GCP HA VPN hafnar FortiGate: tegund staðbundins ID passar ekki

AUTHENTICATION_FAILED frá Google Cloud HA VPN sendir fólk venjulega aftur að fyrirfram deilda lyklinum, og lykillinn er yfirleitt réttur. Göngin stöðvast í fasa 1 vegna þess að Google ber saman eitthvað annað líka: auðkennið sem jafninginn heldur fram í IKE-skiptunum. Á FortiGate getur það auðkenni skipt um tegund án þess að nokkur breyti vistfangi. Lestu annálinn sem misræmi í auðkenni þegar lykillinn hefur verið sleginn inn aftur tvisvar.

Ein bilun, tvær prófanir

IKE sannreynir jafningja í tveimur aðskildum skrefum. Fyrirfram deildi lykillinn sannar að báðir endar hafa sama leyndarmálið, og auðkenni sem haldið er fram segir svarandanum hverjum jafninginn segist vera. Google ber það auðkenni saman við jafningjann sem það var stillt með. Ef látið er eitt og sér sendir FortiGate vistfangsbyggt auðkenni dregið af útgangstenginu, og samanburðurinn gengur án þess að nokkur taki eftir því.

Bæði skrefin lenda í sama fati í annálnum, sem útskýrir hin kunnuglegu lykkju að slá lykilinn inn fjórum sinnum aftur áður en einhver les auðkennisbyrðina.

Hvað FortiGate setur í auðkennisbyrðina

Vandamálið byrjar þegar einhver stillir staðbundið ID svo að hliðarnar tvær verði sammála. Nýlegar FortiOS-útgáfur merkja það auðkenni sem fullt hæft lénsheiti jafnvel þótt gildið sem slegið er inn sé vistfang með punktum. Google fær því auðkenni af gerðinni FQDN á meðan það væntir vistfangs, og það hafnar lotunni. Ekkert í skilaboðunum segir hvor helmingurinn brást, þannig að skýrslan er lesin sem auðkenningarbilun.

Endurgerðu þetta einu sinni með IKE-kembifrávinnslu virkri og lestu auðkennisbyrðina sem eldveggurinn sendir í raun.

Í sama ferli skaltu staðfesta þrjár ódýrar staðreyndir: IKE-útgáfuna sem báðir endar nota, nákvæma lykilinn þar á meðal ósýnileg lokaformerki, og jafningjavistfangið sem Google væntir. Þær svara mismunandi spurningum, og samsvarandi lykill segir ekkert um auðkennið.

Valkostir og hvað hver kostar

Sérhver útganga lagar annan lag, og engin þeirra er í boði fyrir hverja uppsetningu.

Að leiðrétta auðkennið á eldveggnum er hreinasta svarið þar sem fastbúnaðurinn leyfir þér að velja tegundina og halda gildinu. Reiturinn er til í sumum útgáfum og fyllir tegundina rangt í öðrum, svo prófaðu þína útgáfu í stað þess að treysta útgáfuskýrslum.

Leiðanlegt opinbert vistfang á samningstenginu er skjalfesta leiðin í kring, því þá passar sjálfgefna auðkennið við það sem Google væntir og engin yfirskrift er nauðsynleg. Þangað lenda flestar uppsetningar, ef eldveggurinn getur yfirleitt haldið slíku vistfangi.

Að ljúka á jafningja sem staðfestir það sem þú framleiðir er breyting á grannfræði. Meðhöndla það sem hönnunarákvörðun en ekki leið í kring með vingjarnlegri lýsingu.

Þegar NAT fjarlægir einn valkost

Að baki NAT hverfur útgangan um opinbert vistfang, og það sem eftir er fer eftir hegðun fastbúnaðarins sem þú stjórnar ekki. Það er punkturinn til að velja viljandi á milli uppfærslu, að flytja jafningjann eða að samþykkja annan skýjaendapunkt. Þetta eru þrjár mismunandi fjárhagsáætlanir, og að velja eina fyrir slysni er hvernig tímabundin leið verður að arkitektúr. Skrifaðu valið og ástæðu þess við göngin.

Áður en þú túlkar nokkuð af þessu skaltu staðfesta stöðu ganganna á Google-hlið og að IKE sé ekki einfaldlega hent á leiðinni. Hentri pakka lýkur á tíma; hann framleiðir ekki höfnun.

Hvað á að skrá meðan það virkar

Skráðu tegund auðkennisins, gildi þess, útgáfu fastbúnaðarins og jafningjavistfangið sem voru í gildi þegar göngin komu síðast upp. Uppfærsla fastbúnaðar getur breytt sjálfgefna gildinu aftur, og næsta bilun mun líta nákvæmlega út eins og lykilmisræmi. Með auðkennið geymt við hlið lykilsins og jafningjavistfangsins byrjar næsta manneskja á ódýru prófununum.

Sú skráning er líka eina leiðin til að vita hvort enn þurfi leið í kring eftir næstu uppfærslu.