GCP HA VPN zavrne FortiGate: vrsta lokalnega ID se ne ujema
Google primerja identiteto, ki jo FortiGate zatrjuje, ne le vnaprej deljenega ključa. Lokalni ID vrste FQDN ne uspe pri tem preverjanju, medtem ko dnevnik še vedno pravi overjanje.
AUTHENTICATION_FAILED iz Google Cloud HA VPN običajno pošlje ljudi nazaj k vnaprej deljenemu ključu, in ključ je ponavadi pravilen. Tunel se ustavi v fazi 1, ker Google primerja še nekaj drugega: identiteto, ki jo partner zatrjuje med izmenjavo IKE. Na FortiGate lahko ta identiteta spremeni vrsto, ne da bi kdor koli uredil naslov. Dnevnik berite kot neujemanje identitete, ko je bil ključ dvakrat znova vnesen.
Ena napaka, dve preverjanji
IKE preveri partnerja v dveh ločenih korakih. Vnaprej deljeni ključ dokazuje, da imata oba konca isto skrivnost, zatrjevana identiteta pa odgovarjajočemu pove, za koga se partner izdaja. Google to identiteto primerja s partnerjem, s katerim je bil nastavljen. Če ga pustimo samega, FortiGate pošlje identiteto na podlagi naslova, izpeljano iz izhodnega vmesnika, in primerjava uspe, ne da bi kdo to opazil.
Oba koraka pristaneta v istem vedru v dnevniku, kar pojasnjuje znano zanko prepisovanja ključa štirikrat, preden kdo prebere tovor identitete.
Kaj FortiGate vstavi v tovor identitete
Težava se začne, ko nekdo nastavi lokalni ID da bi se strani uskladili. Novejše gradnje FortiOS to identiteto označijo kot popolnoma kvalificirano ime domene, tudi ko je vnesena vrednost naslov s pikami. Google zato prejme identiteto FQDN, medtem ko pričakuje naslov, in sejo zavrne. Nič v sporočilu ne pove, katera polovica je spodletela, zato se poročilo bere kot napaka overjanja.
To enkrat ponovite z vklopljenim razhroščevanjem IKE in preberite tovor identitete, ki ga požarni zid dejansko pošlje.
V istem prehodu potrdite tri poceni dejstva: različico IKE, ki jo uporabljata oba konca, natančen ključ vključno z nevidnimi končnimi znaki, in naslov partnerja, ki ga Google pričakuje. Odgovarjajo na različna vprašanja, in ujemajoči se ključ ne pove ničesar o identiteti.
Možnosti in koliko vsaka stane
Vsak izhod popravi drugo plast, in noben ni na voljo za vsako uvedbo.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Popravljanje identitete na požarnem zidu je najčistejši odgovor, kjer vam strojna programska oprema dovoli izbrati vrsto in obdržati vrednost. Polje obstaja v nekaterih gradnjah, v drugih pa vrsto izpolni napačno, zato preizkusite svojo različico, namesto da bi zaupali opombam ob izdaji.
Usmerljiv javni naslov na pogajalskem vmesniku je dokumentiran obhod, ker se takrat privzeta identiteta ujema s tem, kar Google pričakuje, in prepisovanje ni potrebno. Tja pride večina uvedb, če lahko požarni zid sploh drži tak naslov.
Zaključiti na partnerju, ki preverja to, kar proizvajate, je sprememba topologije. Obravnavajte to kot oblikovalsko odločitev in ne kot obhod s prijaznejšim opisom.
Ko NAT odstrani eno možnost
Za NAT izhod prek javnega naslova izgine, in kar ostane, je odvisno od vedenja strojne programske opreme, ki ga ne nadzorujete. To je trenutek za zavestno izbiro med nadgradnjo, premestitvijo partnerja ali sprejetjem drugega oblačnega konca. To so trije različni proračuni, in naključna izbira enega je način, kako začasen obhod postane arhitektura. Izbiro in njen razlog zapišite ob tunel.
Preden kar koli od tega razlagate, potrdite stanje tunela na Googlovi strani in da IKE ni preprosto zavržen na poti. Zavržen paket poteče; ne ustvari zavrnitve.
Kaj zapisati, dokler deluje
Zapišite vrsto identitete, njeno vrednost, različico strojne programske opreme in naslov partnerja, ki so veljali, ko se je tunel nazadnje dvignil. Posodobitev strojne programske opreme lahko spet spremeni privzeto vrednost, in naslednja napaka bo videti natanko kot neujemanje ključa. Če je identiteta shranjena ob ključu in naslovu partnerja, naslednja oseba začne s poceni preverjanji.
Ta zapis je tudi edini način, da veste, ali je obhod po naslednji nadgradnji še potreben.