GCP HA VPN FortiGate-നെ നിരസിക്കുന്നു: ലോക്കൽ ID തരം പൊരുത്തപ്പെടുന്നില്ല
Google മുൻകൂട്ടി പങ്കിട്ട കീ മാത്രമല്ല, FortiGate അവകാശപ്പെടുന്ന ഐഡന്റിറ്റിയും താരതമ്യം ചെയ്യുന്നു. FQDN ലോക്കൽ ID ആ പരിശോധനയിൽ പരാജയപ്പെടുന്നു, എന്നാൽ ലോഗ് ഇപ്പോഴും പ്രാമാണീകരണം എന്ന് പറയുന്നു.
Google Cloud HA VPN-ൽ നിന്നുള്ള AUTHENTICATION_FAILED സാധാരണയായി ആളുകളെ മുൻകൂട്ടി പങ്കിട്ട കീയിലേക്ക് തിരികെ അയയ്ക്കുന്നു, കീ സാധാരണയായി ശരിയായിരിക്കും. ടണൽ 1 ഘട്ടത്തിൽ നിൽക്കുന്നു, കാരണം Google മറ്റൊന്ന് കൂടി താരതമ്യം ചെയ്യുന്നു: IKE കൈമാറ്റത്തിൽ പിയർ അവകാശപ്പെടുന്ന ഐഡന്റിറ്റി. FortiGate-ൽ ആരും വിലാസം തിരുത്താതെ തന്നെ ആ ഐഡന്റിറ്റിക്ക് തരം മാറാം. കീ രണ്ട് തവണ വീണ്ടും നൽകിയ ശേഷം ലോഗ് ഐഡന്റിറ്റി പൊരുത്തക്കേടായി വായിക്കുക.
ഒരു പരാജയം, രണ്ട് പരിശോധന
IKE ഒരു പിയറിനെ രണ്ട് വേർതിരിച്ച ഘട്ടങ്ങളിൽ പരിശോധിക്കുന്നു. മുൻകൂട്ടി പങ്കിട്ട കീ ഇരു അറ്റങ്ങൾക്കും ഒരേ രഹസ്യമുണ്ടെന്ന് തെളിയിക്കുന്നു, അവകാശപ്പെട്ട ഐഡന്റിറ്റി പ്രതികരിക്കുന്നയാളോട് പിയർ സ്വയം ആരാണെന്ന് പറയുന്നത് അറിയിക്കുന്നു. Google ആ ഐഡന്റിറ്റി, അത് കോൺഫിഗർ ചെയ്ത പിയറുമായി താരതമ്യം ചെയ്യുന്നു. സ്വന്തം നിലയ്ക്ക് വിട്ടാൽ, FortiGate അതിന്റെ ഔട്ട്ഗോയിംഗ് ഇന്റർഫേസിൽ നിന്ന് ഉരുത്തിരിഞ്ഞ വിലാസാധിഷ്ഠിത ഐഡന്റിറ്റി അയയ്ക്കുന്നു, താരതമ്യം ആരും ശ്രദ്ധിക്കാതെ കടന്നുപോകുന്നു.
രണ്ട് ഘട്ടങ്ങളും ലോഗിൽ ഒരേ ബക്കറ്റിൽ എത്തുന്നു, ഐഡന്റിറ്റി പേലോഡ് ആരും വായിക്കുന്നതിന് മുൻപ് കീ നാല് തവണ വീണ്ടും ടൈപ്പ് ചെയ്യുന്ന പരിചിത ചക്രം ഇത് വിശദീകരിക്കുന്നു.
FortiGate ഐഡന്റിറ്റി പേലോഡിൽ എന്ത് ഇടുന്നു
പ്രശ്നം തുടങ്ങുന്നത് ആരെങ്കിലും ലോക്കൽ ID സെറ്റ് ചെയ്യുമ്പോഴാണ്, ഇരു വശങ്ങളും യോജിക്കാൻ. പുതിയ FortiOS ബിൽഡുകൾ ആ ഐഡന്റിറ്റിയെ പൂർണ്ണ യോഗ്യമായ ഡൊമെയിൻ നാമമായി അടയാളപ്പെടുത്തുന്നു, നൽകിയ മൂല്യം ഡോട്ടുള്ള വിലാസമാണെങ്കിലും. അതിനാൽ Google വിലാസം പ്രതീക്ഷിക്കുമ്പോൾ FQDN ഐഡന്റിറ്റി സ്വീകരിക്കുന്നു, സെഷൻ നിരസിക്കുന്നു. സന്ദേശത്തിൽ ഏത് പകുതിയാണ് പരാജയപ്പെട്ടതെന്ന് പറയുന്നില്ല, അതിനാൽ റിപ്പോർട്ട് പ്രാമാണീകരണ പരാജയമായി വായിക്കപ്പെടുന്നു.
IKE ഡീബഗ്ഗിംഗ് ഓണാക്കി ഇത് ഒരിക്കൽ പുനർനിർമ്മിക്കുക, ഫയർവാൾ യഥാർത്ഥത്തിൽ അയയ്ക്കുന്ന ഐഡന്റിറ്റി പേലോഡ് വായിക്കുക.
അതേ ഘട്ടത്തിൽ മൂന്ന് ചെലവുകുറഞ്ഞ വസ്തുതകൾ ഉറപ്പാക്കുക: ഇരു അറ്റങ്ങളും ഉപയോഗിക്കുന്ന IKE പതിപ്പ്, കാണാത്ത അവസാന പ്രതീകങ്ങൾ ഉൾപ്പെടെ കൃത്യമായ കീ, Google പ്രതീക്ഷിക്കുന്ന പിയർ വിലാസം. അവ വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു, ഒത്തുപോകുന്ന കീ ഐഡന്റിറ്റിയെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.
ഓപ്ഷനുകൾ, ഓരോന്നിന്റെയും വില
ഓരോ പുറത്തുകടക്കലും വ്യത്യസ്ത പാളി നന്നാക്കുന്നു, എല്ലാ വിന്യാസത്തിനും ഒന്നും ലഭ്യമല്ല.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
ഫയർവാളിൽ ഐഡന്റിറ്റി തിരുത്തുന്നതാണ് ഏറ്റവും വ്യക്തമായ ഉത്തരം, ഫേംവെയർ തരം തിരഞ്ഞെടുക്കാനും മൂല്യം നിലനിർത്താനും അനുവദിക്കുമ്പോൾ. ചില ബിൽഡുകളിൽ ഈ ഫീൽഡ് ഉണ്ട്, മറ്റുള്ളവയിൽ തരം തെറ്റായി നിറയ്ക്കുന്നു, അതിനാൽ റിലീസ് കുറിപ്പുകൾ വിശ്വസിക്കാതെ നിങ്ങളുടെ പതിപ്പ് പരിശോധിക്കുക.
ചർച്ചാ ഇന്റർഫേസിൽ റൂട്ട് ചെയ്യാവുന്ന പൊതു വിലാസമാണ് രേഖപ്പെടുത്തിയ വഴിത്തിരിവ്, കാരണം അപ്പോൾ സ്ഥിരസ്ഥിതി ഐഡന്റിറ്റി Google പ്രതീക്ഷിക്കുന്നതുമായി ഒത്തുപോകുന്നു, ഒരു ഓവർറൈഡും ആവശ്യമില്ല. ഫയർവാൾ അത്തരം വിലാസം പിടിച്ചുനിർത്താൻ കഴിയുമെങ്കിൽ മിക്ക വിന്യാസങ്ങളും ഇവിടെ അവസാനിക്കുന്നു.
നിങ്ങൾ നിർമ്മിക്കുന്നത് സാധൂകരിക്കുന്ന പിയറിൽ അവസാനിപ്പിക്കുന്നത് ടോപ്പോളജി മാറ്റമാണ്. അതിനെ കൂടുതൽ സൗമ്യമായ വിവരണമുള്ള വഴിത്തിരിവായി അല്ല, ഡിസൈൻ തീരുമാനമായി കാണുക.
NAT ഒരു ഓപ്ഷൻ നീക്കുമ്പോൾ
NAT-ന് പിന്നിൽ പൊതു-വിലാസ പുറത്തുകടക്കൽ അപ്രത്യക്ഷമാകുന്നു, ബാക്കിയുള്ളത് നിങ്ങൾ നിയന്ത്രിക്കാത്ത ഫേംവെയർ സ്വഭാവത്തെ ആശ്രയിച്ചിരിക്കുന്നു. അപ്ഗ്രേഡ്, പിയർ മാറ്റിസ്ഥാപിക്കൽ, അല്ലെങ്കിൽ മറ്റൊരു ക്ലൗഡ് എൻഡ്പോയിന്റ് സ്വീകരിക്കൽ എന്നിവയ്ക്കിടയിൽ ബോധപൂർവം തിരഞ്ഞെടുക്കേണ്ട സ്ഥലമാണിത്. ഇവ മൂന്ന് വ്യത്യസ്ത ബജറ്റുകളാണ്, ഒന്ന് അബദ്ധത്തിൽ തിരഞ്ഞെടുക്കുന്നതാണ് താൽക്കാലിക വഴിത്തിരിവിനെ ആർക്കിടെക്ചറാക്കി മാറ്റുന്നത്. തിരഞ്ഞെടുപ്പും അതിന്റെ കാരണവും ടണലിന് അരികിൽ എഴുതുക.
ഇവയൊന്നും വ്യാഖ്യാനിക്കുന്നതിന് മുൻപ് Google വശത്തെ ടണൽ അവസ്ഥയും IKE വഴിയിൽ വെറുതെ വലിച്ചെറിയപ്പെടുന്നില്ല എന്നും ഉറപ്പാക്കുക. വലിച്ചെറിഞ്ഞ പാക്കറ്റ് സമയപരിധി കഴിഞ്ഞ് അവസാനിക്കുന്നു; അത് നിരസിക്കൽ സൃഷ്ടിക്കുന്നില്ല.
അത് പ്രവർത്തിക്കുമ്പോൾ എന്ത് രേഖപ്പെടുത്തണം
ടണൽ അവസാനമായി ഉയർന്നപ്പോൾ പ്രാബല്യത്തിലുണ്ടായിരുന്ന ഐഡന്റിറ്റി തരം, അതിന്റെ മൂല്യം, ഫേംവെയർ പതിപ്പ്, പിയർ വിലാസം എന്നിവ രേഖപ്പെടുത്തുക. ഫേംവെയർ അപ്ഡേറ്റ് സ്ഥിരസ്ഥിതി വീണ്ടും മാറ്റാം, അടുത്ത പരാജയം കൃത്യമായി കീ പൊരുത്തക്കേട് പോലെ തോന്നും. ഐഡന്റിറ്റി കീയുടെയും പിയർ വിലാസത്തിന്റെയും അരികിൽ സൂക്ഷിച്ചാൽ, അടുത്തയാൾ ചെലവുകുറഞ്ഞ പരിശോധനകളിൽ നിന്ന് തുടങ്ങും.
ആ രേഖയാണ് അടുത്ത അപ്ഗ്രേഡിന് ശേഷവും വഴിത്തിരിവ് ആവശ്യമാണോ എന്ന് അറിയാനുള്ള ഏക മാർഗം.