Cloud VPN Cisco ASA-სკენ: გადაკეთება წინადადების შეუთანხმებლობის შემდეგ

Cloud VPN წინადადებას გვირაბის ობიექტში ათავსებს, ამიტომ ASA-სთან შეუთანხმებლობა ნიშნავს მის გადაკეთებას. ჩაწერეთ სელექტორები, შეათანხმეთ ორივე ფაზა, გაასუფთავეთ ძველი SA-ები.

NEGOTIATION_FAILURE Cloud VPN-ის გვირაბზე, რომლის მეორე ბოლოში Cisco ASA არის, თითქმის ყოველთვის წინადადების ან სელექტორების შეუთანხმებლობაა, და პირველი სასარგებლო ფაქტია, რომ ვერც ერთი რედაქტირება ამას ვერ გამოასწორებს. Cloud VPN IKE წინადადებას გვირაბის ობიექტის შექმნისას აფიქსირებს. ადგილზე ალგორითმის შეცვლის ველი არ არსებობს, ამიტომ შეკეთება ნიშნავს წაშლას და ხელახლა შექმნას ჩაწერილი საწყისი წერტილით. მოეკიდეთ როგორც გადაკეთებას და სამუშაო გადაიქცევა სიად, და არა ვარაუდებით სავსე ნახევარ დღედ.

წაიკითხეთ მარცხი, სანამ რამეს წაშლით

მოლაპარაკების მარცხი ფაზის პრობლემაა და პარტნიორის ჟურნალი ჩვეულებრივ ფაზას ასახელებს. 1-ლი ფაზის მარცხი ნიშნავს, რომ ბოლოებმა ვერ შეძლეს წინადადებაზე შეთანხმება ან ერთმანეთის ავთენტიფიკაცია. მე-2 ფაზის მარცხი ნიშნავს, რომ გვირაბი ავიდა და დაცული სელექტორები არ დაემთხვა. ეს სხვადასხვა შეკეთებაა და ღირს ჟურნალის სტრიქონის ამოღება, სანამ ვინმე კონფიგურაციას შეეხება.

მარცხი ასევე გამორიცხავს ზოგიერთ რამეს. ეს არ არის VPC მარშრუტი, არც firewall-ის წესი გვირაბის ინტერფეისზე და არც ქსელის შიგნით სახელების გარჩევის ხარვეზი. მათ უკან დევნა იძლევა თავდაჯერებულ ცვლილებებს, რომლებიც შედეგს ვერ შეცვლიან, და ართულებს საბოლოო გამოსწორების მიკუთვნებას.

ჩაწერეთ ორივე კონფიგურაცია, სანამ ისინი ჯერ კიდევ არსებობს

გვირაბის წაშლას ნახევარი წუთი სჭირდება და ანადგურებს ერთადერთ მტკიცებულებას, რაც გქონდათ. მანამდე ჩაწერეთ ლოკალური და დისტანციური სელექტორები, პარტნიორის მისამართი, ვის ეკუთვნის საერთო საიდუმლო და ASA-ს crypto map ან IKEv2 პროფილი. ASA პასუხობს ორ ცალკე კითხვას: რა არის კონფიგურირებული და რა არის ახლა აწეული:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google-ის მხარეს წაიკითხეთ გვირაბის ობიექტი და არა კონსოლის შეჯამება, რადგან პარტნიორის მისამართი და სელექტორის ველები სწორედ ის მნიშვნელობებია, რომლებიც ზუსტად უნდა გაამრავლოთ:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

ის მნიშვნელობები ბილეთში ჩაწერეთ პირველ წაშლამდე. ქვემოთ მოცემული გადაკეთება მუშაობს მხოლოდ იმიტომ, რომ შეგიძლიათ იგივე ობიექტი ხელახლა შექმნათ ერთი განზრახ განსხვავებით.

ალგორითმები, რომლებზეც ერთი მხარე მოლაპარაკებაზე უარს ამბობს

Cloud VPN არ ირჩევს IKEv1 ალგორითმების სპექტრიდან, როგორც ტრადიციული პარტნიორი. პარტნიორის პარამეტრები, რომლებსაც ის ელოდება, ფიქსირებულია: aes-cbc-128 დაშიფვრისთვის, sha1-96 როგორც მთლიანობისთვის, ასევე PRF-ისთვის, Diffie-Hellman-ის მე-2 ჯგუფი, 36,600 წამი 1-ლი ფაზისთვის და 10,800 წამი მე-2 ფაზისთვის. ASA-ს პოლიტიკამ ზუსტად ეს ნაკრები უნდა შესთავაზოს. მეორე წინადადება ASA-ზე ზიანს არ აყენებს, თუ შესაბამისი ჩანაწერიც სიაშია.

IKEv2 ორივე მხარეს მეტ სივრცეს აძლევს, მაგრამ წესები იმავე ფორმას ინარჩუნებს: ჩართეთ PFS, აირჩიეთ DH ჯგუფი, რომელსაც გვირაბი მხარს უჭერს, და წინადადებების სია იმდენად მოკლე შეინახეთ, რომ შეუთანხმებლობა თვალსაჩინო იყოს. Cloud VPN-ზე ASA პარტნიორი ნიშნავს სტატიკურ მარშრუტიზაციასაც, ამიტომ დაცული პრეფიქსები უნდა დაიგეგმოს და ჩამოიწეროს, და არ დარჩეს BGP-ისთვის.

სხვა მწარმოებლის შაბლონიდან კოპირებული სიცოცხლის ხანგრძლივობა აქ ჩვეულებრივი არასწორი მოსახვევია. Google ამ მნიშვნელობებს სავალდებულო პარტნიორის პარამეტრებად აქვეყნებს, ამიტომ დააყენეთ ისინი; უფრო მოკლე მნიშვნელობა არ ითარგმნება ზემოთ იმამდე, რაც ASA-ს სურს.

წაშალეთ, ხელახლა შექმენით და გაასუფთავეთ ძველი მდგომარეობა

წაშალეთ გვირაბი და არა კარიბჭე, და ჩაწერეთ სახელი, რომელსაც Cloud VPN შემცვლელს აძლევს, რადგან სახელები ნაწილდება და ხელახლა არ გამოიყენება. ხელახლა შექმენით ის ჩაწერილი მნიშვნელობებითა და იმავე პარტნიორის მისამართით, შემდეგ დაამატეთ შესაბამისი წინადადება ASA-ს პოლიტიკის სიაში.

გაასუფთავეთ უსაფრთხოების ასოციაციები ASA-ს ცვლილების შემდეგ და შედეგის წაკითხვამდე. ASA შეიძლება განაგრძოს მოძველებული პოლიტიკის შეთავაზება, სანამ მიმდინარე SA ამოიწურება, ამიტომ სწორი კონფიგურაცია ძველი ვადის მთელი ხანგრძლივობით გატეხილად გამოიყურება და დამკვირვებელი ასკვნის, რომ გადაკეთება ჩავარდა, მაშინ როცა ის ჯერ არ დაწყებულა:

clear crypto ikev2 sa
clear crypto ipsec sa

დარწმუნდით, რომ 1-ლი ფაზა ადის, სანამ მე-2 ფაზას შეხედავთ. სანამ 1-ლი ფაზა დაბლაა, წინადადება ან წინასწარ გაზიარებული გასაღები არასწორია და სელექტორებზე მუშაობა ამას არ შეცვლის.

სელექტორები სარკისებურად თანხვედრდება, შემდეგ კი მთვლელები წყვეტენ

მე-2 ფაზა მუშაობს მხოლოდ მაშინ, როცა ორივე ბოლო თანხმდება დაცულ მისამართებზე, და შეთანხმება სარკისებურია და არა საერთო. Google-ის ლოკალური სელექტორი უნდა ემთხვეოდეს იმ სელექტორს, რომელსაც ASA დისტანციურს უწოდებს, ხოლო Google-ის დისტანციური სელექტორი იმას, რასაც ASA ლოკალურს უწოდებს. გვირაბი, რომლის ერთ მხარეს 0.0.0.0/0 არის, მეორეზე კი ერთი ქვექსელი, გადის 1-ლ ფაზას და შემდეგ მე-2 ფაზაზე იმავე მთავარი შეცდომით ვარდება. არც ერთ მხარეს არ შეუძლია მეორის სიის გაფართოება.

პოლიტიკაზე დაფუძნებული სელექტორებისთვის ჩამოწერეთ ყოველი წყვილი პრეფიქსი და სია ბილეთში შეინახეთ. მოგვიანებით ადგილზე დამატებული ქვექსელი ორივე ბოლოში რედაქტირებას მოითხოვს, რადგან ASA-ზე ახალი მარშრუტი სელექტორს არ აფართოებს, და შედეგია გვირაბი, რომელიც აწეულია და ტრაფიკს გაატარებს მხოლოდ იმ პრეფიქსებისთვის, რომლებიც პირველ დღეს არსებობდა.

დაასრულეთ ერთი ჰოსტიდან ჰოსტზე ნაკადით და წაიკითხეთ ბაიტების მთვლელები ორივე მხარეს. ASA-ზე მზარდი და Google-ზე ბრტყლად დარჩენილი მთვლელები ჩვეულებრივ ნიშნავს, რომ პასუხი სხვა ინტერფეისით გადის, ან სელექტორი დაბრუნების პრეფიქსს არ ფარავს. ჩაწერეთ ალგორითმები, ვადები, სელექტორები და გვირაბის ახალი სახელი, რადგან შემდეგი წინადადების ცვლილება იმეორებს ამ გადაკეთებას და ეს მნიშვნელობები მას ხანმოკლე საქმედ აქცევს.

დაკავშირებული სტატიები