Cloud VPN ка Cisco ASA: поновна изградња после неслагања предлога

Cloud VPN уграђује предлог у објекат тунела, зато неслагање са ASA значи поновну изградњу. Забележите селекторе, ускладите обе фазе, обришите старе SA.

NEGOTIATION_FAILURE на Cloud VPN тунелу са Cisco ASA на даљој страни готово је увек неслагање предлога или селектора, а прва корисна чињеница је да ниједна измена то неће поправити. Cloud VPN фиксира IKE предлог када се објекат тунела креира. Нема поља за промену алгоритма на месту, зато је поправка брисање и поновно креирање са забележеном почетном тачком. Третирајте то као поновну изградњу и посао постаје контролна листа уместо поподнева нагађања.

Прочитајте грешку пре него што било шта обришете

Неуспех преговарања је проблем фазе, а дневник партнера обично именује фазу. Неуспех фазе 1 значи да стране нису могле да се договоре о предлогу или нису могле да се међусобно аутентификују. Неуспех фазе 2 значи да се тунел подигао, а заштићени селектори се нису поклопили. То су различите поправке, и ред из дневника вреди извући пре него што било ко додирне конфигурацију.

Грешка такође искључује неке ствари. То није VPC рута, није правило заштитног зида на интерфејсу тунела и није квар у разрешавању имена унутар мреже. Јурњава за њима даје самоуверене измене које не могу да промене исход и отежава приписивање коначне поправке.

Забележите обе конфигурације док још постоје

Брисање тунела траје пола минута и уништава једини доказ који сте имали. Пре тога запишите локалне и удаљене селекторе, адресу партнера, коме припада заједничка тајна и crypto map или IKEv2 профил на ASA. ASA одговара на два одвојена питања: шта је конфигурисано и шта је тренутно подигнуто:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

На страни Google читајте објекат тунела, а не сажетак у конзоли, јер су адреса партнера и поља селектора вредности које морате тачно да репродукујете:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Упишите те вредности у тикет пре првог брисања. Поновна изградња испод функционише само зато што можете поново да креирате исти објекат са једном намерном разликом.

Алгоритми о којима једна страна одбија да преговара

Cloud VPN не бира из распона IKEv1 алгоритама као традиционални партнер. Подешавања партнера која очекује су фиксна: aes-cbc-128 за шифровање, sha1-96 за интегритет и PRF, Diffie-Hellman група 2, 36,600 секунди за фазу 1 и 10,800 секунди за фазу 2. Политика ASA мора да понуди тачно тај скуп. Други предлог на ASA не штети ако је одговарајући такође на листи.

IKEv2 даје обе стране више простора, али правила задржавају исти облик: укључите PFS, изаберите DH групу коју тунел подржава и држите листу предлога довољно кратком да неслагање буде очигледно. Партнер ASA на Cloud VPN значи и статичко рутирање, зато заштићени префикси морају да се испланирају и наведу, а не да се оставе BGP-у.

Животни век копиран из шаблона другог произвођача је уобичајени погрешан скретај овде. Google објављује ове вредности као обавезна подешавања партнера, зато их поставите; краћа вредност се не преговара навише до онога што ASA жели.

Обришите, поново креирајте и очистите старо стање

Обришите тунел, не gateway, и забележите име које Cloud VPN додељује замени, јер се имена додељују, а не користе поново. Поново га креирајте са забележеним вредностима и истом адресом партнера, затим додајте одговарајући предлог на листу политика ASA.

Очистите безбедносне асоцијације после измене на ASA и пре читања резултата. ASA може да настави да нуди застарелу политику док текући SA не истекне, зато исправна конфигурација изгледа покварено током целог старог животног века и посматрач закључује да поновна изградња није успела када она још није почела:

clear crypto ikev2 sa
clear crypto ipsec sa

Потврдите да се фаза 1 подиже пре него што погледате фазу 2. Док је фаза 1 доле, предлог или унапред подељени кључ су погрешни и рад на селекторима то неће променити.

Селектори се пресликавају, затим одлучују бројачи

Фаза 2 ради само када се обе стране сложе око заштићених адреса, а сагласност је огледалска, а не заједничка. Локални селектор Google мора да одговара селектору који ASA назива удаљеним, а удаљени селектор Google ономе што ASA назива локалним. Тунел са 0.0.0.0/0 на једној страни и једном подмрежом на другој прође фазу 1 и затим падне на фази 2 са истом главном грешком. Ниједна страна не може да прошири листу друге.

За селекторе засноване на политици наведите сваки пар префикса и држите листу у тикету. Подмрежа додата касније на локацији захтева измену на оба краја, јер нова рута на ASA не проширује селектор, а резултат је тунел који је подигнут и пропушта саобраћај само за префиксе који су постојали првог дана.

Завршите једним током од хоста до хоста и прочитајте бројаче бајтова на обе стране. Бројачи који расту на ASA, а стоје на Google, обично значе да одговор излази кроз други интерфејс или да селектор не покрива повратни префикс. Забележите алгоритме, животне векове, селекторе и ново име тунела, јер следећа измена предлога понавља ову поновну изградњу и те вредности је претварају у кратак посао.

Повезани чланци