Cloud VPN į Cisco ASA: atstatymas po pasiūlymo neatitikimo

NEGOTIATION_FAILURE Cloud VPN tunelyje, kurio kitame gale yra Cisco ASA, beveik visada reiškia pasiūlymo arba selektorių neatitikimą, ir pirmas naudingas faktas yra tas, kad joks redagavimas to neištaisys. Cloud VPN užfiksuoja IKE pasiūlymą tada, kai sukuriamas tunelio objektas. Lauko, kuriame būtų galima pakeisti algoritmą vietoje, nėra, todėl taisymas yra trynimas ir perrinkimas su užrašytu pradiniu tašku. Traktuokite tai kaip atstatymą ir darbas taps kontroliniu sąrašu, o ne spėlionių popiete.

Perskaitykite gedimą prieš ką nors trindami

Derybų gedimas yra fazės problema, o partnerio žurnalas paprastai nurodo fazę. 1 fazės gedimas reiškia, kad galai nesusitarė dėl pasiūlymo arba negalėjo vienas kito autentifikuoti. 2 fazės gedimas reiškia, kad tunelis pakilo, o apsaugoti selektoriai nesutapo. Tai skirtingi taisymai, ir žurnalo eilutę verta išgauti prieš kam nors liečiant konfigūraciją.

Gedimas taip pat atmeta kai kurias priežastis. Tai ne VPC maršrutas, ne ugniasienės taisyklė tunelio sąsajoje ir ne vardų sprendimo gedimas tinkle. Jų vaikymasis duoda pasitikėjimo kupinus pakeitimus, kurie negali pakeisti rezultato, ir apsunkina galutinio taisymo priskyrimą.

Užfiksuokite abi konfigūracijas, kol jos dar egzistuoja

Tunelio trynimas trunka pusę minutės ir sunaikina vienintelį įrodymą, kurį turėjote. Prieš tai užrašykite vietinius ir nuotolinius selektorius, partnerio adresą, kam priklauso bendras slaptažodis, ir ASA crypto map arba IKEv2 profilį. ASA atsako į du atskirus klausimus: kas sukonfigūruota ir kas šiuo metu pakilę:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google pusėje skaitykite tunelio objektą, o ne konsolės santrauką, nes partnerio adresas ir selektorių laukai yra vertės, kurias turite atkurti tiksliai:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Įrašykite tas vertes į bilietą prieš pirmą trynimą. Toliau pateiktas atstatymas veikia tik todėl, kad galite iš naujo sukurti tą patį objektą su vienu sąmoningu skirtumu.

Algoritmai, dėl kurių viena pusė atsisako derėtis

Cloud VPN nesirenka iš IKEv1 algoritmų spektro kaip tradicinis partneris. Partnerio nustatymai, kurių jis tikisi, yra fiksuoti: aes-cbc-128 šifravimui, sha1-96 ir vientisumui, ir PRF, Diffie-Hellman 2 grupė, 36,600 sekundžių 1 fazei ir 10,800 sekundžių 2 fazei. ASA politika turi pasiūlyti būtent šį rinkinį. Antras pasiūlymas ASA netrukdo, jei atitinkantis taip pat yra sąraše.

IKEv2 suteikia abiem pusėms daugiau erdvės, bet taisyklės išlaiko tą pačią formą: įjunkite PFS, pasirinkite DH grupę, kurią palaiko tunelis, ir laikykite pasiūlymų sąrašą pakankamai trumpą, kad neatitikimas būtų akivaizdus. ASA partneris Cloud VPN reiškia ir statinį maršrutizavimą, todėl apsaugoti prefiksai turi būti suplanuoti ir išvardyti, o ne palikti BGP.

Iš kito gamintojo šablono nukopijuota galiojimo trukmė čia yra įprastas klaidingas posūkis. Google skelbia šias vertes kaip privalomus partnerio nustatymus, todėl nustatykite jas; trumpesnė vertė nederinama aukštyn iki to, ko nori ASA.

Ištrinkite, sukurkite iš naujo ir išvalykite seną būseną

Trinkite tunelį, o ne gateway. Užsirašykite vardą, kurį Cloud VPN suteikia pakaitui, nes vardai priskiriami, o ne naudojami pakartotinai. Sukurkite jį iš naujo su užrašytomis vertėmis ir tuo pačiu partnerio adresu, tada pridėkite atitinkantį pasiūlymą į ASA politikos sąrašą.

Išvalykite saugos asociacijas po ASA pakeitimo ir prieš skaitydami rezultatą. ASA gali toliau siūlyti pasenusią politiką, kol nepasibaigs dabartinė SA, todėl teisinga konfigūracija atrodo sugedusi visą seną galiojimo laiką, o stebėtojas nusprendžia, kad atstatymas nepavyko, nors jis dar nebuvo prasidėjęs:

clear crypto ikev2 sa
clear crypto ipsec sa

Patvirtinkite, kad 1 fazė pakyla, prieš žiūrėdami į 2 fazę. Kol 1 fazė yra žemai, pasiūlymas arba iš anksto bendrinamas raktas yra neteisingi, ir selektorių darbas to nepakeis.

Selektoriai atsispindi, tada sprendžia skaitikliai

2 fazė veikia tik tada, kai abu galai sutaria dėl saugomų adresų, ir sutarimas yra veidrodinis, o ne bendras. Google vietinis selektorius turi atitikti selektorių, kurį ASA vadina nuotoliniu, o Google nuotolinis selektorius – tai, ką ASA vadina vietiniu. Tunelis su 0.0.0.0/0 vienoje pusėje ir vienu potinkliu kitoje praeina 1 fazę ir tada nepavyksta 2 fazėje su ta pačia pagrindine klaida. Nė viena pusė negali išplėsti kitos sąrašo.

Politika pagrįstiems selektoriams išvardykite kiekvieną prefiksų porą ir laikykite sąrašą biliete. Vėliau vietoje pridėtas potinklis reikalauja redagavimo abiejuose galuose, nes naujas maršrutas ASA neišplečia selektoriaus, o rezultatas yra tunelis, kuris pakilęs ir praleidžia srautą tik tiems prefiksams, kurie egzistavo pirmą dieną.

Užbaikite vienu srautu nuo hosto iki hosto ir perskaitykite baitų skaitiklius abiejose pusėse. Skaitikliai, kurie kyla ASA ir išlieka plokšti Google, paprastai reiškia, kad atsakymas išeina per kitą sąsają arba selektorius neapima grįžimo prefikso. Užrašykite algoritmus, galiojimo trukmes, selektorius ir naują tunelio vardą, nes kitas pasiūlymo pakeitimas pakartos šį atstatymą, o tos vertės pavers jį trumpu darbu.