Cloud VPN څخه Cisco ASA ته: د وړاندیز له ناسم والي وروسته بیا جوړول

په Cloud VPN تونل کې چې بل سر کې یې Cisco ASA وي، NEGOTIATION_FAILURE تقریباً تل د وړاندیز یا ټاکونکو ناسم والی وي، او لومړی ګټور حقیقت دا دی چې هیڅ سمون به یې نه اصلاح کوي. Cloud VPN د IKE وړاندیز هغه وخت ټینګوي چې د تونل شي جوړېږي. د الګوریتم په همدې ځای بدلولو لپاره هېڅ ساحه نشته، نو ترمیم یې ړنګول او د ثبت شوي پیل ټکي سره بیا جوړول دي. دا د بیا جوړولو په توګه وګڼئ، بیا به کار د اټکلونو څخه ډکې ماسپښین پر ځای د کتنې لیست شي.

له څه ړنګولو مخکې ناکامي ولولئ

د خبرو اترو ناکامي د پړاو ستونزه ده، او د سیال لاګ معمولاً پړاو نوموي. د پړاو 1 ناکامي معنی دا ده چې دواړه سرونه په وړاندیز کې سره یوځای نه شول یا یو بل تصدیق نه کړل. د پړاو 2 ناکامي معنی دا ده چې تونل پورته شو خو خوندي ټاکونکي سره ونه لګېدل. دا بېلابېل ترمیمونه دي، او د لاګ کرښه د دې وړ ده چې له چا څخه مخکې ویستل شي چې کانفیګوریشن ته لاس وروړي.

ناکامي ځینې شیان هم بې اختیاره کوي. دا VPC لاره نه ده، د تونل په انټرفېس کې فایر وال قاعده نه ده، او په شبکه کې دننه د نومونو د حل خرابي نه ده. د دوی شاته منډه وهل داسې باوري بدلونونه رامنځته کوي چې نتیجه نه شي بدلولی، او د پای ترمیم نسبتول ستونزمنوي.

دواړه کانفیګوریشنونه تر هغه چې شته، ثبت کړئ

تونل ړنګول نیمه دقیقه نیسي او ستاسو یوازینی ثبوت له منځه وړي. له هغې مخکې ځایي او لرې ټاکونکي، د سیال پته، چې شریک راز چا لري، او د ASA crypto map یا IKEv2 پروفایل ولیکئ. ASA دوه جلا پوښتنو ته ځواب وایي: څه کانفیګور شوي او اوس څه پورته دي:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

د Google په خوا کې د کنسول لنډیز پر ځای د تونل شي ولولئ، ځکه د سیال پته او د ټاکونکو ساحې هغه ارزښتونه دي چې باید په سمه توګه بیا تولید کړئ:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

هغه ارزښتونه له لومړي ړنګولو مخکې په ټکټ کې ولیکئ. لاندې بیا جوړول یوازې ځکه کار کوي چې شئ کولی شئ هماغه شي د یوې قصداً توپیر سره بیا جوړ کړئ.

هغه الګوریتمونه چې یو اړخ پرې خبرې نه کوي

Cloud VPN د دودیز سیال په څېر د IKEv1 الګوریتمونو له لړۍ څخه نه ټاکي. هغه د سیال تنظیمات چې تمه یې لري ټینګ دي: د کوډ کولو لپاره aes-cbc-128، د بشپړتیا او PRF دواړو لپاره sha1-96، Diffie-Hellman ډله 2، د پړاو 1 لپاره 36,600 ثانیې او د پړاو 2 لپاره 10,800 ثانیې. د ASA تګلاره باید هماغه ټولګه وړاندې کړي. په ASA کې دوهم وړاندیز زیان نه لري، که سمونکی هم په لیست کې وي.

IKEv2 دواړو خواوو ته ډېر ځای ورکوي، خو قاعدې هماغه بڼه ساتي: PFS فعال کړئ، هغه DH ډله وټاکئ چې تونل یې ملاتړ کوي، او د وړاندیزونو لیست دومره لنډ وساتئ چې ناسم والی ښکاره وي. په Cloud VPN کې ASA سیال د ثابت روټینګ معنی هم لري، نو ساتل شوي پریفیکسونه باید پلان او لیست شي، نه BGP ته پرېښودل شي.

له بل جوړونکي د کاپي شوې ژوند موده دلته معمول غلط موړ دی. Google دا ارزښتونه د اړینو سیال تنظیماتو په توګه خپروي، نو هغه سم کېښودئ; لنډ ارزښت تر هغه پورتنۍ خبرې اترې کېږي چې ASA یې غواړي.

ړنګ کړئ، بیا جوړ کړئ او زوړ حالت پاک کړئ

ګیټ وۍ نه، تونل ړنګ کړئ، او هغه نوم ولیکئ چې Cloud VPN بدیل ته ورکوي، ځکه نومونه ټاکل کېږي، بیا نه کارول کېږي. د ثبت شوو ارزښتونو او هماغه سیال پتې سره یې بیا جوړ کړئ، بیا سمونکی وړاندیز د ASA تګلارې لیست ته ورزیات کړئ.

د ASA بدلون وروسته او د نتیجه له لوستلو مخکې امنیتي ټولنې پاکې کړئ. ASA کېدای شي زوړه تګلاره تر هغه وړاندې کړي چې اوسنی SA پای ته ورسېږي، نو سم کانفیګوریشن د زاړه ژوند په ټوله موده کې ماتی ښکاري او څارونکی دې نتیجې ته رسېږي چې بیا جوړول ناکام شول، حال دا چې نه و پیل شوي:

clear crypto ikev2 sa
clear crypto ipsec sa

له پړاو 2 کتلو مخکې تایید کړئ چې پړاو 1 پورته کېږي. تر هغه چې پړاو 1 لاندې دی، وړاندیز یا مخکې شریک شوې کلیدي غلطه ده، او د ټاکونکو کار به یې نه بدلوي.

ټاکونکي د هندارې په څېر سره لګېږي، بیا شمېرونکي فیصله کوي

پړاو 2 یوازې هغه وخت کار کوي چې دواړه سرونه په ساتل شوو پتو سره یوځای شي، او دا یووالی شریک نه دی بلکې هنداري دی. د Google ځایي ټاکونکی باید د هغه ټاکونکي سره سمون ولري چې ASA یې لرې بولي، او د Google لرې ټاکونکی باید د هغه سره چې ASA یې ځایي بولي. یو تونل چې یو خوا 0.0.0.0/0 او بله خوا یوه فرعي شبکه ولري، پړاو 1 تېرېږي او بیا د هماغه اصلي تېروتنې سره په پړاو 2 کې ناکامېږي. هیڅ اړخ نشي کولی د بل لیست پراخ کړي.

د تګلارې پر بنسټ ټاکونکو لپاره هر پریفیکس جوړه ولیکئ او لیست په ټکټ کې وساتئ. وروسته په ځای کې زیات شوې فرعي شبکه دواړو سرونو کې سمون غواړي، ځکه په ASA کې نوې لاره ټاکونکی نه پراخوي، او نتیجه یو تونل دی چې پورته دی او یوازې هغو پریفیکسونو ته ترافیک تېروي چې په لومړي ورځ وو.

د یوې کوربه-تر-کوربه جریان سره پای ته ورسئ او دواړو خواوو کې د بایټ شمېرونکي ولولئ. هغه شمېرونکي چې په ASA لوړېږي او په Google ثابت پاتې کېږي معمولاً معنی دا ده چې ځواب له بل انټرفېس څخه وځي، یا ټاکونکی د بېرته راتلو پریفیکس نه پوښي. الګوریتمونه، ژوند مودې، ټاکونکي او د نوي تونل نوم ولیکئ، ځکه راتلونکی وړاندیز بدلون همدا بیا جوړول تکراروي او هغه ارزښتونه یې لنډ کار جوړوي.