Cloud VPN uz Cisco ASA: pārbūve pēc priekšlikuma neatbilstības

Cloud VPN iekļauj priekšlikumu tuneļa objektā, tāpēc neatbilstība ar ASA nozīmē pārbūvi. Pierakstiet selektorus, saskaņojiet abas fāzes, notīriet vecos SA.

NEGOTIATION_FAILURE Cloud VPN tunelī, kura otrā galā ir Cisco ASA, gandrīz vienmēr ir priekšlikuma vai selektoru neatbilstība, un pirmais noderīgais fakts ir tas, ka neviens labojums to nesalabos. Cloud VPN fiksē IKE priekšlikumu brīdī, kad tiek izveidots tuneļa objekts. Nav lauka, kur algoritmu mainīt uz vietas, tāpēc labošana ir dzēšana un atkārtota izveide ar pierakstītu sākumpunktu. Uztveriet to kā pārbūvi, un darbs kļūst par kontrolsarakstu, nevis minējumu pēcpusdienu.

Izlasi kļūdu, pirms kaut ko dzēs

Sarunu kļūda ir fāzes problēma, un partnera žurnāls parasti nosauc fāzi. 1. fāzes kļūda nozīmē, ka gali nevarēja vienoties par priekšlikumu vai nevarēja viens otru autentificēt. 2. fāzes kļūda nozīmē, ka tunelis pacēlās un aizsargātie selektori nesakrita. Tie ir dažādi labojumi, un žurnāla rindu ir vērts izvilkt pirms kāds pieskaras konfigurācijai.

Kļūda arī izslēdz vairākas lietas. Tas nav VPC maršruts, nav ugunsmūra noteikums tuneļa saskarnē un nav nosaukumu atrisināšanas kļūda tīklā. To vajāšana rada pārliecinātas izmaiņas, kas nevar mainīt rezultātu, un padara gala labojumu grūtāk attiecināmu.

Pieraksti abas konfigurācijas, kamēr tās vēl pastāv

Tuneļa dzēšana aizņem pusminūti un iznīcina vienīgo pierādījumu, kas tev bija. Pirms tam pieraksti vietējos un attālos selektorus, partnera adresi, kam pieder koplietotais noslēpums, un ASA crypto map vai IKEv2 profilu. ASA atbild uz diviem atsevišķiem jautājumiem: kas ir konfigurēts un kas šobrīd ir pacelts:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google pusē lasi tuneļa objektu, nevis konsoles kopsavilkumu, jo partnera adrese un selektoru lauki ir vērtības, kas tev precīzi jāatveido:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Ieraksti šīs vērtības biļetē pirms pirmās dzēšanas. Zemāk aprakstītā pārbūve darbojas tikai tāpēc, ka vari no jauna izveidot to pašu objektu ar vienu apzinātu atšķirību.

Algoritmi, par kuriem viena puse atsakās vienoties

Cloud VPN neizvēlas no IKEv1 algoritmu klāsta kā tradicionāls partneris. Partnera iestatījumi, ko tas gaida, ir fiksēti: aes-cbc-128 šifrēšanai, sha1-96 gan integritātei, gan PRF, Diffie-Hellman 2. grupa, 36,600 sekundes 1. fāzei un 10,800 sekundes 2. fāzei. ASA politikai ir jāpiedāvā tieši šis kopums. Otrs priekšlikums ASA nekaitē, ja atbilstošais arī ir sarakstā.

IKEv2 dod abām pusēm vairāk telpas, bet noteikumi saglabā to pašu formu: ieslēdz PFS, izvēlies DH grupu, ko tunelis atbalsta, un turi priekšlikumu sarakstu pietiekami īsu, lai neatbilstība būtu acīmredzama. ASA partneris Cloud VPN nozīmē arī statisko maršrutēšanu, tāpēc aizsargātie prefiksi ir jāplāno un jāuzskaita, nevis jāatstāj BGP ziņā.

No cita ražotāja veidnes nokopēts derīguma termiņš šeit ir ierastais nepareizais pagrieziens. Google publicē šīs vērtības kā obligātus partnera iestatījumus, tāpēc iestati tās; īsāka vērtība netiek sarunāta uz augšu līdz tam, ko vēlas ASA.

Dzēs, izveido no jauna un notīri veco stāvokli

Dzēs tuneli, nevis gateway, un pieraksti nosaukumu, ko Cloud VPN piešķir aizstājējam, jo nosaukumi tiek piešķirti, nevis izmantoti atkārtoti. Izveido to no jauna ar pierakstītajām vērtībām un to pašu partnera adresi, pēc tam pievieno atbilstošo priekšlikumu ASA politikas sarakstam.

Notīri drošības asociācijas pēc ASA izmaiņām un pirms rezultāta lasīšanas. ASA var turpināt piedāvāt novecojušu politiku, līdz pašreizējais SA beidzas, tāpēc pareiza konfigurācija izskatās salauzta visu vecā termiņa laiku, un novērotājs secina, ka pārbūve neizdevās, lai gan tā vēl nebija sākusies:

clear crypto ikev2 sa
clear crypto ipsec sa

Pārliecinies, ka 1. fāze paceļas, pirms skaties uz 2. fāzi. Kamēr 1. fāze ir lejā, priekšlikums vai iepriekš koplietotā atslēga ir nepareizi, un selektoru darbs to nemainīs.

Selektori atspoguļojas, tad izšķir skaitītāji

2. fāze darbojas tikai tad, kad abi gali vienojas par aizsargātajām adresēm, un vienošanās ir spoguļota, nevis koplietota. Google vietējam selektoram jāatbilst selektoram, ko ASA sauc par attālo, un Google attālajam selektoram jāatbilst tam, ko ASA sauc par vietējo. Tunelis ar 0.0.0.0/0 vienā pusē un vienu apakštīklu otrā iziet 1. fāzi un pēc tam neizdodas 2. fāzē ar to pašu galveno kļūdu. Neviena puse nevar paplašināt otras sarakstu.

Uz politiku balstītiem selektoriem uzskaiti katru prefiksu pāri un glabā sarakstu biļetē. Vēlāk uz vietas pievienots apakštīkls prasa labojumu abos galos, jo jauns maršruts ASA nepaplašina selektoru, un rezultāts ir tunelis, kas ir pacelts un laiž satiksmi tikai tiem prefiksiem, kas pastāvēja pirmajā dienā.

Pabeidz ar vienu plūsmu no resursdatora uz resursdatoru un nolasi baitu skaitītājus abās pusēs. Skaitītāji, kas ceļas ASA un paliek plakani Google, parasti nozīmē, ka atbilde iziet pa citu saskarni vai selektors neaptver atgaitas prefiksu. Pieraksti algoritmus, termiņus, selektorus un jauno tuneļa nosaukumu, jo nākamā priekšlikuma maiņa atkārtos šo pārbūvi, un šīs vērtības padara to par īsu darbu.

Saistītie raksti