GCP HA VPN го одбива FortiGate: типот на локален ID не се совпаѓа
Google го споредува идентитетот што FortiGate го тврди, не само претходно споделениот клуч. Локален ID од тип FQDN паѓа на таа проверка, додека дневникот сѐ уште вели автентикација.
AUTHENTICATION_FAILED од Google Cloud HA VPN обично ги враќа луѓето на претходно споделениот клуч, а клучот вообичаено е точен. Тунелот застанува во фаза 1 бидејќи Google споредува и нешто друго: идентитетот што партнерот го тврди за време на IKE размената. На FortiGate тој идентитет може да го смени типот без некој да уреди адреса. Читајте го дневникот како несовпаѓање на идентитет откако клучот е повторно внесен двапати.
Еден неуспех, две проверки
IKE го проверува партнерот во два одделни чекора. Претходно споделениот клуч докажува дека двата краја го имаат истото тајно, а тврдениот идентитет му кажува на одговорниот кого партнерот тврди дека е. Google го споредува тој идентитет со партнерот со кој е конфигуриран. Оставен сам, FortiGate испраќа идентитет заснован на адреса изведен од неговиот излезен интерфејс, и споредбата поминува без некој да забележи.
Двата чекора паѓаат во истата кофа во дневникот, што го објаснува познатиот циклус на повторно пишување на клучот четири пати пред некој да го прочита товарот на идентитет.
Што става FortiGate во товарот на идентитет
Проблемот почнува кога некој поставува локален ID за двете страни да се согласат. Новите FortiOS верзии го означуваат тој идентитет како целосно квалификувано име на домен, дури и кога внесената вредност е адреса со точки. Затоа Google прима идентитет од тип FQDN додека очекува адреса, и ја одбива сесијата. Ништо во пораката не кажува која половина не успеала, па извештајот се чита како неуспех на автентикација.
Репродуцирајте го еднаш со вклучено IKE отстранување грешки и прочитајте го товарот на идентитет што огнениот ѕид навистина го испраќа.
Во истиот преглед потврдете три евтини факти: верзијата на IKE што ја користат двата краја, точниот клуч вклучително невидливите завршни знаци, и адресата на партнерот што Google ја очекува. Тие одговараат на различни прашања, а клучот што се совпаѓа не кажува ништо за идентитетот.
Опции и што чини секоја
Секој излез поправа различен слој, и ниту еден не е достапен за секое распоредување.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Поправањето на идентитетот на огнениот ѕид е најчистиот одговор каде фирмверот ви дозволува да го изберете типот и да ја задржите вредноста. Полето постои во некои верзии, а во други погрешно го пополнува типот, затоа тестирајте ја вашата верзија наместо да им верувате на белешките за издание.
Рутирачка јавна адреса на интерфејсот за преговарање е документираниот заобиколен пат, бидејќи тогаш стандардниот идентитет се совпаѓа со тоа што Google го очекува и не е потребно препишување. Таму завршуваат повеќето распоредувања, ако огнениот ѕид воопшто може да држи таква адреса.
Завршувањето на партнер што го валидира тоа што го произведувате е промена на топологијата. Третирајте го како дизајнерска одлука, а не како заобиколен пат со попријателски опис.
Кога NAT отстранува една опција
Зад NAT излезот преку јавна адреса исчезнува, а она што останува зависи од однесувањето на фирмверот што не го контролирате. Тоа е моментот свесно да изберете меѓу надградба, преместување на партнерот или прифаќање друг облачен крај. Тоа се три различни буџети, а избирањето на еден случајно е начинот на кој привремен заобиколен пат станува архитектура. Запишете го изборот и неговата причина до тунелот.
Пред да протолкувате било што од ова, потврдете ја состојбата на тунелот на страната на Google и дека IKE не се само фрла по патот. Фрлен пакет истекува; тој не создава одбивање.
Што да се запише додека работи
Запишете го типот на идентитет, неговата вредност, верзијата на фирмверот и адресата на партнерот што биле на сила кога тунелот последен пат се кренал. Ажурирање на фирмверот може повторно да го смени стандардот, и следниот неуспех ќе изгледа токму како несовпаѓање на клуч. Кога идентитетот е зачуван до клучот и адресата на партнерот, следниот човек почнува од евтините проверки.
Тој запис е и единствениот начин да се знае дали заобиколниот пат сѐ уште е потребен по следната надградба.