Cloud VPN ilaa Cisco ASA: dib u dhis ka dib khilaafka soo jeedinta

NEGOTIATION_FAILURE ku yimid tunnel Cloud VPN oo Cisco ASA ku leh dhinaca kale badanaa waa khilaaf soo jeedin ama xulayaal, waana xaqiiqada koowaad ee faa'iido leh in wax tafatir ah aanu hagaajin doonin. Cloud VPN waxay soo jeedinta IKE xajisaa marka shayga tunnel-ka la abuuro. Ma jiro goob lagu beddelo algorithm isla meesha, sidaas darteed hagaajintu waa tirtirid iyo dib u abuur oo leh barta bilowga oo la qoray. U tixgeli sidii dib u dhis, markaas shaqadu waxay noqonaysaa liis hubin halkii ay ahaan lahayd galab mala-awaal ah.

Akhri guuldarada ka hor intaadan wax tirtirin

Guuldarada gorgortanku waa dhibaato weji, log-ga dhinaca kale badanaa wuxuu sheegaa wejiga. Wejiga 1 oo guuldareysta waxay ka dhigan tahay in labada dhinac aanay ku heshiin soo jeedin ama aanay is xaqiijin karin. Wejiga 2 oo guuldareysta waxay ka dhigan tahay in tunnel-ku soo baxay laakiin xulayaasha la ilaaliyay aanay is waafajin. Kuwani waa hagaajinno kala duwan, waana mudan in xariiqda log-ga la soo saaro ka hor inta qof uusan taaban hagaajin.

Guuldaradu waxay sidoo kale meesha ka saartaa waxyaabo. Ma aha waddo VPC, ma aha qaanuun firewall oo ku yaal interface-ka tunnel-ka, mana aha cilad xallinta magacyada gudaha shabakadda. Dabagalkoodu wuxuu keenaa isbeddello kalsooni leh oo aan beddeli karin natiijada, waxayna adkaysaa in hagaajinta ugu dambaysa loo nisbeeyo.

Qor labada hagaajin inta ay weli jiraan

Tirtiridda tunnel-ku waxay qaadataa nus daqiiqo waxayna baabbi'isaa caddaynta kaliya ee aad haysatay. Ka hor inta, qor xulayaasha gudaha iyo kuwa fog, ciwaanka dhinaca kale, yaa leh sirta la wadaago, iyo crypto map ama profile IKEv2 ee ASA. ASA waxay ka jawaabtaa laba su'aalood oo gaar ah: waxa la hagaajiyay iyo waxa hadda kor yaal:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Dhinaca Google, akhri shayga tunnel-ka halkii aad akhrin lahayd soo koobidda console-ka, maxaa yeelay ciwaanka dhinaca kale iyo goobaha xulayaasha ayaa ah qiyamka ay tahay inaad si sax ah u soo saarto:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Qiyamkaas geli tigidhka ka hor tirtiridda koowaad. Dib u dhista hoose wuxuu shaqeeyaa oo kaliya sababtoo ah waxaad dib u abuuri kartaa isla shayga isbeddel ula kac ah.

Algorithms-ka ay dhinac ka mid ah diido inuu ka gorgortamo

Cloud VPN kama dooranayo qaybaha algorithm ee IKEv1 sida dhinac caadi ah. Dejinta dhinaca kale ee ay filayso waa go'an: aes-cbc-128 xogta qarinta, sha1-96 daacadnimada iyo PRF labadaba, kooxda Diffie-Hellman 2, 36,600 ilbiriqsi wejiga 1 iyo 10,800 ilbiriqsi wejiga 2. Siyaasadda ASA waa inay bixiso isla qaybtaas. Soo jeedin labaad oo ASA ah waxba ma yeelato haddii tan u dhigma ay sidoo kale liiska ku jirto.

IKEv2 waxay labada dhinac siinaysaa meel badan, laakiin qaanuunnadu waxay hayaan isla qaabka: shid PFS, dooro koox DH oo tunnel-ku taageero, oo liiska soo jeedinta ka dhig mid gaaban oo khilaafku muuqdo. Saaxiibka ASA ee Cloud VPN waxay sidoo kale ka dhigan tahay marrin joogto ah, sidaas darteed prefixes-ka la ilaaliyay waa in la qorsheeyo oo la liis garto halkii loo gudbin lahaa BGP.

Cimri laga soo koobi yay qaabka iibiyaha kale ayaa halkan ah leexashada khaldan ee caadiga ah. Google waxay daabacdaa qiyamkaas sida dejinta saaxiib oo waajib ah, sidaas darteed dhig; qiimo gaaban lagama gorgortamo kor ilaa waxa ASA rabto.

Tirtir, dib u abuur, oo nadiifi xaaladdii hore

Tirtir tunnel-ka, ma aha gateway-ga, oo qor magaca Cloud VPN siiso beddelka, maxaa yeelay magacyada waa la qoondeeyaa lamana isticmaalo mar labaad. Dib u abuur isla qiyamka la qoray iyo isla ciwaanka dhinaca kale, ka dibna ku dar soo jeedinta u dhigma liiska siyaasadda ASA.

Nadiifi ururrada amniga ka dib isbeddelka ASA iyo ka hor akhrinta natiijada. ASA waxay sii wadi kartaa inay bixiso siyaasad duug ah ilaa SA-da hadda socota ay dhamaato, sidaas darteed hagaajin sax ah waxay u muuqataa mid jaban cimriga hore oo dhan, kormeeruhuna wuxuu gabagabeeyaa in dib u dhista ku guuldareystay iyada oo aanay bilaaban:

clear crypto ikev2 sa
clear crypto ipsec sa

Xaqiiji in wejiga 1 soo baxo ka hor inta aadan eegin wejiga 2. Inta wejiga 1 hoos yaal, soo jeedinta ama furaha hore loo wadaagay waa khalad, shaqada xulayaashuna taas ma beddeli doonto.

Xulayaashu waxay u egyihiin muraayad, ka dibna tirakoobyadu go'aan bay gaadhaan

Wejiga 2 wuxuu shaqeeyaa oo kaliya marka labada dhinac ay ku heshiiyaan ciwaannada la ilaaliyay, heshiiskuna waa muraayad ma aha mid la wadaago. Xulaha gudaha ee Google waa inuu la jaanqaadaa xulaha ASA ugu yeerto fog, iyo xulaha fog ee Google waxa ASA ugu yeerto gudaha. Tunnel leh 0.0.0.0/0 dhinac iyo hal subnet dhinaca kale wuxuu dhaafaa wejiga 1 ka dibna ku guuldareystaa wejiga 2 isla qaladka weyn. Midkoodna ma ballaarin karo liiska kan kale.

Xulayaasha ku salaysan siyaasadda, liis garo lammaane kasta oo prefix ah oo liiska ku hay tigidhka. Subnet-ka goor dambe lagu daro goobta wuxuu u baahan yahay tafatir labada dhinac, maxaa yeelay waddo cusub oo ASA ah ma ballaarinayso xulaha, natiijaduna waa tunnel kor yaal oo kaliya u gudbiya taraafikada prefixes-kii jiray maalinta koowaad.

Ku dhammee hal qulqul oo host-ilaa-host ah oo akhri tirakoobyada byte labada dhinac. Tirakoobyada ASA kor u kaca oo Google ku siman ayaa badanaa ka dhigan in jawaabtu ka baxdo interface kale, ama xulahu aanu daboolin prefix-ka soo noqodka. Qor algorithms-ka, cimriyada, xulayaasha iyo magaca cusub ee tunnel-ka, maxaa yeelay isbeddelka soo jeedinta xiga wuxuu ku celinayaa dib u dhistan oo qiyamkaas waxay ka dhigaan shaqo gaaban.