Cloud VPN Cisco ASA тарапка: сунуш дал келбегенден кийин кайра куруу

Алыскы учунда Cisco ASA турган Cloud VPN туннелиндеги NEGOTIATION_FAILURE дээрлик ар дайым сунуштун же селекторлордун дал келбестиги болуп саналат, жана биринчи пайдалуу факт — эч кандай түзөтүү аны оңдобойт. Cloud VPN IKE сунушун туннель объектиси түзүлгөндө бекитет. Алгоритмди ордунда өзгөртүүчү талаа жок, ошондуктан оңдоо — өчүрүү жана жазылган баштапкы чекит менен кайра түзүү. Муну кайра куруу катары кабыл алыңыз, ошондо иш божомолдогон түштөн кийинки жарым күн эмес, текшерүү тизмесине айланат.

Бир нерсени өчүрүүдөн мурун катаны окуңуз

Сүйлөшүү катасы — фаза маселеси, жана өнөктөштүн журналы адатта фазаны атайт. 1-фазанын ийгиликсиздиги эки тарап сунуш боюнча келише албаганын же бири-бирин аутентификациялай албаганын билдирет. 2-фазанын ийгиликсиздиги туннель көтөрүлгөнүн, бирок корголгон селекторлор дал келбегенин билдирет. Бул ар башка оңдоолор, жана бирөө конфигурацияга кол тийгизээрден мурун журнал сабын алып коюу керек.

Ката кээ бир нерселерди да жокко чыгарат. Бул VPC маршруту эмес, туннель интерфейсиндеги firewall эрежеси эмес жана тармактын ичиндеги аттарды чечүү катасы эмес. Алардын артынан куу таасирди өзгөртө албаган ишенимдүү өзгөртүүлөрдү жаратат жана акыркы оңдоону кимге таандык кылууну кыйындатат.

Эки конфигурацияны тең алар дагы бар кезде жазып алыңыз

Туннелди өчүрүү жарым мүнөткө созулат жана сиздеги жалгыз далилди жок кылат. Мурун жергиликтүү жана алыскы селекторлорду, өнөктөштүн дарегин, жалпы сыр кимге таандык экенин жана ASA'нын crypto map же IKEv2 профилин жазыңыз. ASA эки өзүнчө суроого жооп берет: эмне конфигурацияланган жана азыр эмне көтөрүлгөн:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google тарапта консолдун жыйынтыгын эмес, туннель объектисин окуңуз, анткени өнөктөштүн дареги жана селектор талаалары так кайра чыгарылуучу баалуулуктар:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Бул баалуулуктарды биринчи өчүрүүдөн мурун тикетке жазыңыз. Төмөнкү кайра куруу ошол эле объектини бир атайын айырма менен кайра түзө алганыңыз үчүн гана иштейт.

Бир тарап сүйлөшүүдөн баш тарткан алгоритмдер

Cloud VPN салттуу өнөктөш сыяктуу IKEv1 алгоритмдеринин диапазонунан тандабайт. Күткөн өнөктөш жөндөөлөрү белгиленген: шифрлөө үчүн aes-cbc-128, бүтүндүк жана PRF үчүн sha1-96, Diffie-Hellman 2-тобу, 1-фаза үчүн 36,600 секунд жана 2-фаза үчүн 10,800 секунд. ASA саясаты так ушул топтомду сунуштоого тийиш. ASA'да экинчи сунуш зыян келтирбейт, эгер дал келүүчүсү да тизмеде болсо.

IKEv2 эки тарапка кененирээк орун берет, бирок эрежелер ошол эле форманы сактайт: PFSти күйгүзүңүз, туннель колдогон DH тобун тандаңыз жана сунуштар тизмесин дал келбестик айкын болгудай кыска кармаңыз. Cloud VPN'де ASA өнөктөшү статикалык маршруттоону да билдирет, ошондуктан корголгон префикстерди BGPге калтырбай пландап, тизмеге киргизүү керек.

Башка өндүрүүчүнүн шаблонунан көчүрүлгөн жашоо мөөнөтү бул жердеги кадимки туура эмес бурулуш. Google бул баалуулуктарды милдеттүү өнөктөш жөндөөлөрү катары жарыялайт, ошондуктан аларды коюңуз; кыскараак баалуулук ASA каалаган деңгээлге чейин жогору сүйлөшүлбөйт.

Өчүрүңүз, кайра түзүңүз жана эски абалды тазалаңыз

Gatewayди эмес, туннелди өчүрүңүз жана Cloud VPN алмаштырмага берген атты белгилеп коюңуз, анткени аттар кайра колдонулбайт, ыйгарылат. Аны жазылган баалуулуктар жана ошол эле өнөктөш дареги менен кайра түзүңүз, анан дал келүүчү сунушту ASA саясатынын тизмесине кошуңуз.

Коопсуздук ассоциацияларын ASA өзгөртүүсүнөн кийин жана натыйжаны окуудан мурун тазалаңыз. ASA учурдагы SA бүтмөйүнчө эскирген саясатты сунуштай берет, ошондуктан туура конфигурация эски мөөнөттүн узундугу бою бузук көрүнөт жана байкоочу кайра куруу башталбай эле ийгиликсиз болду деп чечет:

clear crypto ikev2 sa
clear crypto ipsec sa

2-фазага карардан мурун 1-фазанын көтөрүлгөнүн ырастаңыз. 1-фаза төмөндө турганда сунуш же алдын ала бөлүшүлгөн ачкыч туура эмес, жана селектор иши муну өзгөртпөйт.

Селекторлор күзгүдөй дал келет, анан эсептегичтер чечет

2-фаза корголуучу даректер боюнча эки тарап келишкенде гана иштейт, жана келишим жалпы эмес, күзгү сыяктуу. Google'дун жергиликтүү селектору ASA алыскы деп атаган селекторго, ал эми Google'дун алыскы селектору ASA жергиликтүү деп атаганына дал келиши керек. Бир тарапта 0.0.0.0/0, экинчи тарапта бир гана кошумча тармак бар туннель 1-фазадан өтөт, анан ошол эле негизги ката менен 2-фазада ийгиликсиз болот. Эч бир тарап экинчи тараптын тизмесин кеңейте албайт.

Саясатка негизделген селекторлор үчүн ар бир префикс жупун тизмелеп, тизмени тикетте кармаңыз. Кийинчерээк жергиликтүү тармакка кошулган кошумча тармак эки тарапта тең түзөтүүнү талап кылат, анткени ASA'дагы жаңы маршрут селекторду кеңейтпейт, жана натыйжа — көтөрүлгөн, бирок трафикти биринчи күнү болгон префикстер үчүн гана өткөргөн туннель.

Бир хосттон хостко агым менен бүтүрүңүз жана эки тарапта байт эсептегичтерин окуңуз. ASA'да өсүп, Google'до кыймылсыз турган эсептегичтер адатта жооп башка интерфейстен чыгарын же селектор кайтаруу префиксин камтыбаганын билдирет. Алгоритмдерди, мөөнөттөрдү, селекторлорду жана жаңы туннель атын жазып алыңыз, анткени кийинки сунуш өзгөрүүсү бул кайра курууну кайталайт жана бул баалуулуктар аны кыска ишке айландырат.