Cloud VPN සිට Cisco ASA දක්වා: යෝජනා නොගැලපීමෙන් පසු නැවත ගොඩනැගීම

Cloud VPN යෝජනාව ටනල් වස්තුවට කාවැද්දවයි, එබැවින් ASA සමඟ නොගැලපීම යනු එය නැවත ගොඩනැගීමයි. සිලෙක්ටර සටහන් කරන්න, පියවර දෙකම ගලපන්න, පැරණි SA මකන්න.

අවසන් කෙළවරේ Cisco ASA සිටින Cloud VPN ටනලයක NEGOTIATION_FAILURE යනු සෑම විටම පාහේ යෝජනාවේ හෝ සිලෙක්ටරවල නොගැලපීමකි, සහ පළමු ප්‍රයෝජනවත් කරුණ නම් කිසිදු සංස්කරණයකින් එය නොසකසන බවයි. ටනල් වස්තුව සෑදෙන විට Cloud VPN IKE යෝජනාව ස්ථාවර කරයි. ඇල්ගොරිතමය එතැනම වෙනස් කිරීමට ක්ෂේත්‍රයක් නැත, එබැවින් අලුත්වැඩියාව යනු මකා දමා සටහන් කළ ආරම්භක ලක්ෂ්‍යය සමඟ නැවත සෑදීමයි. එය නැවත ගොඩනැගීමක් ලෙස සලකන්න, එවිට කාර්යය අනුමානවලින් පිරුණු දහවලක් නොව පරීක්ෂණ ලැයිස්තුවක් බවට පත් වේ.

යමක් මකා දැමීමට පෙර අසාර්ථකත්වය කියවන්න

සාකච්ඡා අසාර්ථකත්වය යනු පියවරේ ගැටලුවකි, සහ සහකරුගේ ලොගය සාමාන්‍යයෙන් පියවර නම් කරයි. පියවර 1 අසාර්ථක වීම යනු දෙපසම යෝජනාවකට එකඟ වීමට හෝ එකිනෙකා සත්‍යාපනය කර ගැනීමට නොහැකි වූ බවයි. පියවර 2 අසාර්ථක වීම යනු ටනලය ඉහළ ගිය නමුත් ආරක්ෂිත සිලෙක්ටර නොගැලපුණු බවයි. මේවා වෙනස් අලුත්වැඩියා ය, සහ කිසිවෙකු වින්‍යාසයක් ස්පර්ශ කිරීමට පෙර ලොග් පේළිය උපුටා ගැනීම වටී.

මෙම අසාර්ථකත්වය සමහර දේ ද බැහැර කරයි. එය VPC මාර්ගයක් නොවේ, ටනල් අතුරුමුහුණතේ ෆයර්වෝල් නියමයක් නොවේ, සහ ජාලය තුළ නම් විසඳීමේ දෝෂයක් නොවේ. ඒවා පසුපස හඹා යාමෙන් ප්‍රතිඵලය වෙනස් කළ නොහැකි ආත්ම විශ්වාසී වෙනස්කම් ඇති වන අතර අවසාන නිවැරදි කිරීම කාට බැර කළ යුතුද යන්න දුෂ්කර කරයි.

වින්‍යාස දෙකම තවම පවතින අතරතුර සටහන් කරගන්න

ටනලයක් මැකීමට තත්පර තිහක් ගත වන අතර ඔබ සතුව තිබූ එකම සාක්ෂිය විනාශ කරයි. ඊට පෙර දේශීය හා දුරස්ථ සිලෙක්ටර, සහකරුගේ ලිපිනය, බෙදාගත් රහස කා සතුවද, සහ ASA හි crypto map හෝ IKEv2 පැතිකඩ ලියන්න. ASA ප්‍රශ්න දෙකකට වෙන වෙනම පිළිතුරු දෙයි: කුමක් වින්‍යාසගත කර ඇත්ද සහ දැන් කුමක් ඉහළ ඇත්ද:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google පැත්තේ කොන්සෝල සාරාංශය වෙනුවට ටනල් වස්තුව කියවන්න, මන්ද සහකරුගේ ලිපිනය සහ සිලෙක්ටර ක්ෂේත්‍ර යනු ඔබ නිවැරදිව නැවත නිපදවිය යුතු අගයන් බැවිනි:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

පළමු මැකීමට පෙර එම අගයන් ටිකට් පතේ ලියන්න. පහත නැවත ගොඩනැගීම ක්‍රියා කරන්නේ ඔබට එකම වස්තුව එක් හිතාමතා කළ වෙනසක් සමඟ නැවත සෑදිය හැකි නිසා පමණි.

එක් පසක් සාකච්ඡා කිරීමට ප්‍රතික්ෂේප කරන ඇල්ගොරිතම

Cloud VPN සාම්ප්‍රදායික සහකරුවෙකු මෙන් IKEv1 ඇල්ගොරිතම පරාසයකින් තෝරන්නේ නැත. එය අපේක්ෂා කරන සහකරු සැකසුම් ස්ථාවරය: සංකේතනය සඳහා aes-cbc-128, අඛණ්ඩතාව සහ PRF දෙකටම sha1-96, Diffie-Hellman කණ්ඩායම 2, පියවර 1 සඳහා 36,600 තත්පර සහ පියවර 2 සඳහා 10,800 තත්පර. ASA ප්‍රතිපත්තිය එම කට්ටලය හරියටම ඉදිරිපත් කළ යුතුය. ASA හි දෙවන යෝජනාවක් හානියක් නොවේ, ගැලපෙන යෝජනාව ද ලැයිස්තුවේ තිබේ නම්.

IKEv2 දෙපසටම වැඩි ඉඩක් දෙයි, නමුත් නීති එකම හැඩය රඳවා ගනී: PFS සක්‍රීය කරන්න, ටනලය ආධාරක කරන DH කණ්ඩායමක් තෝරන්න, සහ නොගැලපීම පැහැදිලි වන තරමට යෝජනා ලැයිස්තුව කෙටි කර තබන්න. Cloud VPN හි ASA සහකරු යනු ස්ථිතික මාර්ගකරණය ද වේ, එබැවින් ආරක්ෂිත උපසර්ග BGP වෙත භාර නොදී සැලසුම් කර ලැයිස්තුගත කළ යුතුය.

වෙනත් නිෂ්පාදකයෙකුගේ අච්චුවකින් පිටපත් කළ ආයු කාලය මෙහි සුපුරුදු වැරදි හැරවුමයි. Google මෙම අගයන් අනිවාර්ය සහකරු සැකසුම් ලෙස ප්‍රකාශයට පත් කරයි, එබැවින් ඒවා සකසන්න; කෙටි අගයක් ASA ට අවශ්‍ය තරමට ඉහළට සාකච්ඡා නොවේ.

මකන්න, නැවත සාදන්න සහ පැරණි තත්ත්වය පිරිසිදු කරන්න

ගේට්වේ නොව ටනලය මකන්න, සහ Cloud VPN ආදේශකයට දෙන නම සටහන් කරන්න, මන්ද නම් පවරනු ලැබේ, නැවත භාවිත නොවේ. සටහන් කළ අගයන් සහ එම සහකරු ලිපිනය සමඟ එය නැවත සාදන්න, පසුව ගැලපෙන යෝජනාව ASA ප්‍රතිපත්ති ලැයිස්තුවට එකතු කරන්න.

ASA වෙනසට පසුව සහ ප්‍රතිඵලය කියවීමට පෙර ආරක්ෂක සහයෝගතා පිරිසිදු කරන්න. වත්මන් SA අවසන් වන තෙක් ASA පැරණි ප්‍රතිපත්තියක් දිගටම ඉදිරිපත් කළ හැකිය, එබැවින් නිවැරදි වින්‍යාසයක් පැරණි ආයු කාලය පුරාම කැඩුණු ලෙස පෙනෙන අතර නිරීක්ෂකයා නැවත ගොඩනැගීම ආරම්භ නොවීමෙන්ම අසාර්ථක වූ බව නිගමනය කරයි:

clear crypto ikev2 sa
clear crypto ipsec sa

පියවර 2 දෙස බැලීමට පෙර පියවර 1 ඉහළ එන බව තහවුරු කරන්න. පියවර 1 පහළ ඇති විට යෝජනාව හෝ පූර්ව බෙදාගත් යතුර වැරදිය, සහ සිලෙක්ටර කාර්යය එය වෙනස් නොකරයි.

සිලෙක්ටර කැබිනට් මෙන් ගැලපේ, පසුව ගණන් කරන්නෝ තීරණය කරති

පියවර 2 ක්‍රියා කරන්නේ ආරක්ෂිත ලිපින ගැන දෙපසම එකඟ වූ විට පමණි, සහ එම එකඟතාව බෙදාගැනීමක් නොව කැබිනට් රූපයකි. Google හි දේශීය සිලෙක්ටරය ASA දුරස්ථ ලෙස හඳුන්වන සිලෙක්ටරය සමඟ ගැලපිය යුතු අතර, Google හි දුරස්ථ සිලෙක්ටරය ASA දේශීය ලෙස හඳුන්වන දෙය සමඟ ගැලපිය යුතුය. එක් පසක 0.0.0.0/0 සහ අනෙක් පස එකම උපජාලයක් ඇති ටනලයක් පියවර 1 පසු කර පසුව එම මූලික දෝෂයෙන්ම පියවර 2 හි අසාර්ථක වේ. කිසිදු පසකට අනෙක් පසේ ලැයිස්තුව පුළුල් කළ නොහැක.

ප්‍රතිපත්ති පාදක සිලෙක්ටර සඳහා සෑම උපසර්ග යුගලයක්ම ලැයිස්තුගත කර ලැයිස්තුව ටිකට් පතේ තබන්න. පසුව අඩවියේ එකතු කරන උපජාලයකට දෙපසම සංස්කරණය අවශ්‍ය වේ, මන්ද ASA හි නව මාර්ගයක් සිලෙක්ටරයක් පුළුල් නොකරන අතර, ප්‍රතිඵලය වන්නේ ඉහළ ඇති නමුත් පළමු දිනයේ තිබූ උපසර්ග සඳහා පමණක් ගමනාගමනය ගෙන යන ටනලයකි.

එක් සත්කාරකයක සිට සත්කාරකයකට ගලා යාමකින් අවසන් කර දෙපසම බයිට් ගණන් කරන්නන් කියවන්න. ASA හි ඉහළ ගොස් Google හි පැතලිව රැඳී ඇති ගණන් කරන්නන් සාමාන්‍යයෙන් අදහස් කරන්නේ පිළිතුර වෙනත් අතුරුමුහුණතකින් පිටවන බව හෝ සිලෙක්ටරය ආපසු එන උපසර්ගය ආවරණය නොකරන බවයි. ඇල්ගොරිතම, ආයු කාල, සිලෙක්ටර සහ නව ටනල් නම සටහන් කරන්න, මන්ද ඊළඟ යෝජනා වෙනස මෙම නැවත ගොඩනැගීම නැවත කරන අතර එම අගයන් එය කෙටි කාර්යයක් බවට පත් කරයි.

අදාළ ලිපි