Cloud VPN í Cisco ASA: endurbygging eftir misræmi í tillögu

NEGOTIATION_FAILURE á Cloud VPN-tunneli með Cisco ASA hinum megin er næstum alltaf misræmi í tillögu eða völum, og fyrsta gagnlega staðreyndin er að engin breyting lagar það. Cloud VPN festir IKE-tillöguna þegar tunnel-hluturinn er búinn til. Ekkert svæði er til að skipta um reiknirit á staðnum, svo viðgerðin er eyðing og endursköpun með skráðu upphafspunkti. Líttu á þetta sem endurbyggingu og verkið verður gátlisti í stað síðdegis af ágiskunum.

Lestu bilunina áður en þú eyðir einhverju

Bilun í samningaviðræðum er fasavandamál, og logg jafningjans nefnir venjulega fasann. Bilun í fasa 1 þýðir að endarnir gátu ekki orðið sammála um tillögu eða ekki sannreynt hvorn annan. Bilun í fasa 2 þýðir að tunelið kom upp og vernduðu valarnir pössuðu ekki. Þetta eru mismunandi viðgerðir, og það borgar sig að draga logglínuna út áður en einhver snertir stillingar.

Bilunin útilokar líka ýmislegt. Þetta er ekki VPC-leið, ekki eldveggjarregla á tunnelviðmótinu og ekki nafnaupplausnarvilla innan netsins. Að elta þau framleiðir sjálfsöruggar breytingar sem geta ekki breytt niðurstöðunni, og gera erfiðara að rekja endanlegu viðgerðina.

Skráðu báðar stillingarnar á meðan þær eru enn til

Að eyða tuneli tekur hálfa mínútu og eyðileggur eina sönnunargagnið sem þú hafðir. Áður en það er gert skaltu skrifa niður staðbundnu og fjarlægu valana, vistfang jafningjans, hver á sameiginlega leyndarmálið og crypto map eða IKEv2-snið ASA. ASA svarar tveimur aðskildum spurningum: hvað er stillt og hvað er uppi núna:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Á Google-hliðinni skaltu lesa tunnel-hlutinn í stað samantektar í stjórnborðinu, því vistfang jafningjans og valasvæðin eru gildin sem þú verður að endurskapa nákvæmlega:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Settu þessi gildi í miðann fyrir fyrstu eyðingu. Endurbyggingin hér fyrir neðan virkar aðeins vegna þess að þú getur búið til sama hlutinn aftur með einum viljandi mun.

Reikniritin sem annar aðilinn neitar að semja um

Cloud VPN velur ekki úr úrvali IKEv1-reiknirita eins og hefðbundinn jafningi. Jafningjastillingarnar sem það væntir eru fastar: aes-cbc-128 fyrir dulkóðun, sha1-96 fyrir bæði heilleika og PRF, Diffie-Hellman hópur 2, 36,600 sekúndur fyrir fasa 1 og 10,800 sekúndur fyrir fasa 2. Stefna ASA verður að bjóða nákvæmlega þetta sett. Önnur tillaga á ASA gerir ekki skaða svo framarlega sem sú sem passar er líka á listanum.

IKEv2 gefur báðum aðilum meira rými, en reglurnar halda sömu lögun: virkjaðu PFS, veldu DH-hóp sem tunelið styður og haltu tillögulistanum nógu stuttum til að misræmi sé augljóst. ASA-jafningi á Cloud VPN þýðir líka kyrrstæða leiðsögn, svo vernduð forliðir verða að vera skipulagðir og skráðir í stað þess að láta BGP um þá.

Líftími afritaður úr sniði annars framleiðanda er venjulega ranga beygjan hér. Google birtir þessi gildi sem áskildar jafningjastillingar, svo settu þau; styttra gildi er ekki samið upp í það sem ASA vill.

Eyddu, endurbúðu og hreinsaðu gamla ástandið

Eyddu tunelinu, ekki gáttinni, og skráðu nafnið sem Cloud VPN gefur staðgenglinum, því nöfnum er úthlutað og þau ekki endurnotuð. Endurbúðu það með skráðu gildunum og sama jafningjavistfangi, og bættu síðan passandi tillögunni við stefnulista ASA.

Hreinsaðu öryggissamtökin eftir breytinguna á ASA og áður en þú lest niðurstöðuna. ASA getur haldið áfram að bjóða úrelta stefnu þar til núverandi SA rennur út, svo rétt stilling virðist brotin allan líftíma hins gamla og áhorfandinn ályktar að endurbyggingin hafi mistekist þegar hún var ekki byrjuð:

clear crypto ikev2 sa
clear crypto ipsec sa

Staðfestu að fasi 1 komi upp áður en þú skoðar fasa 2. Meðan fasi 1 er niðri er tillagan eða fyrirfram deildi lykillinn rangur, og vinna með valana breytir því ekki.

Valarnir speglast, síðan ráða teljararnir

Fasi 2 virkar aðeins þegar báðir endar eru sammála um vistfangin sem er verndað, og samkomulagið er speglað en ekki sameiginlegt. Staðbundni valinn hjá Google verður að passa við valann sem ASA kallar fjarlægan, og fjarlægi valinn hjá Google við það sem ASA kallar staðbundið. Tunel með 0.0.0.0/0 á annarri hlið og eitt undirnet á hinni fer í gegnum fasa 1 og mistekst síðan í fasa 2 með sömu aðalvillunni. Hvorug hlið getur breikkað listann hjá hinni.

Fyrir vala sem byggjast á stefnu skaltu skrá hvert forskeytapar og halda listanum í miðanum. Undirnet sem bætt er við á staðnum síðar krefst breytingar á báðum endum, því ný leið á ASA breikkar ekki vala, og niðurstaðan er tunel sem er uppi og hleypir aðeins umferð í gegn fyrir forskeytin sem voru til á fyrsta degi.

Endaðu á einu flæði frá hýsli til hýslis og lestu bætateljarana á báðum hliðum. Teljarar sem hækka á ASA en standa í stað hjá Google þýða venjulega að svarið fari út um annað viðmót, eða að valinn nái ekki yfir afturforskeytið. Skráðu reikniritin, líftímana, valana og nýja tunelnafnið, því næsta tillögubreyting endurtekur þessa endurbyggingu og þessi gildi gera hana að stuttu verkefni.