Cloud VPN пен Cisco ASA: ұсыныс сәйкессіздігінен кейін қайта құру

Cloud VPN ұсынысты туннель нысанына енгізеді, сондықтан ASA-мен сәйкессіздік оны қайта құруды білдіреді. Селекторларды жазып алыңыз, екі фазаны сәйкестендіріңіз, ескі SA-ларды тазалаңыз.

Арғы жағында Cisco ASA бар Cloud VPN туннеліндегі NEGOTIATION_FAILURE дерлік әрдайым ұсыныс немесе селекторлар сәйкессіздігі болып табылады, және бірінші пайдалы факт — ешбір өңдеу мұны түзетпейді. Cloud VPN IKE ұсынысын туннель нысаны жасалған кезде бекітеді. Алгоритмді орнында өзгертетін өріс жоқ, сондықтан жөндеу — жою және жазылған бастапқы нүктемемен қайта жасау. Оны қайта құру ретінде қарастырыңыз, сонда жұмыс болжамға толы түстен кейін емес, тексеру тізіміне айналады.

Бірдеңені жоймас бұрын ақаулықты оқыңыз

Келіссөз ақаулығы — фаза мәселесі, ал серіктес журналы әдетте фазаны атайды. 1-фазаның сәтсіздігі екі жақтың ұсыныс туралы келісе алмағанын немесе бір-бірін аутентификациялай алмағанын білдіреді. 2-фазаның сәтсіздігі туннель көтерілгенін, бірақ қорғалған селекторлар сәйкес келмегенін білдіреді. Бұл түрлі жөндеулер, және біреу конфигурацияға қол тигізбес бұрын журнал жолын алып қою керек.

Ақаулық кейбір нәрселерді де жоққа шығарады. Бұл VPC маршруты емес, туннель интерфейсіндегі firewall ережесі емес және желі ішіндегі атауларды шешу ақауы емес. Олардың соңынан қуу нәтижені өзгерте алмайтын сенімді өзгерістер жасайды және түпкілікті түзетуді кімге телу керегін қиындатады.

Екі конфигурацияны да әлі бар кезде жазып алыңыз

Туннельді жою жарты минут алады және сіздегі жалғыз дәлелді жояды. Оған дейін жергілікті және қашықтағы селекторларды, серіктес мекенжайын, ортақ құпия кімге тиесілі екенін және ASA-ның crypto map немесе IKEv2 профилін жазыңыз. ASA екі бөлек сұраққа жауап береді: не конфигурацияланған және қазір не көтерілген:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google жағында консоль жиынтығын емес, туннель нысанын оқыңыз, өйткені серіктес мекенжайы мен селектор өрістері — дәл қайта шығаруға тиіс мәндер:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Бұл мәндерді бірінші жою алдында тикетке жазыңыз. Төмендегі қайта құру тек сол нысанды бір әдейі айырмашылықпен қайта жасай алатыныңыз үшін жұмыс істейді.

Бір жақ келісуге бас тартатын алгоритмдер

Cloud VPN дәстүрлі серіктес сияқты IKEv1 алгоритмдерінің ауқымынан таңдамайды. Ол күтетін серіктес параметрлері тіркелген: шифрлау үшін aes-cbc-128, тұтастық пен PRF үшін sha1-96, Diffie-Hellman 2-тобы, 1-фаза үшін 36,600 секунд және 2-фаза үшін 10,800 секунд. ASA саясаты дәл осы жиынды ұсынуы керек. ASA-да екінші ұсыныс зиянсыз, егер сәйкес келетіні де тізімде болса.

IKEv2 екі жаққа кеңірек орын береді, бірақ ережелер сол пішінді сақтайды: PFS қосыңыз, туннель қолдайтын DH тобын таңдаңыз және ұсыныстар тізімін сәйкессіздік айқын болатындай қысқа ұстаңыз. Cloud VPN-де ASA серіктесі статикалық маршруттауды да білдіреді, сондықтан қорғалған префикстерді BGP-ге қалдырмай жоспарлап, тізімдеу керек.

Басқа өндірушінің үлгісінен көшірілген өмір сүру мерзімі осындағы әдеттегі қате бұрылыс. Google бұл мәндерді міндетті серіктес параметрлері ретінде жариялайды, сондықтан оларды орнатыңыз; қысқа мән ASA қалаған деңгейге дейін жоғары келісілмейді.

Жойыңыз, қайта жасаңыз және ескі күйді тазалаңыз

Gateway-ді емес, туннельді жойыңыз және Cloud VPN ауыстырғышқа беретін атауды жазып алыңыз, өйткені атаулар қайта пайдаланылмай, беріледі. Оны жазылған мәндермен және сол серіктес мекенжайымен қайта жасаңыз, содан кейін сәйкес ұсынысты ASA саясат тізіміне қосыңыз.

Қауіпсіздік ассоциацияларын ASA өзгерісінен кейін және нәтижені оқымас бұрын тазалаңыз. ASA ағымдағы SA бітпейінше ескірген саясатты ұсына беруі мүмкін, сондықтан дұрыс конфигурация ескі мерзімнің бүкіл бойы бұзылған болып көрінеді және бақылаушы қайта құру басталмай жатып сәтсіз болды деп қорытынды жасайды:

clear crypto ikev2 sa
clear crypto ipsec sa

2-фазаға қарамас бұрын 1-фазаның көтерілгенін растаңыз. 1-фаза төмен тұрғанда ұсыныс немесе алдын ала бөлісілген кілт қате, және селектор жұмысы оны өзгертпейді.

Селекторлар айнадай сәйкестенеді, содан кейін санауыштар шешеді

2-фаза тек екі жақ қорғалатын мекенжайлар туралы келіскенде ғана жұмыс істейді, және келісім ортақ емес, айна тәрізді. Google-дың жергілікті селекторы ASA қашықтағы деп атайтын селекторға, ал Google-дың қашықтағы селекторы ASA жергілікті деп атайтынға сәйкес болуы керек. Бір жағында 0.0.0.0/0, екінші жағында бір ғана қосымша желі бар туннель 1-фазадан өтеді, содан кейін сол негізгі қатемен 2-фазада сәтсіз аяқталады. Ешбір жақ екінші жақтың тізімін кеңейте алмайды.

Саясатқа негізделген селекторлар үшін әр префикс жұбын тізімдеп, тізімді тикетте ұстаңыз. Кейінірек жергілікті желіде қосылған қосымша желі екі жақта да өңдеуді қажет етеді, өйткені ASA-дағы жаңа маршрут селекторды кеңейтпейді, және нәтиже — көтерілген, бірақ трафикті тек бірінші күні болған префикстер үшін өткізетін туннель.

Бір хосттан хостқа ағынмен аяқтаңыз және екі жақтағы байт санауыштарын оқыңыз. ASA-да өсіп, Google-да қозғалмай тұрған санауыштар әдетте жауаптың басқа интерфейстен шығатынын немесе селектор қайтару префиксін қамтымайтынын білдіреді. Алгоритмдерді, мерзімдерді, селекторларды және жаңа туннель атауын жазып алыңыз, өйткені келесі ұсыныс өзгерісі осы қайта құруды қайталайды және бұл мәндер оны қысқа жұмысқа айналдырады.

Қатысты мақалалар