GCP HA VPN noraida FortiGate: vietējā ID tips neatbilst
Google salīdzina ne tikai iepriekš kopīgoto atslēgu, bet arī identitāti, ko FortiGate apgalvo. FQDN vietējais ID šajā pārbaudē neiztur, kamēr žurnāls joprojām saka autentifikācija.
AUTHENTICATION_FAILED no Google Cloud HA VPN parasti sūta cilvēkus atpakaļ pie iepriekš kopīgotās atslēgas, un atslēga parasti ir pareiza. Tunelis apstājas 1 fāzē, jo Google salīdzina arī ko citu: identitāti, ko partneris apgalvo IKE apmaiņas laikā. FortiGate ierīcē šī identitāte var mainīt tipu, nevienam nerediģējot adresi. Uzskatiet žurnālu par identitātes neatbilstību, kad atslēga ievadīta atkārtoti divas reizes.
Viena kļūda, divas pārbaudes
IKE pārbauda partneri divos atsevišķos soļos. Iepriekš kopīgotā atslēga pierāda, ka abiem galiem ir viens un tas pats noslēpums, un apgalvotā identitāte atbildētājam pasaka, par ko partners sevi uzskata. Google salīdzina šo identitāti ar partneri, ar kuru tas konfigurēts. Ja to atstāj vienu, FortiGate sūta uz adresi balstītu identitāti, kas atvasināta no tā izejošās saskarnes, un salīdzinājums iztur nevienam nepamanot.
Abi soļi nonāk vienā spainī žurnālā, kas izskaidro pazīstamo cilpu ar atslēgas četrkārtēju pārrakstīšanu, pirms kāds izlasa identitātes kravu.
Ko FortiGate ievieto identitātes kravā
Problēma sākas, kad kāds iestata vietējo ID lai abas puses vienotos. Jaunākās FortiOS versijas atzīmē šo identitāti kā pilnībā kvalificētu domēna vārdu pat tad, ja ievadītā vērtība ir adrese ar punktiem. Tāpēc Google saņem FQDN identitāti, kamēr gaida adresi, un noraida sesiju. Nekas ziņojumā nepasaka, kura puse neizdevās, tāpēc pārskats lasāms kā autentifikācijas kļūda.
Reproducējiet to vienreiz ar ieslēgtu IKE atkļūdošanu un izlasiet identitātes kravu, ko ugunsmūris patiešām izsūta.
Tajā pašā piegājienā apstipriniet trīs lētus faktus: abu galu izmantoto IKE versiju, precīzo atslēgu, ieskaitot neredzamos beigu simbolus, un partnera adresi, ko Google gaida. Tie atbild uz dažādiem jautājumiem, un atbilstoša atslēga neko nepasaka par identitāti.
Iespējas un cik katra maksā
Katra izeja labo citu slāni, un neviena nav pieejama visiem izvietojumiem.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Identitātes labošana ugunsmūrī ir vistīrākā atbilde tur, kur programmaparatūra ļauj izvēlēties tipu un saglabāt vērtību. Laukums ir dažās versijās, bet citās tipu aizpilda nepareizi, tāpēc pārbaudiet savu versiju, nevis paļaujieties uz izlaiduma piezīmēm.
Maršrutējama publiskā adrese sarunu saskarnē ir dokumentētais apvedceļš, jo tad noklusējuma identitāte atbilst tam, ko Google gaida, un pārrakstīšana nav vajadzīga. Tur nonāk lielākā daļa izvietojumu, ja ugunsmūris vispār spēj noturēt šādu adresi.
Beigt uz partnera, kas validē to, ko jūs ražojat, ir topoloģijas maiņa. Uztveriet to kā dizaina lēmumu, nevis apvedceļu ar draudzīgāku aprakstu.
Kad NAT noņem vienu iespēju
Aiz NAT publiskās adreses izeja pazūd, un tas, kas paliek, ir atkarīgs no programmaparatūras uzvedības, ko jūs nekontrolējat. Tas ir brīdis, kad apzināti jāizvēlas starp jaunināšanu, partnera pārvietošanu vai citas mākoņa galapunkta pieņemšanu. Tie ir trīs dažādi budžeti, un nejauša viena izvēle ir veids, kā pagaidu apvedceļš kļūst par arhitektūru. Pierakstiet izvēli un tās iemeslu blakus tunelim.
Pirms kaut ko no tā interpretējat, apstipriniet tuneļa stāvokli Google pusē un to, ka IKE netiek vienkārši nomests ceļā. Nomests pakets beidzas ar taimautu; tas nerada noraidījumu.
Ko pierakstīt, kamēr tas strādā
Pierakstiet identitātes tipu, tās vērtību, programmaparatūras versiju un partnera adresi, kas bija spēkā, kad tunelis pēdējo reizi pacēlās. Programmaparatūras atjauninājums var atkal mainīt noklusējumu, un nākamā kļūda izskatīsies tieši kā atslēgas neatbilstība. Ja identitāte glabājas blakus atslēgai un partnera adresei, nākamais cilvēks sāk ar lētajām pārbaudēm.
Šis ieraksts ir arī vienīgais veids, kā uzzināt, vai apvedceļš vēl vajadzīgs pēc nākamā jauninājuma.