GCP HA VPN FortiGate’ти четке кагат: жергиликтүү ID түрү дал келбейт
Google FortiGate билдирген идентитетти гана эмес, алдын ала бөлүшүлгөн ачкычты да салыштырат. FQDN жергиликтүү ID ал текшерүүдөн өтпөйт, журнал дагы эле аутентификация дейт.
Google Cloud HA VPNден келген AUTHENTICATION_FAILED адамдарды көбүнчө алдын ала бөлүшүлгөн ачкычка кайтарат, ал эми ачкыч адатта туура болот. Туннель 1 фазада токтоп калат, анткени Google дагы башка нерсени салыштырат: IKE алмашуусунда өнөктөш билдирген идентитетти. FortiGate’те бул идентитет эч ким даректи оңдобосо да түрүн өзгөртө алат. Ачкыч эки жолу кайра киргизилгенден кийин журналды идентитет дал келбестиги катары окуңуз.
Бир ийгиликсиздик, эки текшерүү
IKE өнөктөштү эки өзүнчө кадамда текшерет. Алдын ала бөлүшүлгөн ачкыч эки тарапта бирдей сыр бар экенин далилдейт, ал эми билдирилген идентитет жооп берүүчүгө өнөктөш өзүн ким деп көрсөткөнүн айтат. Google ал идентитетти ал конфигурацияланган өнөктөш менен салыштырат. Өзүнө ташталса, FortiGate чыгуучу интерфейсинен алынган дарекке негизделген идентитетти жиберет, жана салыштыруу эч ким байкабай өтөт.
Эки кадам тең журналда бир челекке түшөт, бул тааныш циклди түшүндүрөт: идентитеттин пайдалуу жүгүн бирөө окуганга чейин ачкычты төрт жолу кайра теруу.
FortiGate идентитеттин пайдалуу жүгүнө эмнени салат
Кыйынчылык бирөө жергиликтүү ID орноткондо башталат, эки тарап макул болушу үчүн. FortiOS’тун акыркы курулуштары бул идентитетти толук квалификацияланган домен аты катары белгилейт, киргизилген маани чекиттүү дарек болсо да. Ошондуктан Google даректи күтүп жатып FQDN идентитетин алат жана сессиядан баш тартат. Билдирүүдө кайсы жарымы ийгиликсиз болгону айтылбайт, ошондуктан отчет аутентификация ийгиликсиздиги катары окулат.
IKE жөндөөсүн күйгүзүп, аны бир жолу кайталаңыз жана өрт дубалы чындап жиберген идентитет жүгүн окуңуз.
Ошол эле жүрүштө үч арзан фактыны ырастаңыз: эки тарап колдонгон IKE версиясы, көрүнбөгөн акыркы белгилерди кошкондо так ачкыч, жана Google күткөн өнөктөш дареги. Алар ар башка суроолорго жооп берет, ал эми дал келген ачкыч идентитет жөнүндө эч нерсе айтпайт.
Тандоолор жана ар биринин баасы
Ар бир чыгуу башка катмарды оңдойт жана алардын бири да бардык жайгаштырууга жеткиликтүү эмес.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Өрт дубалындагы идентитетти оңдоо — firmware түрүн тандоого жана маанини сактоого мүмкүндүк берген жердеги эң таза жооп. Талдаа айрым курулуштарда бар, ал эми башкаларында түрдү туура эмес толтурат, ошондуктан чыгарылыш жазууларына ишенбей өз версияңызды сынап көрүңүз.
Сүйлөшүү интерфейсинде маршрутталуучу коомдук дарек — документтелген айлана жол, анткени анда демейки идентитет Google күткөнү менен дал келет жана эч кандай кайра жазуу талап кылынбайт. Эгер өрт дубалы мындай даректи кармай алса, көпчүлүк жайгаштыруулар ушул жерде токтойт.
Сиз өндүргөн нерсени текшерүүчү өнөктөштө бүтүрүү — топологиянын өзгөрүшү. Ага жумшак сүрөттөмөлүү айлана жол катары эмес, долбоор чечими катары мамиле кылыңыз.
NAT бир тандоону алып салганда
NAT артында коомдук дарек аркылуу чыгуу жоголот, ал эми калганы сиз көзөмөлдөбөгөн firmware жүрүм-турумуна көз каранды. Бул — жаңыртуу, өнөктөштү көчүрүү же башка булут акыркы чекитин кабыл алуу ортосунда аң-сезимдүү тандоо керек болгон учур. Булар үч башка бюджет, ал эми бирөөнү кокустан тандоо убактылуу айлана жолдун архитектурага айланышы. Тандоону жана анын себебин туннелдин жанына жазыңыз.
Мунун кайсынысын болбосун чечмелөөдөн мурун Google тараптагы туннелдин абалын жана IKE жолдо эле ташталып жатпаганын ырастаңыз. Ташталган пакет убакыт бүтүп токтойт; ал баш тартуу жаратпайт.
Иштеп турганда эмнени жазуу керек
Туннел акыркы жолу көтөрүлгөндө күчүндө болгон идентитет түрүн, анын маанисин, firmware версиясын жана өнөктөш дарегин жазып алыңыз. Firmware жаңыртуу демейкини кайра өзгөртүшү мүмкүн, ал эми кийинки ийгиликсиздик так ачкыч дал келбестигине окшош болот. Идентитет ачкыч менен өнөктөш дарегинин жанында сакталса, кийинки адам арзан текшерүүлөрдөн баштайт.
Бул жазуу кийинки жаңыртуудан кийин айлана жол дагы керекпи экенин билүүнүн да жалгыз жолу.