GCP HA VPN atmeta „FortiGate“: vietinio ID tipas nesutampa
„Google“ lygina ne tik iš anksto bendrinamą raktą, bet ir „FortiGate“ deklaruojamą tapatybę. FQDN vietinis ID šios patikros nepraeina, nors žurnalas vis dar rašo autentifikacija.
AUTHENTICATION_FAILED iš „Google Cloud HA VPN“ paprastai nukreipia žmones atgal prie iš anksto bendrinamo rakto, o raktas dažniausiai būna teisingas. Tunelis sustoja 1 fazėje, nes „Google“ lygina dar ir kažką kita: tapatybę, kurią partneris deklaruoja per IKE mainus. „FortiGate“ įrenginyje ta tapatybė gali pakeisti tipą niekam neredaguojant adreso. Skatykite žurnalą kaip tapatybės neatitikimą, kai raktas įvestas dar kartą du kartus.
Viena klaida, dvi patikros
IKE tikrina partnerį dviem atskirais žingsniais. Iš anksto bendrinamas raktas įrodo, kad abu galai turi tą pačią paslaptį, o deklaruota tapatybė pasakoja atsakančiajam, kuo partneris save vadina. „Google“ lygina tą tapatybę su partneriu, su kuriuo buvo sukonfigūruotas. Paliktas vienas, „FortiGate“ siunčia adresu pagrįstą tapatybę, išvestą iš jo išeinančios sąsajos, ir palyginimas praeina niekam nepastebint.
Abu žingsniai patenka į tą patį kibirą žurnale, o tai paaiškina pažįstamą ciklą: raktas perrašomas keturis kartus, kol kas nors perskaito tapatybės turinį.
Ką „FortiGate“ įdeda į tapatybės turinį
Bėda prasideda, kai kas nors nustato vietinį ID kad abi pusės sutartų. Naujausi „FortiOS“ rinkiniai žymi tą tapatybę kaip visiškai kvalifikuotą domeno vardą, net kai įvesta reikšmė yra adresas su taškais. Todėl „Google“ gauna FQDN tapatybę, nors laukia adreso, ir atmeta sesiją. Pranešime nieko nesakoma, kuri pusė nepavyko, todėl ataskaita skaitoma kaip autentifikacijos klaida.
Atkurkite tai vieną kartą įjungę IKE derinimą ir perskaitykite tapatybės turinį, kurį ugniasienė tikrai siunčia.
Tame pačiame praėjime patvirtinkite tris pigius faktus: abiejų galų naudojamą IKE versiją, tikslų raktą įskaitant nematomus pabaigos simbolius ir partnerio adresą, kurio „Google“ laukia. Jie atsako į skirtingus klausimus, o sutampantis raktas nieko nesako apie tapatybę.
Parinktys ir kiek kiekviena kainuoja
Kiekviena išeitis taiso skirtingą sluoksnį, ir nė viena nėra prieinama visiems diegimams.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Tapatybės taisymas ugniasienėje yra švariausias atsakymas ten, kur programinė įranga leidžia pasirinkti tipą ir išsaugoti reikšmę. Laukas yra kai kuriuose rinkiniuose, o kituose tipą užpildo neteisingai, todėl išbandykite savo versiją, o ne pasitikėkite leidimo pastabomis.
Maršrutizuojamas viešasis adresas derybų sąsajoje yra dokumentuotas apėjimas, nes tada numatytoji tapatybė atitinka tai, ko laukia „Google“, ir jokio perrašymo nereikia. Ten atsiduria dauguma diegimų, jei ugniasienė apskritai gali išlaikyti tokį adresą.
Baigti partneriu, kuris validuoja tai, ką gaminate, yra topologijos pokytis. Traktuokite tai kaip projektinį sprendimą, o ne kaip apėjimą su draugiškesniu aprašymu.
Kai NAT pašalina vieną parinktį
Už NAT viešojo adreso išeitis išnyksta, o tai, kas lieka, priklauso nuo programinės įrangos elgesio, kurio nekontroliuojate. Tai momentas sąmoningai rinktis tarp atnaujinimo, partnerio perkėlimo ar kito debesų galinio taško priėmimo. Tai trys skirtingi biudžetai, o atsitiktinis vieno pasirinkimas yra būdas, kuriuo laikinas apėjimas tampa architektūra. Užrašykite pasirinkimą ir jo priežastį prie tunelio.
Prieš ką nors interpretuodami, patvirtinkite tunelio būseną „Google“ pusėje ir kad IKE nėra tiesiog metamas kelyje. Numestas paketas baigiasi laiko limitu; jis nesukuria atmetimo.
Ką užsirašyti, kol tai veikia
Užrašykite tapatybės tipą, jos reikšmę, programinės įrangos versiją ir partnerio adresą, kurie galiojo, kai tunelis paskutinį kartą pakilo. Programinės įrangos atnaujinimas gali vėl pakeisti numatytąją reikšmę, o kita klaida atrodys lygiai kaip rakto neatitikimas. Kai tapatybė saugoma šalia rakto ir partnerio adreso, kitas žmogus pradeda nuo pigių patikrų.
Tas įrašas taip pat yra vienintelis būdas sužinoti, ar apėjimo dar reikia po kito atnaujinimo.