Cloud VPN-ээс Cisco ASA хүртэл: саналын зөрүүний дараах дахин бүтээлт

Cloud VPN саналыг туннелийн объектод шингээдэг тул ASA-тай зөрүү гарах нь дахин бүтээх гэсэн үг. Сонгогчдыг тэмдэглэж, хоёр фазыг тааруулж, хуучин SA-г устгана уу.

Алслагч талд Cisco ASA бүхий Cloud VPN туннел дээрх NEGOTIATION_FAILURE нь бараг үргэлж санал эсвэл сонгогчдын зөрүү байдаг бөгөөд эхний хэрэгтэй баримт нь ямар ч засвар үүнийг засахгүй гэдэг. Cloud VPN нь туннелийн объект үүсгэх үед IKE саналыг тогтоодог. Алгоритмыг шууд солих талбар байхгүй тул засвар нь устгаж, тэмдэглэсэн эхлэх цэгээр дахин бүтээх юм. Үүнийг дахин бүтээлт гэж үзвэл ажил таамаглалаар дүүрэн үдээс хойш биш, шалгах хуудас болно.

Ямар нэгэн зүйлийг устгахаас өмнө алдааг уншина уу

Хэлэлцээрийн алдаа нь фазын асуудал бөгөөд хамтрагчийн лог ихэвчлэн фазыг нэрлэдэг. 1-р фаз бүтэлгүйтсэн нь хоёр тал саналын талаар тохиролцож чадаагүй эсвэл бие биенээ баталгаажуулж чадаагүй гэсэн үг. 2-р фаз бүтэлгүйтсэн нь туннель боссон боловч хамгаалагдсан сонгогчид тохироогүй гэсэн үг. Эдгээр нь өөр засварууд бөгөөд хэн нэгэн тохиргоонд хүрэхээс өмнө логоос мөрийг гаргаж авах нь зүйтэй.

Алдаа нь зарим зүйлийг мөн үгүйсгэдэг. Энэ нь VPC маршрут биш, туннелийн интерфейс дээрх firewall дүрэм биш, сүлжээний дотоод нэрийн шийдлийн гэмтэл биш. Тэдний араас хөөцөлдөх нь үр дүнг өөрчилж чадахгүй итгэлтэй өөрчлөлтүүд бий болгож, эцсийн засварыг хэнд хамааруулахыг хүндрүүлдэг.

Хоёр тохиргоог хоёуланг нь байгаа үед нь бичээд аваарай

Туннель устгах нь хагас минут зарцуулж, таны цорын ганц нотолгоог устгадаг. Үүнээс өмнө орон нутгийн болон алслагч сонгогчдыг, хамтрагчийн хаягийг, нийтлэг нууц хэнд хамаарахыг, ASA-гийн crypto map эсвэл IKEv2 профайлыг бичиж аваарай. ASA нь хоёр тусдаа асуултад хариулдаг: юу тохируулагдсан, одоо юу боссон:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google талд консолын хураангуйг биш, туннелийн объектыг уншина уу, учир нь хамтрагчийн хаяг болон сонгогчийн талбарууд нь яг дахин гаргах ёстой утгууд юм:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Тэдгээр утгыг анхны устгалаас өмнө тасалбарт бичээрэй. Доорх дахин бүтээлт нь ижил объектыг нэг зориудын ялгаатай дахин бүтээж чаддаг учраас л ажилладаг.

Нэг тал хэлэлцэхээс татгалздаг алгоритмууд

Cloud VPN нь уламжлалт хамтрагч шиг IKEv1 алгоритмын хүрээнээс сонгодоггүй. Түүний хүлээдэг хамтрагчийн тохиргоо тогтмол: шифрлэлтэд aes-cbc-128, бүрэн бүтэн байдал болон PRF-д sha1-96, Diffie-Hellman 2-р бүлэг, 1-р фазад 36,600 секунд, 2-р фазад 10,800 секунд. ASA бодлого яг тэр багцыг санал болгох ёстой. ASA дээр хоёр дахь санал байх нь тохирох нь жагсаалтад байвал хор хөнөөлгүй.

IKEv2 нь хоёр талд илүү зай өгдөг боловч дүрмүүд ижил хэлбэрийг хадгална: PFS-г асааж, туннелийн дэмждэг DH бүлгийг сонгож, зөрүү тодорхой болох хэмжээгээр саналын жагсаалтыг богино байлгана. Cloud VPN дээр ASA хамтрагч байх нь статик чиглүүлэлт мөн гэсэн үг тул хамгаалагдсан префиксүүдийг BGP-д үлдээхгүй, төлөвлөж жагсаах ёстой.

Өөр үйлдвэрлэгчийн загвараас хуулсан амьдрах хугацаа энд түгээмэл буруу эргэлт юм. Google эдгээр утгыг заавал шаардагдах хамтрагчийн тохиргоо хэлбэрээр нийтэлдэг тул тэдгээрийг тавь; богино утга нь ASA-гийн хүсэх хэмжээ хүртэл дээшээ хэлэлцэгддэггүй.

Устгаж, дахин бүтээж, хуучин төлөвийг цэвэрлэ

Gateway-г биш, туннелийг устгаж, Cloud VPN орлуулагчид өгөх нэрийг тэмдэглэ, учир нь нэр дахин ашиглагдахгүй, олгогддог. Бичсэн утгууд болон ижил хамтрагчийн хаягаар дахин бүтээж, дараа нь тохирох саналыг ASA бодлогын жагсаалтад нэм.

ASA-гийн өөрчлөлтийн дараа болон үр дүнг уншихаас өмнө аюулгүй байдлын холбоог цэвэрлэ. ASA нь одоогийн SA дуусах хүртэл хуучирсан бодлогыг санал болгосоор байж болох тул зөв тохиргоо хуучин хугацааны туршид эвдэрсэн мэт харагдаж, ажиглагч дахин бүтээлт эхлээгүй байхад нь бүтэлгүйтсэн гэж дүгнэдэг:

clear crypto ikev2 sa
clear crypto ipsec sa

2-р фазыг харахаас өмнө 1-р фаз боссныг батал. 1-р фаз доор байх үед санал эсвэл урьдчилан хуваалцсан түлхүүр буруу бөгөөд сонгогчийн ажил үүнийг өөрчлөхгүй.

Сонгогчид толин тусгал мэт тохирч, дараа нь тоолуурууд шийднэ

2-р фаз нь хамгаалагдах хаягийн талаар хоёр тал тохирсон үед л ажилладаг бөгөөд тохиролцоо нь хуваалцсан биш, толин тусгал юм. Google-ийн орон нутгийн сонгогч нь ASA алслагч гэж нэрлэдэг сонгогчтой таарах ёстой, харин Google-ийн алслагч сонгогч нь ASA орон нутгийн гэж нэрлэдэгтэй таарах ёстой. Нэг талд 0.0.0.0/0, нөгөө талд ганц дэд сүлжээ бүхий туннель 1-р фазад дамжиж, дараа нь ижил үндсэн алдаатайгаар 2-р фазад бүтэлгүйтдэг. Аль ч тал нөгөөгийнхөө жагсаалтыг өргөжүүлж чадахгүй.

Бодлогод суурилсан сонгогчдын хувьд префикс хос бүрийг жагсааж, жагсаалтыг тасалбарт хадгал. Дараа нь талбайд нэмсэн дэд сүлжээ хоёр талд засвар шаардана, учир нь ASA дээрх шинэ маршрут сонгогчийг өргөжүүлдэггүй бөгөөд үр дүн нь боссон боловч зөвхөн эхний өдөр байсан префиксүүдэд трафик нэвтрүүлдэг туннель юм.

Нэг хостос хост руу урсгалаар дуусгаж, хоёр талын байт тоолуурыг унш. ASA дээр өсч, Google дээр хөдөлгөөнгүй байгаа тоолуурууд ихэвчлэн хариу өөр интерфейсээр гарч байгаа эсвэл сонгогч буцах префиксийг хамарч чадахгүй байгааг илэрхийлдэг. Алгоритм, хугацаа, сонгогч, шинэ туннелийн нэрийг тэмдэглэ, учир нь дараагийн саналын өөрчлөлт энэ дахин бүтээлтийг давтаж, тэдгээр утга нь үүнийг богино ажил болгоно.

Холбоотой нийтлэлүүд