GCP HA VPN refuséiert FortiGate: den Typ vum lokalen ID passt net
Google vergläicht d’Identitéit, déi e FortiGate behaapt, net nëmmen de virdrun gedeelte Schlëssel. Eng lokal ID vum Typ FQDN fält an där Prüfung duerch, während de Log nach ëmmer Authentifikatioun seet.
AUTHENTICATION_FAILED vun Google Cloud HA VPN schéckt d’Leit meeschtens zréck op de virdrun gedeelte Schlëssel, an de Schlëssel ass normalerweis richteg. Den Tunnel bleift an der Fase 1 stoe well Google nach eppes anescht vergläicht: d’Identitéit, déi de Peer während dem IKE-Austausch behaapt. Op engem FortiGate kann déi Identitéit den Typ wiesselen ouni datt een eng Adress ännert. Liest de Log als Identitéitskonflikt, soubal de Schlëssel zweemol nei aginn gouf.
Een Feeler, zwou Prüfungen
IKE verifizéiert e Peer an zwou getrennte Schrëtt. De virdrun gedeelte Schlëssel beweist, datt déi zwou Säiten dee selwechte Geheimnis hunn, an eng behaapt Identitéit seet dem Äntwerer, wien de Peer sech ausgëtt. Google vergläicht déi Identitéit mat deem Peer, mat deem et konfiguréiert gouf. Wa een et eleng léisst, schéckt e FortiGate eng adressbaséiert Identitéit, déi vun senger Ausgangsschnittstell ofgeleet ass, an de Verglach geet duerch ouni datt et een bemierkt.
Déi zwou Schrëtt landen am selwechte Becher am Log, wat déi bekannt Schlauf erkläert, de Schlëssel véier Mol nei ze tippen ier een d’Identitéitspayload liest.
Wat e FortiGate an d’Identitéitspayload setzt
Den Ärger fänkt un, wann een eng lokal ID setzt, fir datt déi zwou Säiten sech eens ginn. Rezent FortiOS-Builden markéieren déi Identitéit als vollqualifizéierten Domainnumm, och wann de Wert, deen agi war, eng Adress mat Punkten ass. Google kritt dowéinst eng FQDN-Identitéit, während et eng Adress erwaart, an et refuséiert d’Sessioun. Näischt an der Meldung seet, wéi eng Halschent gescheitert ass, dofir liest sech de Rapport wéi en Authentifikatiounsfeeler.
Reproduzéiert et eng Kéier mam IKE-Debugging ageschalt a liest d’Identitéitspayload, déi d’Firewall tatsächlech schéckt.
An der selwechter Pass, bestätegt dräi bëlleg Fakten: d’IKE-Versioun, déi déi zwou Säiten droen, de geneeë Schlëssel inklusiv onsichtbaren Endzeichen, an d’Peer-Adress, déi Google erwaart. Si äntweren op verschidde Froen, an e Schlëssel deen passt seet näischt iwwer d’Identitéit.
Optiounen, a wat all eng Käschte huet
Jiddwereen Auswee reparéiert eng aner Schicht, an keen dovu ass fir all Asaz disponibel.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
D’Identitéit op der Firewall ze korrigéieren ass déi propperst Äntwert, wou d’Firmware dir erlaabt den Typ ze wielen an de Wert ze behalen. D’Feld gëtt et a verschiddene Builden a fëllt den Typ an aneren falsch aus, also test däi Versioun amplaz de Release-Notizen ze gleewen.
Eng routbar ëffentlech Adress op der verhandelnder Schnittstell ass déi dokumentéiert Ëmwee, well dann d’Standardidentitéit zu deem passt, wat Google erwaart, an eng Iwwerschreiwung net néideg ass. Do landen déi meescht Asätz, wann d’Firewall iwwerhaapt sou eng Adress halen kann.
Um Peer ofzeschléissen, dee validéiert wat s du produzéiers, ass eng Topologieännerung. Behuel et wéi eng Designentscheedung an net wéi en Ëmwee mat enger frëndlecher Beschreiwung.
Wann NAT eng Optioun ewechhëlt
Hannert NAT verschwënnt den Auswee iwwer déi ëffentlech Adress, an dat wat bleift hänkt vun engem Firmwareverhalen of, dat s de net kontrolléiers. Dat ass de Punkt, fir bewosst tëschent Upgrade, Verleeë vum Peer oder Akzeptanz vun engem aneren Cloud-Endpunkt ze wielen. Dat sinn dräi verschidde Budgeten, an ee vun hinnen duerch Zoufall ze wielen ass de Wee, wéi en temporären Ëmwee Architektur gëtt. Schréif d’Wiel an hire Grond nieft den Tunnel.
Ier s de eppes dovu interpretéiers, bestäteg de Tunnelzoustand op der Google-Säit an datt IKE net einfach ënnerwee fale gelooss gëtt. E fale geloossene Paket leeft an e Timeout; et produzéiert keng Refus.
Wat festzehalen, soulaang et funktionéiert
Notéier den Identitéitstyp, säi Wäert, d’Firmwareversioun an d’Peer-Adress, déi un deenen de Moment gëllen, wéi den Tunnel lescht Kéier eropkoum. En Firmwareupdate kann den Standard nach eng Kéier änneren, an de nächste Feeler wäert genee wéi en Schlësselkonflikt ausgesinn. Mat der Identitéit nieft dem Schlëssel an der Peer-Adress gespäichert, fänkt déi nächst Persoun bei de bëllegen Prüfungen un.
Dee Rekord ass och déi eenzeg Manéier ze wëssen, ob en Ëmwee no dem nächsten Upgrade nach gebraucht gëtt.