GCP HA VPN refuzon FortiGate: lloji i ID-së lokale nuk përputhet
Google krahason identitetin që FortiGate deklaron, jo vetëm çelësin e ndarë paraprakisht. Një ID lokale e tipit FQDN dështon në atë kontroll, ndërsa regjistri vazhdon të thotë vërtetim.
AUTHENTICATION_FAILED nga Google Cloud HA VPN zakonisht i kthen njerëzit te çelësi i ndarë paraprakisht, dhe çelësi zakonisht është i saktë. Tuneli ngec në fazën 1 sepse Google krahason edhe diçka tjetër: identitetin që partneri deklaron gjatë shkëmbimit IKE. Në një FortiGate ai identitet mund të ndryshojë lloj pa redaktuar askush një adresë. Lexojeni regjistrin si mospërputhje identiteti pasi çelësi është rihyrur dy herë.
Një dështim, dy kontrolle
IKE verifikon një partner në dy hapa të veçantë. Çelësi i ndarë paraprakisht provon se të dy skajet kanë të njëjtin sekret, dhe një identitet i deklaruar i thotë përgjigjësit kush pretendon partneri se është. Google e krahason atë identitet me partnerin me të cilin është konfiguruar. I lënë vetëm, FortiGate dërgon një identitet të bazuar në adresë të nxjerrë nga ndërfaqja dalëse, dhe krahasimi kalon pa e vënë re askush.
Të dy hapat bien në të njëjtin kovë në regjistër, gjë që shpjegon ciklin e njohur të rishkrimit të çelësit katër herë përpara se dikush të lexojë ngarkesën e identitetit.
Çfarë vendos një FortiGate në ngarkesën e identitetit
Problemi fillon kur dikush vendos një ID lokale që të dyja palët të bien dakord. Ndërtimet e fundit të FortiOS e shënojnë atë identitet si emër domeni plotësisht të kualifikuar, edhe kur vlera e shtypur është adresë me pika. Prandaj Google merr një identitet FQDN ndërsa pret një adresë, dhe e refuzon sesionin. Asgjë në mesazh nuk thotë cila gjysmë dështoi, kështu që raporti lexohet si dështim vërtetimi.
Riprodhojeni një herë me korrigjimin e IKE të aktivizuar dhe lexoni ngarkesën e identitetit që muri i zjarrit në të vërtetë dërgon.
Në të njëjtin kalim, konfirmoni tre fakte të lira: versionin e IKE që përdorin të dy skajet, çelësin e saktë duke përfshirë karakteret e padukshme në fund, dhe adresën e partnerit që Google pret. Ato përgjigjen pyetjeve të ndryshme, dhe një çelës që përputhet nuk thotë asgjë për identitetin.
Opsionet, dhe sa kushton secili
Çdo rrugëdalje rregullon një shtresë tjetër, dhe asnjëra nuk është e disponueshme për çdo vendosje.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Korrigjimi i identitetit në murin e zjarrit është përgjigjja më e pastër aty ku firmware-i ju lejon të zgjidhni llojin dhe ta mbani vlerën. Fusha ekziston në disa ndërtime dhe në të tjera e mbush llojin gabimisht, prandaj provoni versionin tuaj në vend që të besoni shënimet e lëshimit.
Një adresë publike e rrugëtueshme në ndërfaqen e negociimit është zgjidhja e dokumentuar, sepse atëherë identiteti i parazgjedhur përputhet me atë që pret Google dhe nuk nevojitet asnjë mbivendosje. Aty përfundojnë shumica e vendosjeve, nëse muri i zjarrit mund të mbajë fare një adresë të tillë.
Përfundimi në një partner që vërteton atë që prodhoni është një ndryshim topologjie. Trajtojeni si vendim projektimi dhe jo si zgjidhje me përshkrim më të butë.
Kur NAT heq një opsion
Pas NAT rrugëdalja përmes adresës publike zhduket, dhe ajo që mbetet varet nga sjellja e firmware-it që ju nuk e kontrolloni. Ky është momenti për të zgjedhur me vetëdije midis përmirësimit, zhvendosjes së partnerit ose pranimit të një pike tjetër fundore në re. Këto janë tre buxhete të ndryshme, dhe zgjedhja e njërit rastësisht është mënyra se si një zgjidhje e përkohshme bëhet arkitekturë. Shkruani zgjedhjen dhe arsyen e saj pranë tunelit.
Përpara se të interpretoni ndonjë gjë nga kjo, konfirmoni gjendjen e tunelit në anën e Google dhe që IKE nuk hidhet thjesht rrugës. Një paketë e hedhur skadon; nuk prodhon një refuzim.
Çfarë të shënoni ndërsa funksionon
Shënoni llojin e identitetit, vlerën e tij, versionin e firmware-it dhe adresën e partnerit që ishin në fuqi kur tuneli u ngrit për herë të fundit. Një përditësim i firmware-it mund ta ndryshojë përsëri parazgjedhjen, dhe dështimi i radhës do të duket saktësisht si mospërputhje çelësi. Kur identiteti ruhet pranë çelësit dhe adresës së partnerit, personi i radhës nis nga kontrollet e lira.
Ai regjistrim është gjithashtu mënyra e vetme për të ditur nëse një zgjidhje nevojitet ende pas përmirësimit të radhës.