GCP HA VPN FortiGate-ийг татгалзаж байна: локал ID-ийн төрөл тохирохгүй
Google зөвхөн урьдчилан хуваалцсан түлхүүрийг бус, FortiGate-ийн мэдэгдэж буй таних тэмдгийг ч харьцуулдаг. FQDN локал ID тэр шалгалтад унадаг ч бүртгэл аутентификаци гэж хэвээр байна.
Google Cloud HA VPN-ээс ирэх AUTHENTICATION_FAILED хүмүүсийг ихэвчлэн урьдчилан хуваалцсан түлхүүр рүү буцаадаг бөгөөд түлхүүр нь ихэвчлэн зөв байдаг. Туннель 1-р үе шатанд зогсдог, учир нь Google өөр нэг зүйлийг ч харьцуулдаг: IKE солилцооны үед хамтрагчийн мэдэгдэж буй таних тэмдэг. FortiGate дээр тэр таних тэмдэг хэний ч хаягийг засахгүйгээр төрлөө сольж болно. Түлхүүрийг хоёр удаа дахин оруулсны дараа бүртгэлийг таних тэмдгийн зөрүү гэж уншина уу.
Нэг алдаа, хоёр шалгалт
IKE хамтрагчийг хоёр тусдаа алхамаар шалгадаг. Урьдчилан хуваалцсан түлхүүр хоёр тал ижил нууцтайг нотолж, мэдэгдсэн таних тэмдэг нь хариулагчид хамтрагч өөрийгөө хэн гэж хэлж байгааг мэдэгддэг. Google тэр таних тэмдгийг өөртэй нь тохируулсан хамтрагчтай харьцуулдаг. Орхивол FortiGate гарч буй интерфэйсээс гаралтай хаягт суурилсан таних тэмдэг илгээдэг бөгөөд харьцуулалт хэний ч анзааралгүй өнгөрдөг.
Хоёр алхам бүгд бүртгэлд нэг хувинд ордог нь таних тэмдгийн ачааг хэн нэгэн уншихаас өмнө түлхүүрийг дөрвөн удаа дахин бичих танил мөчлөгийг тайлбарладаг.
FortiGate таних тэмдгийн ачаанд юу хийдэг
Асуудал хэн нэгэн локал ID тавихад эхэлдэг, хоёр тал санал нийлэхийн тулд. Сүүлийн FortiOS хувилбарууд тэр таних тэмдгийг бүрэн мэргэшсэн домэйн нэр гэж тэмдэглэдэг, оруулсан утга нь цэгтэй хаяг байсан ч. Тиймээс Google хаяг хүлээж байхдаа FQDN таних тэмдэг авч, сессийг татгалздаг. Мессежид аль хагас нь бүтэлгүйтсэнийг хэлээгүй тул тайланг аутентификацийн алдаа гэж уншдаг.
IKE дибаг хийхийг асааж нэг удаа дахин гаргаж, галт хана бодитоор илгээж буй таних тэмдгийн ачааг уншина уу.
Мөн адил алхамд гурван хямд баримтыг баталгаажуулна уу: хоёр талын ашиглаж буй IKE хувилбар, үл үзэгдэх төгсгөлийн тэмдэгтүүдийг оролцуулан яг түлхүүр, Google-ийн хүлээж буй хамтрагчийн хаяг. Тэд өөр асуултад хариулдаг бөгөөд тохирсон түлхүүр таних тэмдгийн талаар юу ч хэлдэггүй.
Сонголтууд ба тус бүрийн өртөг
Гарц бүр өөр давхаргыг засдаг бөгөөд аль нь ч бүх байршуулалтад боломжтой биш.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Галт хана дээрх таних тэмдгийг засах нь хамгийн цэвэр хариулт бөгөөд firmware төрлийг сонгож, утгыг хадгалахыг зөвшөөрсөн үед. Талбар зарим хувилбарт байдаг, бусадд нь төрлийг буруу бөглөдөг тул хувилбарын тэмдэглэлд итгэхийн оронд өөрийн хувилбарыг туршиж үзээрэй.
Хэлэлцээрийн интерфэйс дээрх чиглүүлэх боломжтой нийтийн хаяг нь баримтжуулсан тойрч гарах зам, учир нь тэгвэл өгөгдмөл таних тэмдэг Google-ийн хүлээж буйтай тохирч, дарах шаардлагагүй. Галт хана ийм хаяг барьж чадвал ихэнх байршуулалт энд дуусдаг.
Таны үйлдвэрлэж буйг баталгаажуулдаг хамтрагч дээр дуусгах нь топологийн өөрчлөлт юм. Үүнийг илүү эелдэг тайлбартай тойрч гарах зам гэж бус, дизайны шийдэл гэж үзээрэй.
NAT нэг сонголтыг хасвал
NAT-ын цаана нийтийн хаягийн гарц алга болж, үлдсэн нь таны хянадаггүй firmware-ийн зан төлөвөөс хамаарна. Энэ нь шинэчлэх, хамтрагчийг зөөх эсвэл өөр үүлэн төгсгөлийн цэгийг хүлээн авахын хооронд ухамсартайгаар сонгох мөч юм. Эдгээр нь гурван өөр төсөв бөгөөд нэгийг санамсаргүй сонгох нь түр зуурын тойрч гарах замыг архитектур болгох арга юм. Сонголт ба түүний шалтгааныг туннелийн дэргэд бичээрэй.
Үүний аль нэгийг тайлбарлахаас өмнө Google талын туннелийн төлөв, IKE замд зүгээр хаягдаагүй эсэхийг баталгаажуулна уу. Хаягдсан пакет хугацаа дуусаж зогсдог; энэ нь татгалзал үүсгэдэггүй.
Ажиллаж байх үед юу бүртгэх вэ
Туннель хамгийн сүүлд өргөгдөх үед хүчинтэй байсан таних тэмдгийн төрөл, түүний утга, firmware хувилбар, хамтрагчийн хаягийг тэмдэглээрэй. Firmware шинэчлэлт өгөгдмөлийг дахин өөрчилж болох бөгөөд дараагийн алдаа яг түлхүүрийн зөрүү шиг харагдана. Таних тэмдгийг түлхүүр болон хамтрагчийн хаягийн дэргэд хадгалбал дараагийн хүн хямд шалгалтуудаас эхэлнэ.
Энэ бүртгэл нь дараагийн шинэчлэлтийн дараа тойрч гарах зам хэрэгтэй эсэхийг мэдэх цорын ганц арга юм.