GCP HA VPN jirrifjuta FortiGate: it-tip tal-ID lokali ma jaqbilx
Google iqabbel l-identità li FortiGate tistqarr, mhux biss iċ-ċavetta maqsuma minn qabel. ID lokali tat-tip FQDN ifalli f’dik il-verifika filwaqt li l-log għadu jgħid awtentikazzjoni.
AUTHENTICATION_FAILED minn Google Cloud HA VPN normalment jibgħat lin-nies lura għaċ-ċavetta maqsuma minn qabel, u ċ-ċavetta normalment tkun korretta. It-tunnel jieqaf fil-fażi 1 għax Google iqabbel ukoll xi ħaġa oħra: l-identità li l-pari tistqarr waqt l-iskambju IKE. Fuq FortiGate dik l-identità tista’ tbiddel it-tip mingħajr ma ħadd jeditja indirizz. Aqra l-log bħala nuqqas ta’ qbil fl-identità ladarba ċ-ċavetta terġa’ tiġi mdaħħla darbtejn.
Falliment wieħed, żewġ verifiki
IKE jivverifika pari f’żewġ passi separati. Iċ-ċavetta maqsuma minn qabel turi li ż-żewġt iżnied għandhom l-istess sigriet, u identità mħabbra tgħid lill-ġeneratur tar-risposta min il-pari tgħid li hija. Google tqabbel dik l-identità mal-pari li biha kienet ikkonfigurata. Jekk titħalla waħedha, FortiGate tibgħat identità bbażata fuq l-indirizz derivata mill-interface tal-ħruġ tagħha, u l-paragun jgħaddi mingħajr ma ħadd jinduna.
Iż-żewġ passi jaqgħu fl-istess barmil fil-log, u dan jispjega l-linja familjari li ċ-ċavetta terġa’ tiġi ttypjata erba’ darbiet qabel ma xi ħadd jaqra l-payload tal-identità.
X’tqiegħed FortiGate fil-payload tal-identità
Il-problema tibda meta xi ħadd jistabbilixxi ID lokali biex iż-żewġ naħat jaqblu. Il-bini riċenti ta’ FortiOS jimmarka dik l-identità bħala isem ta’ dominju kompletament kwalifikat anki meta l-valur imdaħħal huwa indirizz b’punti. Għalhekk Google jirċievi identità FQDN waqt li jistenna indirizz, u jirrifjuta s-sessjoni. Xejn fil-messaġġ ma jgħid liema nofs falla, għalhekk ir-rapport jinqara bħala falliment fl-awtentikazzjoni.
Irriproduċih darba bid-debugging tal-IKE mixgħul u aqra l-payload tal-identità li l-firewall fil-fatt tibgħat.
Fl-istess pass, ikkonferma tliet fatti rħas: il-verżjoni tal-IKE li jużaw iż-żewġt iżnied, iċ-ċavetta eżatta inklużi karattri finali inviżibbli, u l-indirizz tal-pari li Google jistenna. Dawn iwieġbu mistoqsijiet differenti, u ċavetta li taqbel ma tgħid xejn dwar l-identità.
Għażliet, u kemm tiswa kull waħda
Kull ħruġ jissewwi saff differenti, u ħadd minnhom mhu disponibbli għal kull varar.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Li tikkoreġi l-identità fuq il-firewall hija l-aktar tweġiba nadifa fejn il-firmware tħallik tagħżel it-tip u żżomm il-valur. Il-qasam jeżisti f’xi bini u jimla t-tip b’mod żbaljat f’oħrajn, għalhekk ipprova l-verżjoni tiegħek minflok tafda n-noti tal-ħruġ.
Indirizz pubbliku li jista’ jiġi rrotat fuq l-interface tan-negozjar huwa l-kompromess dokumentat, għax allura l-identità awtomatika taqbel ma’ dak li jistenna Google u ma jkunx hemm bżonn ta’ sostituzzjoni. Hemm jispiċċaw il-biċċa l-kbira tal-varar, jekk il-firewall tista’ żżomm indirizz bħal dan xejn xejn.
Li ttemm fuq pari li tivvalida dak li tipproduċi huwa bidla fit-topoloġija. Ittrattah bħala deċiżjoni tad-disinn u mhux bħala kompromess b’deskrizzjoni aktar ħelwa.
Meta NAT tneħħi għażla waħda
Wara NAT il-ħruġ mill-indirizz pubbliku jgħib, u dak li jibqa’ jiddependi mill-imġiba tal-firmware li int ma tikkontrollax. Dan huwa l-punt biex tagħżel b’mod deliberat bejn aġġornament, ċaqliq tal-pari jew aċċettazzjoni ta’ punt tat-tmiem tal-cloud differenti. Dawn huma tliet baġits differenti, u li tagħżel wieħed b’inċident huwa kif kompromess temporanju jsir arkitettura. Ikteb l-għażla u r-raġuni tagħha ħdejn it-tunnel.
Qabel ma tinterpreta xi ħaġa minn dan, ikkonferma l-istat tat-tunnel fuq in-naħa ta’ Google u li l-IKE mhuwiex sempliċement jiġi mitfugħ fit-triq. Pakkett mitfugħ jiskadi; ma jipproduċix rifjut.
X’għandu jiġi rreġistrat waqt li jaħdem
Innota t-tip tal-identità, il-valur tagħha, il-verżjoni tal-firmware u l-indirizz tal-pari li kienu fis-seħħ meta t-tunnel tela’ l-aħħar darba. Aġġornament tal-firmware jista’ jerġa’ jbiddel il-valur awtomatiku, u l-falliment li jmiss se jidher eżattament bħal nuqqas ta’ qbil fiċ-ċavetta. Bl-identità maħżuna ħdejn iċ-ċavetta u l-indirizz tal-pari, il-persuna li jmiss tibda mill-verifiki rħas.
Dik ir-reġistrazzjoni hija wkoll l-uniku mod kif tkun taf jekk kompromess għadux meħtieġ wara l-aġġornament li jmiss.