2-րդ խումբ, 36,600 վայրկյան 1-ին փուլի և 10,800 վայրկյան 2-րդ փուլի համար. ASA-ի քաղաքականությունը պետք է առաջարկի հենց այդ հավաքածուն. ASA-ի վրա երկրորդ առաջարկը վնաս չի տալիս, եթե համապատասխանողը նույնպես ցանկում է.

IKEv2-ը երկու կողմերին ավելի շատ տեղ է տալիս, բայց կանոնները պահպանում են նույն ձևը՝ միացրեք PFS-ը, ընտրեք DH խումբ, որն աջակցում է թունելը, և առաջարկների ցանկը պահեք բավական կարճ, որ անհամապատասխանությունը ակնհայտ լինի. Cloud VPN-ում ASA հակառակորդը նշանակում է նաև ստատիկ երթուղավորում, ուստի պաշտպանված նախածանցերը պետք է պլանավորել և թվարկել, այլ ոչ թե թողնել BGP-ին.

Այլ արտադրողի ձևանմուշից պատճենված ժամկետը այստեղ սովորական սխալ շրջադարձն է. Google-ը հրապարակում է այս արժեքները որպես պարտադիր հակառակորդի կարգավորումներ, ուստի սահմանեք դրանք. ավելի կարճ արժեքը չի բանակցվում վերև մինչև այն, ինչ ուզում է ASA-ն.

Ջնջեք, նորից ստեղծեք և մաքրեք հին վիճակը

Ջնջեք թունելը, ոչ թե դարպասը, և նշեք այն անունը, որը Cloud VPN-ը տալիս է փոխարինողին, որովհետև անունները շնորհվում են, ոչ թե կրկին օգտագործվում. Նորից ստեղծեք այն գրանցված արժեքներով և նույն հակառակորդի հասցեով, ապա ավելացրեք համապատասխան առաջարկը ASA-ի քաղաքականության ցանկում.

Մաքրեք անվտանգության միավորումները ASA-ի փոփոխությունից հետո և արդյունքը կարդալուց առաջ. ASA-ն կարող է շարունակել առաջարկել հնացած քաղաքականություն, մինչև ընթացիկ SA-ն սպառվի, ուստի ճիշտ կարգավորումը թվում է կոտրված հին ժամկետի ողջ ընթացքում, և դիտորդը եզրակացնում է, որ վերակառուցումը ձախողվել է, երբ այն դեռ չէր սկսվել.

clear crypto ikev2 sa
clear crypto ipsec sa

Համոզվեք, որ 1-ին փուլը բարձրանում է, նախքան 2-րդ փուլին նայելը. Քանի դեռ 1-ին փուլը ցած է, առաջարկը կամ նախապես համօգտագործված բանալին սխալ է, և սելեկտորների աշխատանքը դա չի փոխի.

Սելեկտորները հայելային են համապատասխանում, ապա որոշում են հաշվիչները

2-րդ փուլը աշխատում է միայն այն ժամանակ, երբ երկու ծայրերը համաձայն են պաշտպանվող հասցեների շուրջ, և համաձայնությունը հայելային է, ոչ ընդհանուր. Google-ի տեղական սելեկտորը պետք է համապատասխանի այն սելեկտորին, որը ASA-ն անվանում է հեռավոր, իսկ Google-ի հեռավոր սելեկտորը՝ նրան, ինչ ASA-ն անվանում է տեղական. Մի կողմում 0.0.0.0/0 և մյուսում մեկ ենթացանց ունեցող թունելը անցնում է 1-ին փուլը և ապա ձախողվում 2-րդ փուլում նույն գլխավոր սխալով. Ոչ մի կողմ չի կարող լայնացնել մյուսի ցանկը.

Քաղաքականության վրա հիմնված սելեկտորների համար թվարկեք յուրաքանչյուր նախածանցի զույգ և ցանկը պահեք տոմսում. Հետագայում տեղում ավելացված ենթացանցը պահանջում է խմբագրում երկու ծայրերում, որովհետև ASA-ի վրա նոր երթուղին չի լայնացնում սելեկտորը, և արդյունքը թունել է, որը բարձրացած է և թրաֆիկ անցկացնում է միայն առաջին օրը գոյություն ունեցած նախածանցների համար.

Ավարտեք մեկ հոսթից հոսթ հոսքով և կարդացեք բայթերի հաշվիչները երկու կողմերում. ASA-ի վրա աճող և Google-ում հարթ մնացող հաշվիչները սովորաբար նշանակում են, որ պատասխանը դուրս է գալիս այլ ինտերֆեյսով, կամ սելեկտորը չի ծածկում վերադարձի նախածանցը. Գրանցեք ալգորիթմները, ժամկետները, սելեկտորները և թունելի նոր անունը, որովհետև հաջորդ առաջարկի փոփոխությունը կրկնում է այս վերակառուցումը, և այդ արժեքները դարձնում են այն կարճ աշխատանք.

Առնչվող հոդվածներ