GCP HA VPN FortiGate ಅನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ: ಸ್ಥಳೀಯ ID ಪ್ರಕಾರ ಹೊಂದಿಕೆಯಾಗುತ್ತಿಲ್ಲ
Google ಕೇವಲ ಪೂರ್ವ-ಹಂಚಿಕೆ ಕೀಲಿಯನ್ನಲ್ಲ, FortiGate ಘೋಷಿಸುವ ಗುರುತನ್ನೂ ಹೋಲಿಸುತ್ತದೆ. FQDN ಸ್ಥಳೀಯ ID ಆ ಪರಿಶೀಲನೆಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ, ಆದರೆ ಲಾಗ್ ಇನ್ನೂ ದೃಢೀಕರಣ ಎನ್ನುತ್ತದೆ.
Google Cloud HA VPN ನಿಂದ ಬರುವ AUTHENTICATION_FAILED ಸಾಮಾನ್ಯವಾಗಿ ಜನರನ್ನು ಪೂರ್ವ-ಹಂಚಿಕೆ ಕೀಲಿಗೆ ಹಿಂತಿರುಗಿಸುತ್ತದೆ, ಮತ್ತು ಕೀಲಿ ಸಾಮಾನ್ಯವಾಗಿ ಸರಿಯಾಗಿರುತ್ತದೆ. ಟನೆಲ್ 1 ಹಂತದಲ್ಲಿ ನಿಲ್ಲುತ್ತದೆ ಏಕೆಂದರೆ Google ಇನ್ನೂ ಬೇರೆ ಯಾವುದನ್ನೋ ಹೋಲಿಸುತ್ತದೆ: IKE ವಿನಿಮಯದ ವೇಳೆ ಸಹಚರ ಘೋಷಿಸುವ ಗುರುತು. FortiGate ನಲ್ಲಿ ಆ ಗುರುತು ಯಾರೂ ವಿಳಾಸ ಸಂಪಾದಿಸದೆಯೇ ಪ್ರಕಾರ ಬದಲಾಗಬಹುದು. ಕೀಲಿಯನ್ನು ಎರಡು ಬಾರಿ ಮತ್ತೆ ನಮೂದಿಸಿದ ನಂತರ ಲಾಗ್ ಅನ್ನು ಗುರುತಿನ ಅಸಮಂಜಸತೆ ಎಂದು ಓದಿ.
ಒಂದು ವೈಫಲ್ಯ, ಎರಡು ಪರಿಶೀಲನೆ
IKE ಸಹಚರನನ್ನು ಎರಡು ಪ್ರತ್ಯೇಕ ಹಂತಗಳಲ್ಲಿ ಪರಿಶೀಲಿಸುತ್ತದೆ. ಪೂರ್ವ-ಹಂಚಿಕೆ ಕೀಲಿ ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಒಂದೇ ರಹಸ್ಯ ಇದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಘೋಷಿತ ಗುರುತು ಉತ್ತರದಾತನಿಗೆ ಸಹಚರ ತನ್ನನ್ನು ಯಾರೆಂದು ಹೇಳಿಕೊಳ್ಳುತ್ತಾನೆ ಎಂದು ತಿಳಿಸುತ್ತದೆ. Google ಆ ಗುರುತನ್ನು ಅದು ಸಂರಚಿಸಲಾದ ಸಹಚರನ ವಿರುದ್ಧ ಪರಿಶೀಲಿಸುತ್ತದೆ. ಬಿಟ್ಟರೆ, FortiGate ತನ್ನ ಹೊರಹೋಗುವ ಇಂಟರ್ಫೇಸ್ನಿಂದ ಪಡೆದ ವಿಳಾಸ ಆಧಾರಿತ ಗುರುತನ್ನು ಕಳುಹಿಸುತ್ತದೆ, ಮತ್ತು ಹೋಲಿಕೆ ಯಾರಿಗೂ ತಿಳಿಯದೆ ಉತ್ತೀರ್ಣವಾಗುತ್ತದೆ.
ಎರಡೂ ಹಂತಗಳು ಲಾಗ್ನಲ್ಲಿ ಒಂದೇ ಬುಟ್ಟಿಗೆ ಬೀಳುತ್ತವೆ, ಇದು ಗುರುತಿನ ಪೇಲೋಡ್ ಯಾರೂ ಓದುವ ಮೊದಲು ಕೀಲಿಯನ್ನು ನಾಲ್ಕು ಬಾರಿ ಮತ್ತೆ ಟೈಪ್ ಮಾಡುವ ಪರಿಚಿತ ಚಕ್ರವನ್ನು ವಿವರಿಸುತ್ತದೆ.
FortiGate ಗುರುತಿನ ಪೇಲೋಡ್ನಲ್ಲಿ ಏನನ್ನು ಹಾಕುತ್ತದೆ
ತೊಂದರೆ ಆರಂಭವಾಗುವುದು ಯಾರಾದರೂ ಸ್ಥಳೀಯ ID ಸೆಟ್ ಮಾಡಿದಾಗ, ಎರಡೂ ಬದಿಗಳು ಒಪ್ಪಲಿ ಎಂದು. ಇತ್ತೀಚಿನ FortiOS ಬಿಲ್ಡ್ಗಳು ಆ ಗುರುತನ್ನು ಸಂಪೂರ್ಣ ಅರ್ಹ ಡೊಮೇನ್ ಹೆಸರೆಂದು ಗುರುತಿಸುತ್ತವೆ, ನಮೂದಿಸಿದ ಮೌಲ್ಯ ಚುಕ್ಕೆಗಳಿರುವ ವಿಳಾಸವಾಗಿದ್ದರೂ ಸಹ. ಆದ್ದರಿಂದ Google ವಿಳಾಸವನ್ನು ನಿರೀಕ್ಷಿಸುತ್ತಿರುವಾಗ FQDN ಗುರುತನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಮತ್ತು ಸೆಷನ್ ಅನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ. ಸಂದೇಶದಲ್ಲಿ ಯಾವ ಅರ್ಧ ವಿಫಲವಾಯಿತು ಎಂದು ಹೇಳಿಲ್ಲ, ಆದ್ದರಿಂದ ವರದಿ ದೃಢೀಕರಣ ವೈಫಲ್ಯ ಎಂದು ಓದಲ್ಪಡುತ್ತದೆ.
IKE ಡೀಬಗ್ಗಿಂಗ್ ಆನ್ ಮಾಡಿ ಅದನ್ನು ಒಮ್ಮೆ ಮರುಉತ್ಪಾದಿಸಿ ಮತ್ತು ಫೈರ್ವಾಲ್ ನಿಜವಾಗಿ ಕಳುಹಿಸುವ ಗುರುತಿನ ಪೇಲೋಡ್ ಓದಿ.
ಅದೇ ಸುತ್ತಿನಲ್ಲಿ ಮೂರು ಅಗ್ಗದ ಸತ್ಯಗಳನ್ನು ದೃಢೀಕರಿಸಿ: ಎರಡೂ ತುದಿಗಳು ಬಳಸುವ IKE ಆವೃತ್ತಿ, ಕಾಣದ ಕೊನೆಯ ಅಕ್ಷರಗಳೂ ಸೇರಿದಂತೆ ನಿಖರ ಕೀಲಿ, ಮತ್ತು Google ನಿರೀಕ್ಷಿಸುವ ಸಹಚರ ವಿಳಾಸ. ಅವು ಬೇರೆ ಬೇರೆ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತವೆ, ಮತ್ತು ಹೊಂದುವ ಕೀಲಿ ಗುರುತಿನ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.
ಆಯ್ಕೆಗಳು, ಮತ್ತು ಪ್ರತಿಯೊಂದರ ಬೆಲೆ
ಪ್ರತಿ ನಿರ್ಗಮನವೂ ಬೇರೆ ಪದರವನ್ನು ಸರಿಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಯಾವುದೂ ಎಲ್ಲಾ ನಿಯೋಜನೆಗಳಿಗೆ ಲಭ್ಯವಿಲ್ಲ.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
ಫೈರ್ವಾಲ್ನಲ್ಲಿ ಗುರುತನ್ನು ಸರಿಪಡಿಸುವುದು ಅತ್ಯಂತ ಸ್ವಚ್ಛ ಉತ್ತರ, ಫರ್ಮ್ವೇರ್ ಪ್ರಕಾರವನ್ನು ಆಯ್ಕೆ ಮಾಡಲು ಮತ್ತು ಮೌಲ್ಯವನ್ನು ಉಳಿಸಲು ಬಿಟ್ಟಾಗ. ಕ್ಷೇತ್ರವು ಕೆಲವು ಬಿಲ್ಡ್ಗಳಲ್ಲಿ ಇದೆ ಮತ್ತು ಇತರವುಗಳಲ್ಲಿ ಪ್ರಕಾರವನ್ನು ತಪ್ಪಾಗಿ ತುಂಬುತ್ತದೆ, ಆದ್ದರಿಂದ ಬಿಡುಗಡೆ ಟಿಪ್ಪಣಿಗಳನ್ನು ನಂಬುವ ಬದಲು ನಿಮ್ಮ ಆವೃತ್ತಿಯನ್ನು ಪರೀಕ್ಷಿಸಿ.
ಸಂಧಾನ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಮಾರ್ಗಸೂಚಿಸಬಹುದಾದ ಸಾರ್ವಜನಿಕ ವಿಳಾಸವು ದಾಖಲಿತ ಪರಿಹಾರ ಮಾರ್ಗವಾಗಿದೆ, ಏಕೆಂದರೆ ಆಗ ಡೀಫಾಲ್ಟ್ ಗುರುತು Google ನಿರೀಕ್ಷಿಸುವುದಕ್ಕೆ ಹೊಂದುತ್ತದೆ ಮತ್ತು ಯಾವುದೇ ಅಧಿಕ್ರಮ ಅಗತ್ಯವಿಲ್ಲ. ಫೈರ್ವಾಲ್ ಅಂತಹ ವಿಳಾಸವನ್ನು ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳಬಲ್ಲದಾದರೆ ಹೆಚ್ಚಿನ ನಿಯೋಜನೆಗಳು ಇಲ್ಲಿಯೇ ನಿಲ್ಲುತ್ತವೆ.
ನೀವು ಉತ್ಪಾದಿಸುವುದನ್ನು ಮೌಲ್ಯೀಕರಿಸುವ ಸಹಚರನ ಮೇಲೆ ಕೊನೆಗೊಳಿಸುವುದು ಟೋಪಾಲಜಿ ಬದಲಾವಣೆ. ಅದನ್ನು ಹೆಚ್ಚು ಮೃದುವಾದ ವಿವರಣೆಯ ಪರಿಹಾರ ಮಾರ್ಗವಲ್ಲ, ವಿನ್ಯಾಸ ನಿರ್ಧಾರ ಎಂದು ಪರಿಗಣಿಸಿ.
NAT ಒಂದು ಆಯ್ಕೆಯನ್ನು ತೆಗೆದುಹಾಕಿದಾಗ
NAT ಹಿಂದೆ ಸಾರ್ವಜನಿಕ-ವಿಳಾಸದ ನಿರ್ಗಮನ ಮಾಯವಾಗುತ್ತದೆ, ಮತ್ತು ಉಳಿದದ್ದು ನೀವು ನಿಯಂತ್ರಿಸದ ಫರ್ಮ್ವೇರ್ ವರ್ತನೆಯನ್ನು ಅವಲಂಬಿಸಿರುತ್ತದೆ. ಅಪ್ಗ್ರೇಡ್, ಸಹಚರನನ್ನು ಸ್ಥಳಾಂತರಿಸುವುದು ಅಥವಾ ಬೇರೆ ಕ್ಲೌಡ್ ಎಂಡ್ಪಾಯಿಂಟ್ ಒಪ್ಪಿಕೊಳ್ಳುವುದು ಇವುಗಳ ನಡುವೆ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಆಯ್ಕೆ ಮಾಡುವ ಸ್ಥಳ ಇದು. ಇವು ಮೂರು ವಿಭಿನ್ನ ಬಜೆಟ್ಗಳು, ಮತ್ತು ಆಕಸ್ಮಿಕವಾಗಿ ಒಂದನ್ನು ಆರಿಸುವುದೇ ತಾತ್ಕಾಲಿಕ ಪರಿಹಾರ ಮಾರ್ಗವನ್ನು ಆರ್ಕಿಟೆಕ್ಚರ್ ಆಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ. ಆಯ್ಕೆ ಮತ್ತು ಅದರ ಕಾರಣವನ್ನು ಟನೆಲ್ ಪಕ್ಕದಲ್ಲಿ ಬರೆಯಿರಿ.
ಇವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಅರ್ಥೈಸುವ ಮೊದಲು Google ಬದಿಯಲ್ಲಿ ಟನೆಲ್ ಸ್ಥಿತಿಯನ್ನು ಮತ್ತು IKE ಕೇವಲ ದಾರಿಯಲ್ಲಿ ಬಿಸಾಡಲ್ಪಡುತ್ತಿಲ್ಲ ಎಂಬುದನ್ನು ದೃಢೀಕರಿಸಿ. ಬಿಸಾಡಿದ ಪ್ಯಾಕೆಟ್ ಸಮಯ ಮೀರಿ ನಿಲ್ಲುತ್ತದೆ; ಅದು ನಿರಾಕರಣೆ ಉಂಟುಮಾಡುವುದಿಲ್ಲ.
ಅದು ಕೆಲಸ ಮಾಡುವಾಗ ಏನನ್ನು ದಾಖಲಿಸಬೇಕು
ಟನೆಲ್ ಕೊನೆಯ ಬಾರಿ ಮೇಲೆ ಬಂದಾಗ ಜಾರಿಯಲ್ಲಿದ್ದ ಗುರುತಿನ ಪ್ರಕಾರ, ಅದರ ಮೌಲ್ಯ, ಫರ್ಮ್ವೇರ್ ಆವೃತ್ತಿ ಮತ್ತು ಸಹಚರ ವಿಳಾಸವನ್ನು ದಾಖಲಿಸಿ. ಫರ್ಮ್ವೇರ್ ನವೀಕರಣ ಡೀಫಾಲ್ಟ್ ಅನ್ನು ಮತ್ತೆ ಬದಲಿಸಬಹುದು, ಮತ್ತು ಮುಂದಿನ ವೈಫಲ್ಯ ನಿಖರವಾಗಿ ಕೀಲಿ ಅಸಮಂಜಸತೆಯಂತೆ ಕಾಣುತ್ತದೆ. ಗುರುತನ್ನು ಕೀಲಿ ಮತ್ತು ಸಹಚರ ವಿಳಾಸದ ಪಕ್ಕದಲ್ಲಿ ಸಂಗ್ರಹಿಸಿದರೆ, ಮುಂದಿನ ವ್ಯಕ್ತಿ ಅಗ್ಗದ ಪರಿಶೀಲನೆಗಳಿಂದ ಆರಂಭಿಸುತ್ತಾನೆ.
ಆ ದಾಖಲೆಯೇ ಮುಂದಿನ ಅಪ್ಗ್ರೇಡ್ ನಂತರವೂ ಪರಿಹಾರ ಮಾರ್ಗ ಬೇಕೇ ಎಂದು ತಿಳಿಯುವ ಏಕೈಕ ದಾರಿ.