GCP HA VPN-ը մերժում է FortiGate-ը. տեղական ID-ի տեսակը չի համընկնում
Google-ը համեմատում է այն ինքնությունը, որը FortiGate-ը հայտարարում է, ոչ միայն նախապես բաշխված բանալին։ FQDN տեսակի տեղական ID-ն ձախողում է այդ ստուգումը, մինչ գրանցամատյանը դեռ ասում է նույնականացում։
Google Cloud HA VPN-ից ստացվող AUTHENTICATION_FAILED-ը սովորաբար մարդկանց հետ է ուղարկում նախապես բաշխված բանալու մոտ, և բանալին սովորաբար ճիշտ է։ Թունելը կանգ է առնում 1-ին փուլում, քանի որ Google-ը համեմատում է նաև մեկ այլ բան՝ այն ինքնությունը, որը գործընկերը հայտարարում է IKE փոխանակման ընթացքում։ FortiGate-ի վրա այդ ինքնությունը կարող է փոխել տեսակը առանց որևէ մեկի հասցե խմբագրելու։ Գրանցամատյանը կարդացեք որպես ինքնության անհամապատասխանություն, երբ բանալին երկու անգամ նորից մուտքագրվի։
Մեկ ձախողում, երկու ստուգում
IKE-ն ստուգում է գործընկերոջը երկու առանձին քայլով։ Նախապես բաշխված բանալին ապացուցում է, որ երկու ծայրերն ունեն նույն գաղտնիքը, իսկ հայտարարված ինքնությունը պատասխանողին ասում է, թե ում է գործընկերը ներկայացնում իրեն։ Google-ը ստուգում է այդ ինքնությունը այն գործընկերոջ դեմ, որի հետ այն կարգավորվել է։ Իրեն թողնելու դեպքում FortiGate-ը ուղարկում է ելքային ինտերֆեյսից ստացված հասցեահեն ինքնություն, և համեմատությունը անցնում է առանց որևէ մեկի նկատելու։
Երկու քայլերն էլ ընկնում են գրանցամատյանի նույն դույլը, ինչը բացատրում է ծանոթ ցիկլը՝ բանալին չորս անգամ նորից մուտքագրելը մինչև որևէ մեկը կկարդա ինքնության ծանրաբեռնվածությունը։
Ինչ է FortiGate-ը դնում ինքնության ծանրաբեռնվածության մեջ
Խնդիրը սկսվում է, երբ ինչ-որ մեկը սահմանում է տեղական ID որպեսզի երկու կողմերը համաձայնվեն։ FortiOS-ի վերջին կառուցվածքները նշում են այդ ինքնությունը որպես ամբողջությամբ որակավորված տիրույթի անուն, նույնիսկ երբ մուտքագրված արժեքը կետերով հասցե է։ Այսպիսով Google-ը ստանում է FQDN ինքնություն՝ սպասելով հասցեի, և մերժում է սեսիան։ Հաղորդագրության մեջ ոչինչ չի ասում, թե որ կեսն է ձախողվել, ուստի հաշվետվությունը կարդացվում է որպես նույնականացման ձախողում։
Վերարտադրեք այն մեկ անգամ IKE վրիպազերծումը միացված և կարդացեք այն ինքնության ծանրաբեռնվածությունը, որը հրապատն է իրականում ուղարկում։
Նույն անցով հաստատեք երեք էժան փաստ՝ երկու ծայրերի օգտագործած IKE տարբերակը, ճշգրիտ բանալին՝ ներառյալ անտեսանելի վերջնական նշանները, և գործընկերոջ հասցեն, որը Google-ը սպասում է։ Դրանք պատասխանում են տարբեր հարցերի, և համընկնող բանալին ոչինչ չի ասում ինքնության մասին։
Ընտրանքները և յուրաքանչյուրի արժեքը
Յուրաքանչյուր ելք ուղղում է տարբեր շերտ, և դրանցից ոչ մեկը հասանելի չէ բոլոր տեղակայումներին։
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Ինքնության ուղղումը հրապատի վրա ամենամաքուր պատասխանն է, որտեղ որոնաշարը թույլ է տալիս ընտրել տեսակը և պահել արժեքը։ Դաշտը գոյություն ունի որոշ կառուցվածքներում և սխալ է լրացնում տեսակը մյուսներում, ուստի փորձարկեք ձեր տարբերակը՝ թողարկման նշումներին վստահելու փոխարեն։
Երթուղելի հանրային հասցեն բանակցող ինտերֆեյսի վրա փաստաթղթավորված լուծումն է, քանի որ այդ դեպքում լռելյայն ինքնությունը համընկնում է Google-ի սպասածի հետ և ոչ մի վերագրանցում պետք չէ։ Այստեղ են հասնում տեղակայումների մեծ մասը, եթե հրապատն ընդհանրապես կարող է պահել այդպիսի հասցե։
Ավարտել գործընկերոջ վրա, որը վավերացնում է ձեր արտադրածը, տոպոլոգիայի փոփոխություն է։ Դրան վերաբերվեք որպես նախագծային որոշման, այլ ոչ թե ավելի բարեկամական նկարագրությամբ լուծման։
Երբ NAT-ը հեռացնում է մեկ ընտրանք
NAT-ի հետևում հանրային հասցեով ելքը անհետանում է, և մնացածը կախված է որոնաշարի վարքից, որը դուք չեք վերահսկում։ Սա այն պահն է, երբ պետք է գիտակցաբար ընտրել թարմացման, գործընկերոջ տեղափոխման կամ այլ ամպային վերջնակետի ընդունման միջև։ Դրանք երեք տարբեր բյուջեներ են, և մեկը պատահաբար ընտրելը հենց այն է, ինչով ժամանակավոր լուծումը դառնում է ճարտարապետություն։ Ընտրությունը և դրա պատճառը գրեք թունելի կողքին։
Այս ամենը մեկնաբանելուց առաջ հաստատեք թունելի վիճակը Google-ի կողմում և որ IKE-ն պարզապես ճանապարհին չի նետվում։ Նետված փաթեթը ժամկետանց է դառնում, այն մերժում չի առաջացնում։
Ինչ գրանցել, քանի դեռ այն աշխատում է
Գրանցեք ինքնության տեսակը, դրա արժեքը, որոնաշարի տարբերակը և գործընկերոջ հասցեն, որոնք ուժի մեջ էին, երբ թունելը վերջին անգամ բարձրացավ։ Որոնաշարի թարմացումը կարող է կրկին փոխել լռելյայնը, և հաջորդ ձախողումը կհայտնվի ճիշտ բանալու անհամապատասխանության պես։ Երբ ինքնությունը պահված է բանալու և գործընկերոջ հասցեի կողքին, հաջորդ մարդը սկսում է էժան ստուգումներից։
Այդ գրառումը նաև միակ միջոցն է իմանալու, թե արդյոք լուծումը դեռ պետք է հաջորդ թարմացումից հետո։