Cloud VPN prema Cisco ASA: ponovna izgradnja nakon neslaganja u prijedlogu

Cloud VPN ugrađuje prijedlog u objekt tunela, pa neslaganje s ASA znači ponovnu izgradnju. Zabilježite selektore, uskladite obje faze, obrišite stare SA.

NEGOTIATION_FAILURE na Cloud VPN tunelu s Cisco ASA na udaljenoj strani gotovo je uvijek neslaganje u prijedlogu ili u selektorima, a prva korisna činjenica jest da nijedna izmjena to neće popraviti. Cloud VPN fiksira IKE prijedlog u trenutku stvaranja objekta tunela. Nema polja za promjenu algoritma na mjestu, pa je popravak brisanje i ponovno stvaranje sa zabilježenom početnom točkom. Tretirajte to kao ponovnu izgradnju i posao postaje kontrolni popis umjesto poslijepodneva nagađanja.

Pročitajte grešku prije nego što bilo što obrišete

Neuspjeh pregovaranja problem je faze, a dnevnik partnera obično imenuje fazu. Neuspjeh faze 1 znači da se strane nisu mogle dogovoriti o prijedlogu ili se nisu mogle međusobno autentificirati. Neuspjeh faze 2 znači da se tunel podigao, a zaštićeni selektori nisu se poklopili. To su različiti popravci i vrijedi izvući liniju dnevnika prije nego što itko dotakne konfiguraciju.

Greška također isključuje niz stvari. To nije VPC ruta, nije pravilo vatrozida na sučelju tunela i nije kvar razrješavanja imena unutar mreže. Jurenje za time daje samouvjerene izmjene koje ne mogu promijeniti ishod i otežava pripisivanje konačnog popravka.

Zabilježite obje konfiguracije dok još postoje

Brisanje tunela traje pola minute i uništava jedini dokaz koji ste imali. Prije toga zapišite lokalne i udaljene selektore, adresu partnera, kome pripada zajednički ključ te ASA-ov crypto map ili IKEv2 profil. ASA odgovara na dva odvojena pitanja: što je konfigurirano i što je trenutačno podignuto:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Na Googleovoj strani čitajte objekt tunela, a ne sažetak u konzoli, jer su adresa partnera i polja selektora vrijednosti koje morate točno reproducirati:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Upišite te vrijednosti u tiket prije prvog brisanja. Ponovna izgradnja u nastavku radi samo zato što možete iznova stvoriti isti objekt s jednom namjernom razlikom.

Algoritmi o kojima jedna strana odbija pregovarati

Cloud VPN ne bira iz raspona IKEv1 algoritama kao tradicionalni partner. Postavke partnera koje očekuje su fiksne: aes-cbc-128 za enkripciju, sha1-96 za integritet i PRF, Diffie-Hellman grupa 2, 36,600 sekundi za fazu 1 i 10,800 sekundi za fazu 2. ASA politika mora ponuditi točno taj skup. Drugi prijedlog na ASA ne šteti ako je odgovarajući također na popisu.

IKEv2 daje objema stranama više prostora, ali pravila zadržavaju isti oblik: uključite PFS, odaberite DH grupu koju tunel podržava i držite popis prijedloga dovoljno kratkim da neslaganje bude očito. Partner ASA na Cloud VPN znači i statičko usmjeravanje, pa zaštićeni prefiksi moraju biti isplanirani i navedeni, a ne prepušteni BGP-u.

Životni vijek kopiran iz predloška drugog proizvođača uobičajeni je pogrešan zaokret ovdje. Google objavljuje te vrijednosti kao obavezne postavke partnera, pa ih postavite; kraća vrijednost ne pregovara se prema gore do onoga što ASA želi.

Obrišite, iznova stvorite i očistite staro stanje

Obrišite tunel, ne gateway, i zapišite ime koje Cloud VPN dodjeljuje zamjeni, jer se imena dodjeljuju, a ne koriste ponovno. Stvorite ga iznova sa zabilježenim vrijednostima i istom adresom partnera, zatim dodajte odgovarajući prijedlog na popis ASA politike.

Očistite sigurnosne asocijacije nakon promjene na ASA i prije čitanja rezultata. ASA može nastaviti nuditi zastarjelu politiku dok trenutačni SA ne istekne, pa ispravna konfiguracija izgleda pokvareno cijelo vrijeme trajanja starog životnog vijeka, a promatrač zaključi da je ponovna izgradnja propala dok još nije ni počela:

clear crypto ikev2 sa
clear crypto ipsec sa

Potvrdite da se faza 1 podigne prije nego što pogledate fazu 2. Dok je faza 1 dolje, prijedlog ili unaprijed dijeljeni ključ su pogrešni i rad na selektorima to neće promijeniti.

Selektori se preslikavaju, zatim odlučuju brojači

Faza 2 radi samo kada se obje strane slažu o zaštićenim adresama, a slaganje je zrcalno, a ne zajedničko. Googleov lokalni selektor mora odgovarati selektoru koji ASA naziva udaljenim, a Googleov udaljeni selektor onome što ASA naziva lokalnim. Tunel s 0.0.0.0/0 na jednoj strani i jednom podmrežom na drugoj prolazi fazu 1 i zatim pada na fazi 2 s istom glavnom greškom. Nijedna strana ne može proširiti popis druge.

Za selektore temeljene na politici navedite svaki par prefiksa i držite popis u tiketu. Podmreža dodana kasnije u lokalnoj mreži zahtijeva izmjenu na oba kraja, jer nova ruta na ASA ne proširuje selektor, a rezultat je tunel koji je podignut i propušta promet samo za prefikse koji su postojali prvog dana.

Završite jednim tokom od hosta do hosta i pročitajte brojače bajtova na obje strane. Brojači koji rastu na ASA, a stoje na Googleu obično znače da odgovor izlazi kroz drugo sučelje ili da selektor ne pokriva povratni prefiks. Zapišite algoritme, životne vijekove, selektore i novo ime tunela, jer sljedeća promjena prijedloga ponavlja ovu ponovnu izgradnju i te vrijednosti pretvaraju je u kratak posao.

Povezani članci