GCP HA VPN одбија FortiGate: тип локалног ID-а се не поклапа
Google пореди идентитет који FortiGate тврди, а не само унапред подељени кључ. Локални ID типа FQDN пада на тој провери, док евиденција и даље каже аутентификација.
AUTHENTICATION_FAILED из Google Cloud HA VPN обично враћа људе на унапред подељени кључ, а кључ је обично исправан. Тунел се зауставља у фази 1 јер Google пореди и нешто друго: идентитет који партнер тврди током IKE размене. На FortiGate-у тај идентитет може променити тип без тога да било ко уређује адресу. Читајте евиденцију као неусаглашеност идентитета након што је кључ поново унесен два пута.
Један неуспех, две провере
IKE проверава партнера у два одвојена корака. Унапред подељени кључ доказује да оба краја држе исту тајну, а тврђени идентитет говори саговорнику ким се партнер представља. Google пореди тај идентитет са партнером са којим је конфигурисан. Остављен сам, FortiGate шаље идентитет заснован на адреси изведен из свог излазног интерфејса, и поређење пролази без тога да ико примети.
Оба корака падају у исту канту у евиденцији, што објашњава познати циклус поновног уписовања кључа четири пута пре него што ико прочита терет идентитета.
Шта FortiGate ставља у терет идентитета
Проблем почиње када неко постави локални ID да би се две стране усагласиле. Нове FortiOS верзије означавају тај идентитет као потпуно квалификовано име домена, чак и када је унета вредност адреса са тачкама. Зато Google прима идентитет типа FQDN док очекује адресу, и одбија сесију. Ништа у поруци не каже која половина није успела, па се извештај чита као неуспех аутентификације.
Репродукујте то једном са укљученим IKE отклањањем грешака и прочитајте терет идентитета који заштитни зид заиста шаље.
У истом пролазу потврдите три јефтине чињенице: верзију IKE коју користе оба краја, тачан кључ укључујући невидљиве завршне знакове, и адресу партнера коју Google очекује. Оне одговарају на различита питања, а кључ који се поклапа не каже ништа о идентитету.
Опције и колико која кошта
Сваки излаз поправља други слој, и ниједан није доступан за свако распоређивање.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Исправљање идентитета на заштитном зиду најчистији је одговор тамо где фирмвер дозвољава да изаберете тип и задржите вредност. Поље постоји у неким верзијама, а у другима тип попуњава погрешно, зато тестирајте своју верзију уместо да верујете белешкама о издању.
Рутирајућа јавна адреса на интерфејсу за преговарање је документовани заобилазни пут, јер се тада подразумевани идентитет поклапа са оним што Google очекује и никакво преписивање није потребно. Тамо завршава већина распоређивања, ако заштитни зид уопште може да држи такву адресу.
Завршавање на партнеру који валидира оно што производите је промена топологије. Третирајте то као пројектну одлуку, а не као заобилазни пут са љубазнијим описом.
Када NAT уклони једну опцију
Иза NAT-а излаз преко јавне адресе нестаје, а оно што остаје зависи од понашања фирмвера које не контролишете. То је тренутак да свесно изаберете између надоградње, премештања партнера или прихватања друге облачне крајње тачке. То су три различита буџета, а случајан избор једног је начин на који привремени заобилазни пут постаје архитектура. Запишите избор и његов разлог поред тунела.
Пре него што било шта од овога протумачите, потврдите стање тунела на Google страни и да се IKE једноставно не одбацује успут. Одбачен пакет истиче; он не ствара одбијање.
Шта забележити док ради
Забележите тип идентитета, његову вредност, верзију фирмвера и адресу партнера који су важили када се тунел последњи пут подигао. Ажурирање фирмвера може поново променити подразумевано, и следећи неуспех ће изгледати тачно као неусаглашеност кључа. Када је идентитет сачуван поред кључа и адресе партнера, следећа особа почиње од јефтиних провера.
Тај запис је и једини начин да се зна да ли је заобилазни пут и даље потребан после следеће надоградње.