GCP HA VPN د FortiGate غوښتنه ردوي: د سیمهای ID ډول سره نه ځي
Google یوازې مخکې شریکه شوې کیلي نه، بلکې هغه پېژندنه هم پرتله کوي چې FortiGate یې ادعا کوي. FQDN سیمهای ID په دې کتنه کې ناکامېږي، خو لاګ بیا هم تصدیق وایي.
له Google Cloud HA VPN څخه راغلی AUTHENTICATION_FAILED خلک معمولاً بیرته مخکې شریکې شوې کیلي ته لېږي، او کیلي معمولاً سمه وي. تونل په 1 پړاو کې درېږي ځکه چې Google یو بل شی هم پرتله کوي: هغه پېژندنه چې ملګری د IKE تبادلې پر مهال یې ادعا کوي. په FortiGate کې دا پېژندنه پرته له دې چې څوک پته سم کړي ډول بدلولی شي. کله چې کیلي دوه ځله بیا ولیکل شوه، لاګ د پېژندنې ناسمونې په توګه ولولئ.
یوه ناکامي، دوه کتنې
IKE ملګری په دوو جلا ګامونو کې تصدیق کوي. مخکې شریکه شوې کیلي ثابتوي چې دواړه خواوې یو ډول پټه لري، او ادعا شوې پېژندنه ځواب ورکوونکي ته وایي چې ملګری ځان څوک بولي. Google هغه پېژندنه له هغه ملګري سره پرتله کوي چې ورسره ترتیب شوی. که پرېښودل شي، FortiGate له خپل وتونکي انټرفیس څخه اخیستل شوې پتهایزه پېژندنه لېږي، او پرتله پرته له دې چې څوک پوه شي بریالۍ کېږي.
دواړه ګامونه په لاګ کې یوه ټوکرۍ ته ورځي، چې هغه پېژندل شوې چرخه تشریح کوي: د پېژندنې پیلوډ څوک ولولي، تر هغې مخکې کیلي څلور ځله بیا ټایپ کول.
FortiGate په پېژندنې پیلوډ کې څه اېښودي
ستونزه هغه وخت پیلېږي چې څوک سیمهای ID ټاکي، تر څو دواړه خواوې سره موافقې شي. نوي FortiOS بیلډونه هغه پېژندنه د بشپړ وړ ډومېن نوم په توګه نښه کوي، حتی کله چې لیکل شوې ارزښت د ټکو والا پته وي. نو ځکه Google د پتې تمه کولو پر مهال FQDN پېژندنه ترلاسه کوي، او غونډه ردوي. په پیغام کې هیڅ نه وایي چې کومه نیمه ناکامه شوه، نو راپور د تصدیق ناکامۍ په توګه لوستل کېږي.
د IKE ډیبګ کولو سره یې یو ځل بیا تولید کړئ او هغه پېژندنې پیلوډ ولولئ چې اور وژونکی واقعاً لېږي.
په همدې پړاو کې درې ارزانه حقایق تایید کړئ: د دواړو خواوو IKE نسخه، له ناڅرګندو پای نښو سره سمه کیلي، او هغه ملګري پته چې Google تمه لري. دا بېلابېلو پوښتنو ځواب ورکوي، او سمه کیلي د پېژندنې په اړه هیڅ نه وایي.
اختیارونه، او د هر یوه لګښت
هر وتل بېله طبقه سمونوي، او هیڅ یو یې د هر ځای پرځای کولو لپاره نه دی.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
په اور وژونکي باندې پېژندنه سمول تر ټولو پاک ځواب دی، چېرې چې فرمویر تاسو ته ډول ټاکلو او ارزښت ساتلو اجازه درکوي. ساحه په ځینو بیلډونو کې شته او په نورو کې ډول غلط ډکوي، نو د خپرېدو یادښتونو باور پر ځای خپله نسخه وازموئ.
د خبرو اترو په انټرفیس کې د لارې وړ عامه پته مستنده حل دی، ځکه بیا ډیفالټ پېژندنه د Google د تمې سره سمون خوري او هیڅ اووررایډ ته اړتیا نه وي. ډېری ځای پرځای کول همدلته پای ته رسېږي، که اور وژونکی په اصل کې داسې پته وساتلی شي.
په هغه ملګري باندې پای ته رسول چې ستاسو تولید تصدیقوي، د جوړښت بدلون دی. پرې د ډېرې نرمې څرګندونې سره د حل په توګه نه، بلکې د ډیزاین پرېکړې په توګه وګورئ.
کله چې NAT یو اختیار لرې کوي
د NAT شاته د عامه پتې وتل ورکېږي، او پاتې شوی د هغه فرمویر چلند پورې تړلی دی چې تاسو یې نه کنټرولئ. دا هغه ټکی دی چې په هوښیارۍ سره د لوړولو، د ملګري لېږدولو یا بل کلاوډ پای ټکی منلو ترمنځ غوره کول باید وشي. دا درې بېلابېل بودیجې دي، او یو په ناڅاپي ډول غوره کول همدا لامل دی چې لنډمهاله حل جوړښت شي. غوره کول او لامل یې د تونل ترڅنګ ولیکئ.
له دې هر یو تفسیر مخکې، د Google په خوا کې د تونل حالت او دا تایید کړئ چې IKE یوازې په لار کې غورځول کېږي نه. غورځول شوی پیکټ د وخت پای ته رسېږي؛ هغه رد نه جوړوي.
څه ولیکئ کله چې کار کوي
هغه پېژندنې ډول، ارزښت، فرمویر نسخه او ملګري پته ولیکئ چې کله تونل وروستی ځل پورته شو هغه مهال نافذ وو. د فرمویر تازه کول کېدای شي ډیفالټ بیا بدل کړي، او راتلونکې ناکامي به بالکل د کیلي د ناسمونې په څېر ښکاره شي. کله چې پېژندنه د کیلي او ملګري پتې ترڅنګ خوندي وي، بل کس له ارزانه کتنو پیل کوي.
هغه ریکارډ یوازینی لاره هم ده چې پوه شو آیا له راتلونکي لوړولو وروسته هم حل ته اړتیا ده.