Cloud VPN op Cisco ASA: nei opbauen no enger Onstëmmegkeet am Virschlag

NEGOTIATION_FAILURE op engem Cloud VPN Tunnel mat enger Cisco ASA um aneren Enn ass bal ëmmer eng Onstëmmegkeet am Virschlag oder an de Selektoren, an déi éischt nëtzlech Tatsaach ass, datt keng Ännerung dat reparéiert. Cloud VPN fixéiert de IKE-Virschlag, wéi d'Tunnelobjekt ugeluecht gëtt. Et gëtt keen Feld, fir en Algorithmus op der Plaz ze änneren, dofir ass d'Reparatur en Läschen an en Neiulee mat engem notéierten Ausgangspunkt. Behandelt et als Neiopbau an d'Aarbecht gëtt eng Checkliste statt engem Nomëtteg vu Vermutungen.

Liest de Feeler, ier Dir eppes läscht

En Aushandlungsfeeler ass e Phasproblem, an de Peer-Log nennt meeschtens d'Phas. Phas 1, déi feelt, heescht, datt d'Enner sech net op e Virschlag eeneg waren oder sech net géigesäiteg authentifizéiere konnten. Phas 2, déi feelt, heescht, datt den Tunnel eropkomm ass an d'geschützt Selektoren net gepasst hunn. Dat sinn ënnerschiddlech Reparaturen, an d'Logzeil ass et wäert, se erauszezéien ier een eng Konfiguratioun beréiert.

De Feeler schléisst och Saachen aus. Et ass keng VPC-Route, keng Firewallregel op der Tunnelschnëttstell an och kee Nummenopléisungsfeeler am Netz. Hinnen nozelafen erzeugt selbstsécher Ännerungen, déi d'Resultat net kënnen änneren, an et mécht déi lescht Verbesserung schwéier zouzeschreiwen.

Halt béid Konfiguratiounen fest, soulaang se nach existéieren

En Tunnel ze läschen dauert eng hallef Minutt an zerstéiert deen eenzegen Beweis, deen Dir hat. Schreift virdru ronn d'lokal an déi wäit Selektoren, d'Peeradress, wiem de gemeinsame Geheimnis gehéiert, an d'Crypto Map oder den IKEv2-Profil vun der ASA op. D'ASA beäntwert zwou getrennte Froen: wat konfiguréiert ass a wat just leeft:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Op der Google-Säit liest Dir d'Tunnelobjekt amplaz vun der Konsolzesummefaassung, well d'Peeradress an d'Selektorfelder d'Wäerter sinn, déi Dir exakt reproduzéiere musst:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Setzt déi Wäerter an den Ticket virum éischte Läschen. Den Neiopbau hei drënner funktionéiert just, well Dir datselwecht Objekt mat engem bewossten Ënnerscheed nei uleeë kënnt.

D'Algorithmen, iwwer déi eng Säit net wëll verhandelen

Cloud VPN wielt net aus enger Rei IKEv1-Algorithmen wéi en traditionelle Peer. D'Peersettings, déi et erwaart, si fest: aes-cbc-128 fir d'Verschlësselung, sha1-96 fir Integritéit a PRF, Diffie-Hellman-Grupp 2, 36,600 Sekonnen fir Phas 1 an 10,800 Sekonne fir Phas 2. D'ASA-Politik muss genau déi Rei ubidden. En zweeten Virschlag op der ASA schuet net, soulaang dee passenden och an der Lëscht steet.

IKEv2 gëtt béide Säite méi Plaz, awer d'Regelen halen déi selwecht Form: aktivéiert PFS, wielt eng DH-Grupp, déi den Tunnel ënnerstëtzt, a hält d'Virschlagslëscht kuerz genuch, datt eng Onstëmmegkeet opluet. En ASA-Peer op Cloud VPN heescht och statesch Routing, dofir musse déi geschützt Prefixen geplangt an opgelëscht ginn amplaz se BGP ze iwwerloossen.

Eng Liewensdauer, déi aus der Schabloun vun engem anere Hiersteller kopéiert gouf, ass hei de gewéinleche falschen Tour. Google publizéiert dës Wäerter als erfuerderlech Peersettings, also setzt se; e méi kuerze Wäert gëtt net op dat erop verhandelt, wat d'ASA wëll.

Läscht, leet nei un a maacht den ale Zoustand propper

Läscht den Tunnel, net de Gateway, a notéiert den Numm, deen Cloud VPN dem Ersatz gëtt, well Nimm ginn zougedeelt an net nei benotzt. Leet en nei un mat den notéierte Wäerter an der selwechter Peeradress, a setzt duerno dee passenden Virschlag op d'Politiklëscht vun der ASA.

Maacht d'Sécherheetsassociatiounen no der ASA-Ännerung a virum Liesen vum Resultat propper. Eng ASA kann eng veralt Politk ubidden, bis déi aktuell SA ofleeft, dofir gesäit eng korrekt Konfiguratioun iwwer déi ganz al Liewensdauer futti aus, an den Observateur schléisst, den Neiopbau wier gescheitert, wéi en nach net ugefaangen hat:

clear crypto ikev2 sa
clear crypto ipsec sa

Bestätegt, datt Phas 1 eropkënnt, ier Dir op Phas 2 kuckt. Soulaang Phas 1 ënnen ass, sinn de Virschlag oder de viru gedeelte Schlëssel falsch, an Aarbecht un de Selektoren ännert dat net.

D'Selektoren spigelen, duerno entscheeden d'Ziler

Phas 2 funktionéiert just, wann béid Enner sech iwwer déi geschützt Adressen eeneg sinn, an d'Meta ass gespigelt, net gedeelt. De lokale Selektor vu Google muss zu deem Selektor passen, deen d'ASA wäit nennt, an de wäite Selektor vu Google zu deem, wat d'ASA lokal nennt. En Tunnel mat 0.0.0.0/0 op enger Säit an engem eenzegen Subnetz op der anerer kënnt duerch Phas 1 a feelt duerno an Phas 2 mat der selwechter Haaptfeeler. Keng Säit kann d'Lëscht vun der anerer verbreeden.

Fir politikbaséiert Selektoren, lëscht all Prefixpaar op a behält d'Lëscht am Ticket. En Subnetz, dee méi spéit um Site bäikënnt, brauch eng Ännerung op béide Säiten, well eng nei Route op der ASA kee Selektor verbreet, an d'Resultat ass en Tunnel, deen erop ass an nëmme Verkéier fir déi Prefixe duerchléisst, déi um éischten Dag do waren.

Schléisst mat engem eenzegen Host-zu-Host-Floss of a liest d'Byte-Ziler op béide Säiten. Ziler, déi op der ASA klammen an op Google flaach bleiwen, heeschen normalerweis, datt d'Äntwert duerch eng aner Schnëttstell erausgeet, oder datt de Selektor de Réckprefix net deckt. Notéiert d'Algorithmen, d'Liewensdaueren, d'Selektoren an den neien Tunnelnumm, well déi nächst Virschlagsännerung dësen Neiopbau widderhëlt an déi Wäerter maachen eng kuerz Aarbecht doraus.