Cloud VPN ನಿಂದ Cisco ASA: ಪ್ರಸ್ತಾವದ ಹೊಂದಾಣಿಕೆ ವೈಫಲ್ಯದ ನಂತರ ಮರುನಿರ್ಮಾಣ

Cloud VPN ಪ್ರಸ್ತಾವವನ್ನು ಟನೆಲ್ ಆಬ್ಜೆಕ್ಟ್‌ಗೆ ಸೇರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ASA ಜೊತೆ ಹೊಂದಾಣಿಕೆ ಇಲ್ಲದಿದ್ದರೆ ಅದನ್ನು ಮರುನಿರ್ಮಿಸಬೇಕು. ಸೆಲೆಕ್ಟರ್‌ಗಳನ್ನು ದಾಖಲಿಸಿ, ಎರಡೂ ಹಂತಗಳನ್ನು ಹೊಂದಿಸಿ, ಹಳೆಯ SA ಅನ್ನು ಅಳಿಸಿ.

ದೂರದ ತುದಿಯಲ್ಲಿ Cisco ASA ಇರುವ Cloud VPN ಟನೆಲ್‌ನಲ್ಲಿ NEGOTIATION_FAILURE ಎಂದರೆ ಬಹುತೇಕ ಯಾವಾಗಲೂ ಪ್ರಸ್ತಾವ ಅಥವಾ ಸೆಲೆಕ್ಟರ್‌ಗಳ ಹೊಂದಾಣಿಕೆ ಇಲ್ಲದಿರುವುದು, ಮತ್ತು ಮೊದಲ ಉಪಯುಕ್ತ ಸತ್ಯವೆಂದರೆ ಯಾವುದೇ ಸಂಪಾದನೆ ಅದನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ. ಟನೆಲ್ ಆಬ್ಜೆಕ್ಟ್ ರಚಿಸುವಾಗಲೇ Cloud VPN IKE ಪ್ರಸ್ತಾವವನ್ನು ಸ್ಥಿರಗೊಳಿಸುತ್ತದೆ. ಅಲ್ಗಾರಿದಮ್ ಅನ್ನು ಸ್ಥಳದಲ್ಲೇ ಬದಲಿಸುವ ಕ್ಷೇತ್ರವಿಲ್ಲ, ಆದ್ದರಿಂದ ದುರಸ್ತಿ ಎಂದರೆ ಅಳಿಸಿ, ದಾಖಲಿಸಿದ ಆರಂಭಿಕ ಬಿಂದುವಿನೊಂದಿಗೆ ಮತ್ತೆ ರಚಿಸುವುದು. ಇದನ್ನು ಮರುನಿರ್ಮಾಣ ಎಂದು ಪರಿಗಣಿಸಿ, ಆಗ ಕೆಲಸವು ಊಹೆಗಳ ತುಂಬಿದ ಮಧ್ಯಾಹ್ನದ ಬದಲು ಪರಿಶೀಲನಾ ಪಟ್ಟಿಯಾಗುತ್ತದೆ.

ಏನನ್ನೂ ಅಳಿಸುವ ಮೊದಲು ವೈಫಲ್ಯವನ್ನು ಓದಿ

ಸಂಧಾನದ ವೈಫಲ್ಯವು ಹಂತದ ಸಮಸ್ಯೆ, ಮತ್ತು ಪೀರ್ ಲಾಗ್ ಸಾಮಾನ್ಯವಾಗಿ ಹಂತವನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ಹಂತ 1 ವಿಫಲವಾದರೆ ಎರಡೂ ತುದಿಗಳು ಪ್ರಸ್ತಾವದ ಬಗ್ಗೆ ಒಪ್ಪಿಕೊಳ್ಳಲಿಲ್ಲ ಅಥವಾ ಪರಸ್ಪರ ದೃಢೀಕರಿಸಿಕೊಳ್ಳಲಿಲ್ಲ ಎಂದರ್ಥ. ಹಂತ 2 ವಿಫಲವಾದರೆ ಟನೆಲ್ ಮೇಲೆದ್ದಿತು ಆದರೆ ಸಂರಕ್ಷಿತ ಸೆಲೆಕ್ಟರ್‌ಗಳು ಹೊಂದಲಿಲ್ಲ ಎಂದರ್ಥ. ಇವು ಬೇರೆ ಬೇರೆ ದುರಸ್ತಿಗಳು, ಮತ್ತು ಯಾರಾದರೂ ಸಂರಚನೆಯನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಲಾಗ್ ಸಾಲನ್ನು ಹೊರತೆಗೆಯುವುದು ಯೋಗ್ಯ.

ಈ ವೈಫಲ್ಯವು ಕೆಲವು ವಿಷಯಗಳನ್ನು ಹೊರಗಿಡುತ್ತದೆ. ಇದು VPC ಮಾರ್ಗವಲ್ಲ, ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಫೈರ್‌ವಾಲ್ ನಿಯಮವಲ್ಲ, ಮತ್ತು ನೆಟ್‌ವರ್ಕ್ ಒಳಗಿನ ಹೆಸರು ವಿಭಜನೆಯ ದೋಷವಲ್ಲ. ಅವುಗಳ ಹಿಂದೆ ಓಡಿದರೆ ಫಲಿತಾಂಶವನ್ನು ಬದಲಿಸಲಾಗದ ಆತ್ಮವಿಶ್ವಾಸದ ಬದಲಾವಣೆಗಳಾಗುತ್ತವೆ, ಮತ್ತು ಅಂತಿಮ ಸರಿಪಡಿಸುವಿಕೆಯನ್ನು ಯಾರಿಗೆ ಆರೋಪಿಸಬೇಕೆಂದು ಕಷ್ಟವಾಗುತ್ತದೆ.

ಎರಡೂ ಸಂರಚನೆಗಳು ಇನ್ನೂ ಇರುವಾಗಲೇ ದಾಖಲಿಸಿ

ಟನೆಲ್ ಅಳಿಸಲು ಅರ್ಧ ನಿಮಿಷ ಸಾಕು ಮತ್ತು ನಿಮ್ಮ ಬಳಿ ಇದ್ದ ಏಕೈಕ ಸಾಕ್ಷ್ಯ ನಾಶವಾಗುತ್ತದೆ. ಅದಕ್ಕೂ ಮೊದಲು ಸ್ಥಳೀಯ ಮತ್ತು ದೂರದ ಸೆಲೆಕ್ಟರ್‌ಗಳು, ಪೀರ್ ವಿಳಾಸ, ಹಂಚಿದ ರಹಸ್ಯ ಯಾರ ಬಳಿ ಇದೆ, ಮತ್ತು ASA ಯ crypto map ಅಥವಾ IKEv2 ಪ್ರೊಫೈಲ್ ಬರೆದಿಡಿ. ASA ಎರಡು ಪ್ರತ್ಯೇಕ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತದೆ: ಏನು ಸಂರಚಿಸಲಾಗಿದೆ ಮತ್ತು ಈಗ ಏನು ಮೇಲಿದೆ:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google ಬದಿಯಲ್ಲಿ ಕನ್ಸೋಲ್ ಸಾರಾಂಶದ ಬದಲು ಟನೆಲ್ ಆಬ್ಜೆಕ್ಟ್ ಓದಿ, ಏಕೆಂದರೆ ಪೀರ್ ವಿಳಾಸ ಮತ್ತು ಸೆಲೆಕ್ಟರ್ ಕ್ಷೇತ್ರಗಳೇ ನೀವು ನಿಖರವಾಗಿ ಮರುಸೃಷ್ಟಿಸಬೇಕಾದ ಮೌಲ್ಯಗಳು:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

ಮೊದಲ ಅಳಿಸುವಿಕೆಗೆ ಮೊದಲು ಆ ಮೌಲ್ಯಗಳನ್ನು ಟಿಕೆಟ್‌ನಲ್ಲಿ ಬರೆಯಿರಿ. ಕೆಳಗಿನ ಮರುನಿರ್ಮಾಣವು ಕೆಲಸ ಮಾಡುವುದು ಒಂದೇ ಉದ್ದೇಶಿತ ವ್ಯತ್ಯಾಸದೊಂದಿಗೆ ಅದೇ ಆಬ್ಜೆಕ್ಟ್ ಅನ್ನು ಮತ್ತೆ ರಚಿಸಬಹುದಾದ್ದರಿಂದ ಮಾತ್ರ.

ಒಂದು ಬದಿ ಮಾತುಕತೆ ನಡೆಸಲು ನಿರಾಕರಿಸುವ ಅಲ್ಗಾರಿದಮ್‌ಗಳು

Cloud VPN ಸಾಂಪ್ರದಾಯಿಕ ಪೀರ್‌ನಂತೆ IKEv1 ಅಲ್ಗಾರಿದಮ್‌ಗಳ ಶ್ರೇಣಿಯಿಂದ ಆಯ್ಕೆ ಮಾಡುವುದಿಲ್ಲ. ಅದು ನಿರೀಕ್ಷಿಸುವ ಪೀರ್ ಸೆಟ್ಟಿಂಗ್‌ಗಳು ಸ್ಥಿರ: ಎನ್‌ಕ್ರಿಪ್ಷನ್‌ಗೆ aes-cbc-128, ಸಮಗ್ರತೆ ಮತ್ತು PRF ಎರಡಕ್ಕೂ sha1-96, Diffie-Hellman ಗುಂಪು 2, ಹಂತ 1 ಗೆ 36,600 ಸೆಕೆಂಡುಗಳು ಮತ್ತು ಹಂತ 2 ಗೆ 10,800 ಸೆಕೆಂಡುಗಳು. ASA ನೀತಿಯು ನಿಖರವಾಗಿ ಆ ಸಮೂಹವನ್ನು ನೀಡಬೇಕು. ASA ಯಲ್ಲಿ ಎರಡನೇ ಪ್ರಸ್ತಾವ ಇದ್ದರೆ ಹಾನಿಯಿಲ್ಲ, ಹೊಂದುವ ಪ್ರಸ್ತಾವವೂ ಪಟ್ಟಿಯಲ್ಲಿದ್ದರೆ.

IKEv2 ಎರಡೂ ಬದಿಗಳಿಗೆ ಹೆಚ್ಚು ಅವಕಾಶ ನೀಡುತ್ತದೆ, ಆದರೆ ನಿಯಮಗಳು ಅದೇ ಆಕಾರವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತವೆ: PFS ಸಕ್ರಿಯಗೊಳಿಸಿ, ಟನೆಲ್ ಬೆಂಬಲಿಸುವ DH ಗುಂಪನ್ನು ಆಯ್ಕೆಮಾಡಿ, ಮತ್ತು ಹೊಂದಾಣಿಕೆ ಇಲ್ಲದಿರುವುದು ಸ್ಪಷ್ಟವಾಗುವಷ್ಟು ಪ್ರಸ್ತಾವಗಳ ಪಟ್ಟಿಯನ್ನು ಚಿಕ್ಕದಾಗಿ ಇರಿಸಿ. Cloud VPN ನಲ್ಲಿ ASA ಪೀರ್ ಎಂದರೆ ಸ್ಥಿರ ಮಾರ್ಗನಿರ್ದೇಶನವೂ, ಆದ್ದರಿಂದ ಸಂರಕ್ಷಿತ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳನ್ನು BGP ಗೆ ಬಿಡದೆ ಯೋಜಿಸಿ ಪಟ್ಟಿ ಮಾಡಬೇಕು.

ಬೇರೆ ತಯಾರಕರ ಟೆಂಪ್ಲೇಟ್‌ನಿಂದ ನಕಲಿಸಿದ ಜೀವಿತಾವಧಿ ಇಲ್ಲಿ ಸಾಮಾನ್ಯ ತಪ್ಪು ತಿರುವು. Google ಈ ಮೌಲ್ಯಗಳನ್ನು ಕಡ್ಡಾಯ ಪೀರ್ ಸೆಟ್ಟಿಂಗ್‌ಗಳಾಗಿ ಪ್ರಕಟಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಅವನ್ನು ಹೊಂದಿಸಿ; ಚಿಕ್ಕ ಮೌಲ್ಯವು ASA ಬಯಸುವ ಮಟ್ಟಕ್ಕೆ ಮೇಲಕ್ಕೆ ಮಾತುಕತೆ ಆಗುವುದಿಲ್ಲ.

ಅಳಿಸಿ, ಮತ್ತೆ ರಚಿಸಿ ಮತ್ತು ಹಳೆಯ ಸ್ಥಿತಿಯನ್ನು ಸ್ವಚ್ಛಗೊಳಿಸಿ

ಗೇಟ್‌ವೇ ಅಲ್ಲ, ಟನೆಲ್ ಅನ್ನು ಅಳಿಸಿ, ಮತ್ತು Cloud VPN ಬದಲಿಯಾಗಿ ನೀಡುವ ಹೆಸರನ್ನು ಗಮನಿಸಿ, ಏಕೆಂದರೆ ಹೆಸರುಗಳು ನಿಗದಿಯಾಗುತ್ತವೆ, ಮತ್ತೆ ಬಳಸುವುದಿಲ್ಲ. ದಾಖಲಿಸಿದ ಮೌಲ್ಯಗಳು ಮತ್ತು ಅದೇ ಪೀರ್ ವಿಳಾಸದೊಂದಿಗೆ ಅದನ್ನು ಮತ್ತೆ ರಚಿಸಿ, ನಂತರ ಹೊಂದುವ ಪ್ರಸ್ತಾವವನ್ನು ASA ನೀತಿ ಪಟ್ಟಿಗೆ ಸೇರಿಸಿ.

ASA ಬದಲಾವಣೆಯ ನಂತರ ಮತ್ತು ಫಲಿತಾಂಶ ಓದುವ ಮೊದಲು ಭದ್ರತಾ ಸಹಯೋಗಗಳನ್ನು ಸ್ವಚ್ಛಗೊಳಿಸಿ. ಪ್ರಸ್ತುತ SA ಮುಗಿಯುವವರೆಗೆ ASA ಹಳೆಯ ನೀತಿಯನ್ನು ನೀಡುತ್ತಿರಬಹುದು, ಆದ್ದರಿಂದ ಸರಿಯಾದ ಸಂರಚನೆ ಹಳೆಯ ಜೀವಿತಾವಧಿಯ ಪೂರ್ತಿ ಮುರಿದಂತೆ ಕಾಣುತ್ತದೆ ಮತ್ತು ವೀಕ್ಷಕನು ಮರುನಿರ್ಮಾಣ ಪ್ರಾರಂಭವಾಗುವ ಮೊದಲೇ ವಿಫಲವಾಯಿತು ಎಂದು ತೀರ್ಮಾನಿಸುತ್ತಾನೆ:

clear crypto ikev2 sa
clear crypto ipsec sa

ಹಂತ 2 ಅನ್ನು ನೋಡುವ ಮೊದಲು ಹಂತ 1 ಮೇಲೇಳುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಹಂತ 1 ಕೆಳಗಿರುವಾಗ ಪ್ರಸ್ತಾವ ಅಥವಾ ಪೂರ್ವ-ಹಂಚಿದ ಕೀ ತಪ್ಪಾಗಿದೆ, ಮತ್ತು ಸೆಲೆಕ್ಟರ್ ಕೆಲಸ ಅದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ.

ಸೆಲೆಕ್ಟರ್‌ಗಳು ಕನ್ನಡಿಯಂತೆ ಹೊಂದುತ್ತವೆ, ನಂತರ ಎಣಿಕೆಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ

ಸಂರಕ್ಷಿತ ವಿಳಾಸಗಳ ಬಗ್ಗೆ ಎರಡೂ ತುದಿಗಳು ಒಪ್ಪಿದಾಗ ಮಾತ್ರ ಹಂತ 2 ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಆ ಒಪ್ಪಿಗೆ ಹಂಚಿಕೆಯಲ್ಲ, ಕನ್ನಡಿ ರೂಪದ್ದು. Google ನ ಸ್ಥಳೀಯ ಸೆಲೆಕ್ಟರ್ ASA ದೂರದ ಎಂದು ಕರೆಯುವ ಸೆಲೆಕ್ಟರ್‌ಗೆ ಹೊಂದಬೇಕು, ಮತ್ತು Google ನ ದೂರದ ಸೆಲೆಕ್ಟರ್ ASA ಸ್ಥಳೀಯ ಎಂದು ಕರೆಯುವುದಕ್ಕೆ ಹೊಂದಬೇಕು. ಒಂದು ಬದಿ 0.0.0.0/0 ಮತ್ತು ಇನ್ನೊಂದು ಬದಿ ಒಂದೇ ಸಬ್‌ನೆಟ್ ಇರುವ ಟನೆಲ್ ಹಂತ 1 ದಾಟಿ ನಂತರ ಅದೇ ಪ್ರಮುಖ ದೋಷದೊಂದಿಗೆ ಹಂತ 2 ನಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ. ಯಾವ ಬದಿಯೂ ಇನ್ನೊಂದರ ಪಟ್ಟಿಯನ್ನು ಅಗಲಿಸಲಾಗದು.

ನೀತಿ ಆಧಾರಿತ ಸೆಲೆಕ್ಟರ್‌ಗಳಿಗೆ ಪ್ರತಿ ಪ್ರಿಫಿಕ್ಸ್ ಜೋಡಿಯನ್ನು ಪಟ್ಟಿ ಮಾಡಿ ಮತ್ತು ಪಟ್ಟಿಯನ್ನು ಟಿಕೆಟ್‌ನಲ್ಲಿ ಇರಿಸಿ. ನಂತರ ಆವರಣದಲ್ಲಿ ಸೇರಿಸುವ ಸಬ್‌ನೆಟ್‌ಗೆ ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಸಂಪಾದನೆ ಬೇಕು, ಏಕೆಂದರೆ ASA ಯಲ್ಲಿ ಹೊಸ ಮಾರ್ಗವು ಸೆಲೆಕ್ಟರ್ ಅನ್ನು ಅಗಲಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಫಲಿತಾಂಶವು ಮೇಲಿರುವ ಆದರೆ ಮೊದಲ ದಿನ ಇದ್ದ ಪ್ರಿಫಿಕ್ಸ್‌ಗಳಿಗೆ ಮಾತ್ರ ಸಂಚಾರ ಸಾಗಿಸುವ ಟನೆಲ್.

ಒಂದು ಹೋಸ್ಟ್‌ನಿಂದ ಹೋಸ್ಟ್‌ಗೆ ಹರಿವಿನೊಂದಿಗೆ ಮುಗಿಸಿ ಮತ್ತು ಎರಡೂ ಬದಿಗಳಲ್ಲಿ ಬೈಟ್ ಎಣಿಕೆಗಳನ್ನು ಓದಿ. ASA ಯಲ್ಲಿ ಏರಿ Google ನಲ್ಲಿ ಸ್ಥಿರವಾಗಿರುವ ಎಣಿಕೆಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಪ್ರತಿಕ್ರಿಯೆ ಬೇರೆ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಹೊರಡುತ್ತದೆ ಅಥವಾ ಸೆಲೆಕ್ಟರ್ ಹಿಂತಿರುಗುವ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ಆವರಿಸುವುದಿಲ್ಲ ಎಂದರ್ಥ. ಅಲ್ಗಾರಿದಮ್‌ಗಳು, ಜೀವಿತಾವಧಿಗಳು, ಸೆಲೆಕ್ಟರ್‌ಗಳು ಮತ್ತು ಹೊಸ ಟನೆಲ್ ಹೆಸರನ್ನು ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ಮುಂದಿನ ಪ್ರಸ್ತಾವ ಬದಲಾವಣೆ ಈ ಮರುನಿರ್ಮಾಣವನ್ನು ಪುನರಾವರ್ತಿಸುತ್ತದೆ ಮತ್ತು ಆ ಮೌಲ್ಯಗಳು ಅದನ್ನು ಚಿಕ್ಕ ಕೆಲಸವಾಗಿಸುತ್ತವೆ.

ಸಂಬಂಧಿತ ಲೇಖನಗಳು