GCP HA VPN FortiGate-ті қабылдамайды: жергілікті ID түрі сәйкес емес
Google тек алдын ала бөлісілген кілтті емес, FortiGate мәлімдеген идентитетті де салыстырады. FQDN типті жергілікті ID бұл тексеруден өтпейді, журнал әлі де аутентификация дейді.
Google Cloud HA VPN-нен келген AUTHENTICATION_FAILED адамдарды әдетте алдын ала бөлісілген кілтке қайтарады, ал кілт әдетте дұрыс болады. Туннель 1 фазада тұрып қалады, себебі Google тағы бір нәрсені салыстырады: IKE алмасуы кезінде серіктес мәлімдеген идентитетті. FortiGate-те бұл идентитет ешкім мекенжайды өңдемесе де түрін өзгерте алады. Кілт екі рет қайта енгізілген соң журналды идентитет сәйкессіздігі ретінде оқыңыз.
Бір сәтсіздік, екі тексеру
IKE серіктесті екі бөлек қадамда тексереді. Алдын ала бөлісілген кілт екі жақта бірдей құпия бар екенін дәлелдейді, ал мәлімделген идентитет жауап берушіге серіктестің өзін кім деп көрсететінін айтады. Google сол идентитетті ол конфигурацияланған серіктеспен салыстырады. Өз бетіне қалдырылса, FortiGate шығыс интерфейсінен алынған мекенжайға негізделген идентитет жібереді, ал салыстыру ешкім байқамай өтеді.
Екі қадам да журналда бір шелекке түседі, бұл таныс циклді түсіндіреді: идентитеттің пайдалы жүктемесін біреу оқығанша кілтті төрт рет қайта теру.
FortiGate идентитеттің пайдалы жүктемесіне не салады
Қиындық біреу жергілікті ID орнатқанда басталады, екі жақ келісуі үшін. FortiOS-тің соңғы құрылымдары бұл идентитетті толық білікті домен аты ретінде белгілейді, тіпті енгізілген мән нүктелі мекенжай болса да. Сондықтан Google мекенжай күтіп отырып FQDN идентитетін алады және сессиядан бас тартады. Хабарламада қай жартысы сәтсіз болғаны айтылмайды, сондықтан есеп аутентификация сәтсіздігі ретінде оқылады.
IKE жөндеуін қосып, оны бір рет қайталаңыз және өрт қабырғасы шынымен жіберетін идентитет жүктемесін оқыңыз.
Сол жүрісте үш арзан фактіні растаңыз: екі жақ қолданатын IKE нұсқасы, көрінбейтін соңғы таңбаларды қоса алғанда нақты кілт, және Google күтетін серіктес мекенжайы. Олар әртүрлі сұрақтарға жауап береді, ал сәйкес кілт идентитет туралы ештеңе айтпайды.
Нұсқалар және әрқайсысының құны
Әр шығу жолы басқа қабатты түзетеді және олардың ешқайсысы барлық орналастыруға қолжетімді емес.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Өрт қабырғасындағы идентитетті түзету — firmware түрін таңдауға және мәнді сақтауға мүмкіндік беретін жердегі ең таза жауап. Өріс кейбір құрылымдарда бар, ал басқаларында түрді қате толтырады, сондықтан шығарылым жазбаларына сенудің орнына өз нұсқаңызды сынап көріңіз.
Келіссөз интерфейсіндегі маршрутталатын жария мекенжай — құжатталған айналма жол, өйткені онда әдепкі идентитет Google күтетінмен сәйкес келеді және ешқандай қайта жазу қажет емес. Егер өрт қабырғасы мұндай мекенжайды ұстай алса, көптеген орналастырулар осында тоқтайды.
Сіз өндіретін нәрсені тексеруші серіктесте аяқтау — топологияның өзгеруі. Оған жұмсақ сипаттамалы айналма жол ретінде емес, дизайн шешімі ретінде қараңыз.
NAT бір нұсқаны алып тастағанда
NAT артында жария мекенжай арқылы шығу жоғалады, ал қалғаны сіз бақыламайтын firmware мінезіне байланысты. Бұл — жаңарту, серіктесті көшіру немесе басқа бұлттық соңғы нүктені қабылдау арасында саналы түрде таңдайтын сәт. Бұл үш түрлі бюджет, ал біреуін кездейсоқ таңдау уақытша айналма жолдың архитектураға айналу жолы. Таңдауды және оның себебін туннельдің қасына жазыңыз.
Осының кез келгенін түсіндіруден бұрын Google жағындағы туннель күйін және IKE жолда жай ғана тасталып жатпағанын растаңыз. Тасталған пакет уақыт бітіп тоқтайды; ол бас тарту тудырмайды.
Жұмыс істеп тұрғанда нені жазу керек
Туннель соңғы рет көтерілгенде күшінде болған идентитет түрін, оның мәнін, firmware нұсқасын және серіктес мекенжайын жазып алыңыз. Firmware жаңартуы әдепкіні қайта өзгертуі мүмкін, ал келесі сәтсіздік дәл кілт сәйкессіздігіне ұқсайды. Идентитет кілт пен серіктес мекенжайының қасында сақталса, келесі адам арзан тексерулерден бастайды.
Бұл жазба келесі жаңартудан кейін айналма жол әлі керек пе екенін білудің де жалғыз жолы.