GCP HA VPN უარყოფს FortiGate-ს: ლოკალური ID-ის ტიპი არ ემთხვევა
Google ადარებს იმ იდენტობას, რომელსაც FortiGate აცხადებს, და არა მხოლოდ წინასწარ გაზიარებულ გასაღებს. FQDN ტიპის ლოკალური ID ვერ გადის ამ შემოწმებას, მაშინ როცა ჟურნალი ჯერ კიდევ ამბობს ავთენტიფიკაციას.
AUTHENTICATION_FAILED Google Cloud HA VPN-იდან ჩვეულებრივ ადამიანებს უკან წინასწარ გაზიარებულ გასაღებთან აბრუნებს, და გასაღები ჩვეულებრივ სწორია. გვირაბი 1 ფაზაზე ჩერდება, რადგან Google სხვა რამესაც ადარებს: იმ იდენტობას, რომელსაც პარტნიორი IKE გაცვლის დროს აცხადებს. FortiGate-ზე ეს იდენტობა შეიძლება ტიპი შეიცვალოს ისე, რომ არავინ შეცვალოს მისამართი. ჟურნალი წაიკითხეთ როგორც იდენტობის შეუსაბამობა მას შემდეგ, რაც გასაღები ორჯერ ხელახლა შეიყვანეს.
ერთი მარცხი, ორი შემოწმება
IKE პარტნიორს ორ ცალკეულ ნაბიჯში ამოწმებს. წინასწარ გაზიარებული გასაღები ამტკიცებს, რომ ორივე მხარეს ერთი და იგივე საიდუმლო აქვს, ხოლო გამოცხადებული იდენტობა მპასუხობელს ეუბნება, ვისაც პარტნიორი თავს უწოდებს. Google ამ იდენტობას ადარებს იმ პარტნიორს, რომელთანაც ის კონფიგურირებულია. თავისთვის მიტოვებისას FortiGate აგზავნის გამავალი ინტერფეისიდან გამოყვანილ მისამართზე დაფუძნებულ იდენტობას, და შედარება შეუმჩნევლად გადის.
ორივე ნაბიჯი ჟურნალში ერთსა და იმავე კალათაში ხვდება, რაც ხსნის ნაცნობ ციკლს: გასაღების ოთხჯერ ხელახლა აკრეფას მანამ, სანამ ვინმე იდენტობის დატვირთვას წაიკითხავს.
რას დებს FortiGate იდენტობის დატვირთვაში
პრობლემა მაშინ იწყება, როცა ვიღაც აყენებს ლოკალურ ID-ს რომ ორივე მხარე შეთანხმდეს. FortiOS-ის ბოლო ნაგებობები ამ იდენტობას სრულად კვალიფიცირებულ დომენურ სახელად აღნიშნავენ, მაშინაც კი, როცა შეყვანილი მნიშვნელობა წერტილებიანი მისამართია. ამიტომ Google იღებს FQDN იდენტობას, სანამ მისამართს ელოდება, და უარყოფს სესიას. შეტყობინებაში არაფერი ამბობს, რომელი ნახევარი ჩავარდა, ამიტომ ანგარიში იკითხება როგორც ავთენტიფიკაციის მარცხი.
გაიმეორეთ ეს ერთხელ IKE გამართვის ჩართვით და წაიკითხეთ ის იდენტობის დატვირთვა, რომელსაც ქსელური ფარი რეალურად აგზავნის.
იმავე გავლით დაადასტურეთ სამი იაფი ფაქტი: ორივე მხარის მიერ გამოყენებული IKE ვერსია, ზუსტი გასაღები უხილავი ბოლო სიმბოლოების ჩათვლით, და ის პარტნიორის მისამართი, რომელსაც Google ელოდება. ისინი სხვადასხვა კითხვას პასუხობენ, და დამთხვეული გასაღები იდენტობაზე არაფერს ამბობს.
ვარიანტები და რა ღირს თითოეული
ყოველი გასასვლელი სხვა ფენას ასწორებს, და არც ერთი მათგანი ყველა განლაგებისთვის ხელმისაწვდომი არ არის.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
იდენტობის გასწორება ქსელურ ფარზე ყველაზე სუფთა პასუხია, სადაც პროგრამული უზრუნველყოფა გაძლევთ ტიპის არჩევისა და მნიშვნელობის შენარჩუნების საშუალებას. ველი ზოგ ნაგებობაში არსებობს, ზოგში კი ტიპს არასწორად ავსებს, ამიტომ გამოსცადეთ თქვენი ვერსია და ნუ დაეყრდნობით გამოშვების შენიშვნებს.
მარშრუტიზებადი საჯარო მისამართი მოლაპარაკების ინტერფეისზე დოკუმენტირებული გვერდის ავლაა, რადგან მაშინ ნაგულისხმევი იდენტობა ემთხვევა იმას, რასაც Google ელოდება, და გადაფარვა აღარაა საჭირო. სწორედ აქ მთავრდება განლაგებათა უმეტესობა, თუ ქსელურ ფარს საერთოდ შეუძლია ასეთი მისამართის შენარჩუნება.
ისეთ პარტნიორზე დასრულება, რომელიც ამოწმებს თქვენს ნაწარმს, ტოპოლოგიის ცვლილებაა. მოექეცით მას როგორც დიზაინის გადაწყვეტილებას და არა როგორც უფრო მეგობრული აღწერის მქონე გვერდის ავლას.
როცა NAT აშორებს ერთ ვარიანტს
NAT-ის მიღმა საჯარო მისამართით გასასვლელი ქრება, და დარჩენილი დამოკიდებულია პროგრამული უზრუნველყოფის ქცევაზე, რომელსაც თქვენ არ აკონტროლებთ. სწორედ ეს არის მომენტი, როცა გაცნობიერებულად უნდა აირჩიოთ განახლებას, პარტნიორის გადატანასა და სხვა ღრუბლოვანი საბოლოო წერტილის მიღებას შორის. ეს სამი განსხვავებული ბიუჯეტია, და შემთხვევით ერთის არჩევა არის ის, რითაც დროებითი გვერდის ავლა არქიტექტურად იქცევა. არჩევანი და მისი მიზეზი დაწერეთ გვირაბის გვერდით.
სანამ რომელიმე ამას ინტერპრეტაციას მოახდენთ, დაადასტურეთ გვირაბის მდგომარეობა Google-ის მხარეს და ის, რომ IKE უბრალოდ გზაში არ იყრება. გადაგდებული პაკეტი ვადას იწურებს; ის უარყოფას არ ქმნის.
რა ჩაიწეროს, სანამ მუშაობს
ჩაწერეთ იდენტობის ტიპი, მისი მნიშვნელობა, პროგრამული უზრუნველყოფის ვერსია და პარტნიორის მისამართი, რომლებიც ძალაში იყო, როცა გვირაბი ბოლოჯერ ამოვიდა. პროგრამული უზრუნველყოფის განახლებამ შეიძლება ისევ შეცვალოს ნაგულისხმევი, და შემდეგი მარცხი ზუსტად გასაღების შეუსაბამობას დაემსგავსება. როცა იდენტობა გასაღებისა და პარტნიორის მისამართის გვერდით არის შენახული, შემდეგი ადამიანი იაფი შემოწმებებით იწყებს.
ეს ჩანაწერი ასევე ერთადერთი გზაა იმის გასაგებად, საჭიროა თუ არა გვერდის ავლა შემდეგი განახლების შემდეგ.