Cloud VPN кон Cisco ASA: преизградба по несовпаѓање на предлогот

NEGOTIATION_FAILURE на Cloud VPN тунел со Cisco ASA на другиот крај речиси секогаш е несовпаѓање на предлогот или на селекторите, и првиот корисен факт е дека никакво уредување тоа нема да го поправи. Cloud VPN го фиксира IKE предлогот кога се создава објектот на тунелот. Нема поле за менување на алгоритам на самото место, затоа поправката е бришење и повторно создавање со забележана почетна точка. Третирајте го како преизградба и работата станува контролна листа наместо попладне со претпоставки.

Прочитајте го дефектот пред да избришете нешто

Неуспехот при преговарање е проблем на фаза, и дневникот на партнерот обично ја именува фазата. Неуспех на фаза 1 значи дека страните не можеле да се договорат за предлог или не можеле да се автентицираат. Неуспех на фаза 2 значи дека тунелот се кренал, а заштитените селектори не се совпаднале. Тоа се различни поправки, и вреди да се извлече линијата од дневникот пред некој да допре конфигурација.

Дефектот исто така исклучува работи. Тоа не е VPC рута, не е firewall правило на интерфејсот на тунелот и не е дефект во разрешувањето имиња внатре во мрежата. Трчање по нив дава самоуверени промени што не можат да го променат исходот и го отежнуваат припишувањето на конечната поправка.

Забележете ги двете конфигурации додека сè уште постојат

Бришењето тунел трае половина минута и го уништува единствениот доказ што сте го имале. Пред тоа запишете ги локалните и далечните селектори, адресата на партнерот, чиј е заедничкиот тајнопис и crypto map или IKEv2 профилот на ASA. ASA одговара на две одделни прашања: што е конфигурирано и што е моментално кренато:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

На страната на Google читајте го објектот на тунелот, а не резимето во конзолата, бидејќи адресата на партнерот и полињата на селекторот се вредностите што мора точно да ги репродуцирате:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Ставете ги тие вредности во тикетот пред првото бришење. Преизградбата подолу функционира само затоа што можете повторно да го создадете истиот објект со една намерна разлика.

Алгоритмите за кои едната страна одбива да преговара

Cloud VPN не избира од опсег на IKEv1 алгоритми како традиционален партнер. Поставките на партнерот што ги очекува се фиксни: aes-cbc-128 за шифрирање, sha1-96 и за интегритет и за PRF, Diffie-Hellman група 2, 36,600 секунди за фаза 1 и 10,800 секунди за фаза 2. Политиката на ASA мора да го понуди точно тоа множество. Втор предлог на ASA не штети ако соодветниот е исто така на листата.

IKEv2 им дава на двете страни повеќе простор, но правилата ја задржуваат истата форма: вклучете PFS, изберете DH група што тунелот ја поддржува и држете ја листата со предлози доволно кратка за несовпаѓањето да биде очигледно. Партнер ASA на Cloud VPN значи и статично рутирање, затоа заштитените префикси мора да се планираат и наведат, а не да се оставаат на BGP.

Животен век копиран од шаблон на друг производител е вообичаениот погрешен свиок овде. Google ги објавува овие вредности како задолжителни поставки на партнерот, затоа поставете ги; пократка вредност не се преговара нагоре до она што ASA го сака.

Избришете, создадете повторно и исчистете ја старата состојба

Избришете го тунелот, не gateway-от, и забележете го името што Cloud VPN го дава на замената, бидејќи имињата се доделуваат, а не се користат повторно. Создадете го повторно со забележаните вредности и истата адреса на партнерот, потоа додајте го соодветниот предлог на листата со политики на ASA.

Исчистете ги безбедносните асоцијации по промената на ASA и пред да го прочитате резултатот. ASA може да продолжи да нуди застарена политика сè додека не истече тековниот SA, затоа исправната конфигурација изгледа расипана за целото времетраење на стариот животен век и набљудувачот заклучува дека преизградбата не успеала кога таа воопшто не започнала:

clear crypto ikev2 sa
clear crypto ipsec sa

Потврдете дека фаза 1 се крева пред да погледнете во фаза 2. Додека фаза 1 е долу, предлогот или однапред споделениот клуч се погрешни и работата на селекторите тоа нема да го промени.

Селекторите се совпаѓаат како во огледало, потоа одлучуваат бројачите

Фаза 2 работи само кога двете страни се согласуваат за заштитените адреси, а согласноста е огледална, а не заедничка. Локалниот селектор на Google мора да се совпаѓа со селекторот што ASA го нарекува далечен, а далечниот селектор на Google со она што ASA го нарекува локален. Тунел со 0.0.0.0/0 на едната страна и една подмрежа на другата поминува фаза 1 и потоа паѓа на фаза 2 со истата главна грешка. Ниту една страна не може да ја прошири листата на другата.

За селектори засновани на политика, наведете го секој пар префикси и чувајте ја листата во тикетот. Подмрежа додадена подоцна на локацијата бара уредување на двата краја, бидејќи нова рута на ASA не проширува селектор, а резултатот е тунел што е кренат и пропушта сообраќај само за префиксите што постоеле првиот ден.

Завршете со еден тек од домаќин до домаќин и прочитајте ги бајт-бројачите на двете страни. Бројачи што растат на ASA, а стојат на Google, обично значат дека одговорот излегува низ друг интерфејс или дека селекторот не го покрива префиксот за враќање. Забележете ги алгоритмите, животните векови, селекторите и новото име на тунелот, бидејќи следната промена на предлогот ја повторува оваа преизградба и тие вредности ја прават кратка задача.