GCP HA VPN menolak FortiGate: jenis ID setempat tidak sepadan
Google membandingkan identiti yang didakwa FortiGate, bukan hanya kunci yang dikongsi terlebih dahulu. ID setempat jenis FQDN gagal dalam semakan itu sementara log masih menyebut pengesahan.
AUTHENTICATION_FAILED daripada Google Cloud HA VPN biasanya menghantar orang kembali kepada kunci yang dikongsi terlebih dahulu, dan kunci itu lazimnya betul. Terowong tersekat pada fasa 1 kerana Google juga membandingkan sesuatu yang lain: identiti yang didakwa rakan semasa pertukaran IKE. Pada FortiGate identiti itu boleh bertukar jenis tanpa sesiapa menyunting alamat. Baca log itu sebagai ketidakpadanan identiti setelah kunci dimasukkan semula dua kali.
Satu kegagalan, dua semakan
IKE mengesahkan rakan dalam dua langkah berasingan. Kunci yang dikongsi terlebih dahulu membuktikan kedua-dua hujung memegang rahsia yang sama, dan identiti yang didakwa memberitahu penjawab siapa rakan itu mendakwa dirinya. Google menyemak identiti itu terhadap rakan yang ia dikonfigurasikan. Jika dibiarkan, FortiGate menghantar identiti berasaskan alamat yang diterbitkan daripada antara muka keluarnya, dan perbandingan itu lulus tanpa sesiapa menyedarinya.
Kedua-dua langkah jatuh ke dalam baldi yang sama dalam log, yang menjelaskan gelung biasa menaip semula kunci empat kali sebelum sesiapa membaca muatan identiti.
Apa yang FortiGate letakkan dalam muatan identiti
Masalah bermula apabila seseorang menetapkan ID setempat supaya kedua-dua pihak bersetuju. Binaan FortiOS terkini menandakan identiti itu sebagai nama domain layak penuh walaupun nilai yang ditaip ialah alamat bertitik. Oleh itu Google menerima identiti FQDN sementara mengharapkan alamat, dan ia menolak sesi itu. Tiada apa dalam mesej yang menyatakan separuh mana yang gagal, jadi laporan itu dibaca sebagai kegagalan pengesahan.
Hasilkan semula sekali dengan nyahpepijat IKE dihidupkan dan baca muatan identiti yang benar-benar dihantar oleh tembok api.
Dalam pas yang sama, sahkan tiga fakta murah: versi IKE yang digunakan kedua-dua hujung, kunci tepat termasuk aksara hujung yang tidak kelihatan, dan alamat rakan yang dijangka Google. Semuanya menjawab soalan berbeza, dan kunci yang sepadan tidak mengatakan apa-apa tentang identiti.
Pilihan, dan kos setiap satu
Setiap jalan keluar membaiki lapisan berbeza, dan tiada satu pun tersedia untuk setiap penggunaan.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Membetulkan identiti pada tembok api ialah jawapan paling bersih apabila firmware membenarkan anda memilih jenis dan mengekalkan nilai. Medan itu wujud dalam sesetengah binaan dan mengisi jenis dengan salah dalam yang lain, jadi uji versi anda daripada mempercayai nota keluaran.
Alamat awam boleh laluan pada antara muka rundingan ialah jalan pintas yang didokumenkan, kerana identiti lalai kemudian sepadan dengan apa yang dijangka Google dan tiada penggantian diperlukan. Di situlah kebanyakan penggunaan berakhir, jika tembok api boleh memegang alamat sedemikian sama sekali.
Menamatkan pada rakan yang mengesahkan apa yang anda hasilkan ialah perubahan topologi. Perlakukan ia sebagai keputusan reka bentuk dan bukan jalan pintas dengan penerangan yang lebih mesra.
Apabila NAT membuang satu pilihan
Di sebalik NAT jalan keluar melalui alamat awam hilang, dan apa yang tinggal bergantung pada tingkah laku firmware yang anda tidak kawal. Di situlah titik untuk memilih dengan sedar antara menaik taraf, memindahkan rakan atau menerima titik akhir awan yang lain. Itu tiga belanjawan berbeza, dan memilih satu secara tidak sengaja ialah cara jalan pintas sementara menjadi seni bina. Tulis pilihan itu dan alasannya di sebelah terowong.
Sebelum mentafsir apa-apa daripada ini, sahkan keadaan terowong di sebelah Google dan bahawa IKE tidak sekadar digugurkan di perjalanan. Paket yang digugurkan tamat masa; ia tidak menghasilkan penolakan.
Apa yang perlu direkodkan semasa ia berfungsi
Catat jenis identiti, nilainya, versi firmware dan alamat rakan yang berkuat kuasa ketika terowong terakhir naik. Kemas kini firmware boleh mengubah nilai lalai lagi, dan kegagalan seterusnya akan kelihatan tepat seperti ketidakpadanan kunci. Dengan identiti disimpan di sebelah kunci dan alamat rakan, orang seterusnya bermula dengan semakan murah.
Rekod itu juga satu-satunya cara untuk mengetahui sama ada jalan pintas masih diperlukan selepas naik taraf seterusnya.