Cloud VPN lejn Cisco ASA: tibni mill-ġdid wara nuqqas ta' qbil fil-proposta

Cloud VPN idaħħal il-proposta fl-oġġett tat-tunnel, għalhekk nuqqas ta' qbil mal-ASA ifisser tibni mill-ġdid. Niżżel is-seletturi, qabbel iż-żewġ fażijiet, ħassar l-SA qodma.

NEGOTIATION_FAILURE fuq tunnel Cloud VPN ma' Cisco ASA fit-tarf l-ieħor kważi dejjem huwa nuqqas ta' qbil fil-proposta jew fis-seletturi, u l-ewwel fatt utli huwa li l-ebda modifika mhija se ssibha. Cloud VPN jiffissa l-proposta IKE meta jinħoloq l-oġġett tat-tunnel. M'hemmx qasam biex tinbidel algoritmu fil-post, għalhekk it-tiswija hija tħassir u ħolqien mill-ġdid b'punt tat-tluq notat. Ikkunsidrah bħala tibni mill-ġdid u x-xogħol isir lista ta' verifika minflok wara nofsinhar ta' tbassir.

Aqra l-falliment qabel ma tħassar xejn

Falliment fin-negozjati huwa problema tal-fażi, u l-log tal-pari normalment isemmi l-fażi. Falliment fil-fażi 1 ifisser li t-truf ma setgħux jaqblu fuq proposta jew ma setgħux jawtentikaw lil xulxin. Falliment fil-fażi 2 ifisser li t-tunnel tela' u s-seletturi protetti ma qablux. Dawk huma tiswijiet differenti, u l-linja tal-log tiswa li tiġi estratta qabel ma xi ħadd imiss konfigurazzjoni.

Il-falliment jeskludi wkoll affarijiet. Mhuwiex rotta VPC, mhuwiex regola tal-firewall fuq l-interface tat-tunnel, u mhuwiex ħsara fir-riżoluzzjoni tal-ismijiet ġewwa n-netwerk. Li tiġri warajhom jipproduċi bidliet kunfidenti li ma jistgħux ibiddlu r-riżultat, u jagħmlu t-tiswija finali aktar diffiċli biex tiġi attribwita.

Aqbad iż-żewġ konfigurazzjonijiet waqt li għadhom jeżistu

Tħassir ta' tunnel jieħu nofs minuta u jeqred l-unika evidenza li kellek. Qabel dan, ikteb is-seletturi lokali u remoti, l-indirizz tal-pari, min għandu s-segretezza kondiviża, u l-crypto map jew il-profil IKEv2 tal-ASA. L-ASA jwieġeb żewġ mistoqsijiet separati: x'inhu kkonfigurat u x'inhu attiv bħalissa:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Fuq in-naħa ta' Google, aqra l-oġġett tat-tunnel minflok is-sommarju tal-console, għax l-indirizz tal-pari u l-oqsma tas-seletturi huma l-valuri li trid tirriproduċi eżattament:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Qiegħed dawk il-valuri fit-ticket qabel l-ewwel tħassir. It-tibni mill-ġdid hawn taħt jaħdem biss għax tista' toħloq mill-ġdid l-istess oġġett b'differenza waħda intenzjonata.

L-algoritmi li naħa tidrifjut li tinnegozja dwarhom

Cloud VPN ma jagħżilx minn firxa ta' algoritmi IKEv1 bħal pari tradizzjonali. Is-settings tal-pari li jistenna huma fissi: aes-cbc-128 għall-encryption, sha1-96 kemm għall-integrità kif ukoll għall-PRF, grupp Diffie-Hellman 2, 36,600 sekondi għall-fażi 1 u 10,800 sekondi għall-fażi 2. Il-politika tal-ASA trid toffri eżatt dan is-sett. It-tieni proposta fuq l-ASA ma tagħmilx ħsara sakemm dik li taqbel tkun ukoll fil-lista.

IKEv2 jagħti iżjed spazju liż-żewġ naħat, imma ir-regoli jżommu l-istess forma: ippermetti PFS, agħżel grupp DH li t-tunnel jappoġġja, u żomm il-lista tal-proposti qasira biżżejjed biex nuqqas ta' qbil ikun ovvju. Pari ASA fuq Cloud VPN ifisser ukoll routing statiku, għalhekk il-prefissi protetti jridu jiġu ppjanati u elenkati minflok ma jitħallew lill-BGP.

Ħajja kopjata minn mudell ta' bejjiegħ ieħor hija l-kurva ħażina tas-soltu hawn. Google tippubblika dawn il-valuri bħala settings obbligatorji tal-pari, għalhekk waħħalhom; valur iqsar ma jiġix innegozjat 'il fuq sa dak li trid l-ASA.

Ħassar, erġa' oħloq u naddaf l-istat qadim

Ħassar it-tunnel, mhux il-gateway, u nnota l-isem li Cloud VPN jagħti lis-sostitut, għax l-ismijiet jiġu assenjati u mhux użati mill-ġdid. Erġa' oħloqu bil-valuri notati u bl-istess indirizz tal-pari, imbagħad żid il-proposta li taqbel mal-lista tal-politika tal-ASA.

Naddaf l-assoċjazzjonijiet tas-sigurtà wara l-bidla fl-ASA u qabel ma taqra r-riżultat. L-ASA jista' jkompli joffri politika skaduta sakemm tiskadi l-SA attwali, għalhekk konfigurazzjoni korretta tidher maqtugħa għall-ħajja kollha tal-qadima u l-osservatur jikkonkludi li t-tibni mill-ġdid falla meta ma kienx beda:

clear crypto ikev2 sa
clear crypto ipsec sa

Ivverifika li l-fażi 1 titla' qabel ma tħares lejn il-fażi 2. Waqt li l-fażi 1 hija 'l isfel, il-proposta jew iċ-ċavetta kondiviża minn qabel huma ħżiena, u x-xogħol fuq is-seletturi mhux se jbiddel dan.

Is-seletturi jirriflettu, imbagħad jiddeċiedu l-kontaturi

Il-fażi 2 taħdem biss meta ż-żewġ truf jaqblu dwar l-indirizzi protetti, u l-qbil huwa rifting u mhux kondiviż. Is-selettur lokali ta' Google irid jaqbel mas-selettur li l-ASA jsejjaħ remot, u s-selettur remot ta' Google ma' dak li l-ASA jsejjaħ lokali. Tunnel bl-0.0.0.0/0 fuq naħa u subnet waħda fuq l-oħra jgħaddi l-fażi 1 u mbagħad ifalli l-fażi 2 bl-istess żball ewlieni. L-ebda naħa ma tista' tiddobla l-lista tal-oħra.

Għas-seletturi bbażati fuq il-politika, elenka kull par ta' prefissi u żomm il-lista fit-ticket. Subnet miżjuda aktar tard fuq il-post teħtieġ modifika fiż-żewġ truf, għax rotta ġdida fuq l-ASA ma tiddoblax selettur, u r-riżultat huwa tunnel li huwa attiv u jgħaddi traffiku biss għall-prefissi li kienu jeżistu fl-ewwel jum.

Iffinalizza b'fluss wieħed minn host għal host u aqra l-kontaturi tal-bytes fuq iż-żewġ naħat. Kontaturi li jogħlew fuq l-ASA waqt li jibqgħu ċatti fuq Google normalment ifissru li r-risposta toħroġ minn interface ieħor, jew li s-selettur ma jkoprix il-prefiss tar-ritorn. Innota l-algoritmi, il-ħajjiet, is-seletturi u l-isem il-ġdid tat-tunnel, għax il-bidla li jmiss fil-proposta tirrepeti dan it-tibni mill-ġdid u dawk il-valuri jagħmlu xogħol qasir minnu.

Artikli relatati