Cloud VPN do Cisco ASA: ponovna zgraditev po neskladju predloga

NEGOTIATION_FAILURE na tunelu Cloud VPN s Cisco ASA na drugi strani je skoraj vedno neskladje predloga ali selektorjev, in prvo koristno dejstvo je, da noben popravek tega ne odpravi. Cloud VPN določi predlog IKE ob ustvarjanju objekta tunela. Polja za spremembo algoritma na mestu ni, zato je popravilo brisanje in ponovno ustvarjanje z zabeleženim izhodiščem. Obravnavajte to kot ponovno zgraditev in delo postane kontrolni seznam namesto popoldneva ugibanj.

Preberite napako, preden karkoli izbrišete

Napaka pri pogajanju je težava faze, in dnevnik partnerja običajno navede fazo. Napaka faze 1 pomeni, da se strani nista mogli dogovoriti o predlogu ali se nista mogli medsebojno overiti. Napaka faze 2 pomeni, da se je tunel dvignil in zaščiteni selektorji se niso ujemali. To sta različna popravila, in vrstico iz dnevnika se splača izvleči, preden se kdo dotakne konfiguracije.

Napaka tudi izključuje nekatere stvari. To ni pot v VPC, ni pravilo požarnega zidu na vmesniku tunela in ni okvara razreševanja imen v omrežju. Zaganjanje za temi daje samozavestne spremembe, ki ne morejo spremeniti izida, in otežuje pripis končnega popravka.

Zabeležite obe konfiguraciji, dokler še obstajata

Brisanje tunela traja pol minute in uniči edini dokaz, ki ste ga imeli. Pred tem zapišite lokalne in oddaljene selektorje, naslov partnerja, komu pripada skupna skrivnost, ter crypto map ali profil IKEv2 na ASA. ASA odgovarja na dve ločeni vprašanji: kaj je konfigurirano in kaj je trenutno dvignjeno:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Na strani Google berite objekt tunela, ne povzetka v konzoli, ker sta naslov partnerja in polji selektorjev vrednosti, ki jih morate natančno ponoviti:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Te vrednosti vpišite v tiket pred prvim brisanjem. Ponovna zgraditev spodaj deluje samo zato, ker lahko znova ustvarite isti objekt z eno namerno razliko.

Algoritmi, o katerih ena stran noče pogajati

Cloud VPN ne izbira iz nabora algoritmov IKEv1 kot klasičen partner. Nastavitve partnerja, ki jih pričakuje, so fiksne: aes-cbc-128 za šifriranje, sha1-96 za celovitost in PRF, skupina Diffie-Hellman 2, 36,600 sekund za fazo 1 in 10,800 sekund za fazo 2. Politika ASA mora ponuditi točno ta nabor. Drugi predlog na ASA ne škodi, če je na seznamu tudi ustrezni.

IKEv2 daje obema stranema več prostora, a pravila ohranjajo enako obliko: vklopite PFS, izberite skupino DH, ki jo tunel podpira, in držite seznam predlogov dovolj kratek, da je neskladje očitno. Partner ASA na Cloud VPN pomeni tudi statično usmerjanje, zato je zaščitene predpone treba načrtovati in navesti, ne prepustiti BGP.

Življenjska doba, kopirana iz predloge drugega proizvajalca, je tu običajna napačna odločitev. Google te vrednosti objavlja kot zahtevane nastavitve partnerja, zato jih nastavite; krajša vrednost se ne pogaja navzgor do tega, kar hoče ASA.

Izbrišite, znova ustvarite in počistite staro stanje

Izbrišite tunel, ne prehoda, in zapišite ime, ki ga Cloud VPN dodeli zamenjavi, ker se imena dodeljujejo in ne uporabljajo znova. Znova ga ustvarite z zabeleženimi vrednostmi in istim naslovom partnerja, nato dodajte ustrezen predlog na seznam politik ASA.

Počistite varnostne asociacije po spremembi na ASA in pred branjem rezultata. ASA lahko še naprej ponuja zastarelo politiko, dokler trenutna SA ne poteče, zato je pravilna konfiguracija videti pokvarjena ves čas stare življenjske dobe in opazovalec sklepa, da je ponovna zgraditev spodletela, ko se še ni začela:

clear crypto ikev2 sa
clear crypto ipsec sa

Potrdite, da se faza 1 dvigne, preden pogledate fazo 2. Dokler je faza 1 spodaj, sta predlog ali vnaprej deljeni ključ napačna in delo s selektorji tega ne bo spremenilo.

Selektorji se zrcalijo, nato odločajo števci

Faza 2 deluje le, ko se obe strani strinjata o zaščitenih naslovih, in soglasje je zrcalno, ne skupno. Lokalni selektor Google se mora ujemati s selektorjem, ki ga ASA imenuje oddaljeni, in oddaljeni selektor Google s tem, kar ASA imenuje lokalni. Tunel z 0.0.0.0/0 na eni strani in eno samo podomrežjem na drugi prestane fazo 1 in nato spodleti v fazi 2 z isto glavno napako. Nobena stran ne more razširiti seznama druge.

Za selektorje na podlagi politik naštejte vsak par predpon in seznam hranite v tiketu. Podomrežje, dodano pozneje na lokaciji, zahteva urejanje na obeh koncih, ker nova pot na ASA ne razširi selektorja, in rezultat je tunel, ki je dvignjen in prepušča promet le za predpone, ki so obstajale prvi dan.

Končajte z enim tokom od gostitelja do gostitelja in preberite števce bajtov na obeh straneh. Števci, ki rastejo na ASA in mirujejo na Google, običajno pomenijo, da odgovor odhaja skozi drug vmesnik ali da selektor ne pokriva povratne predpone. Zapišite algoritme, življenjske dobe, selektorje in novo ime tunela, ker naslednja sprememba predloga ponovi to ponovno zgraditev in te vrednosti jo spremenijo v kratko opravilo.