Cloud VPN kuelekea Cisco ASA: kujenga upya baada ya kutokubaliana kwa pendekezo

NEGOTIATION_FAILURE kwenye handaki la Cloud VPN lenye Cisco ASA upande wa pili ni karibu kila mara kutokubaliana kwa pendekezo au vichaguzi, na ukweli wa kwanza wenye manufaa ni kwamba hakuna uhariri utakaorekebisha hilo. Cloud VPN hufunga pendekezo la IKE wakati kitu cha handaki kinaundwa. Hakuna sehemu ya kubadilisha algoriti mahali hapo, kwa hivyo ukarabati ni kufuta na kuunda upya ukiwa na mahali pa kuanzia paliporekodiwa. Ichukulie kama ujenzi upya na kazi inakuwa orodha ya ukaguzi badala ya mchana wa kubahatisha.

Soma hitilafu kabla ya kufuta chochote

Hitilafu ya majadiliano ni tatizo la awamu, na kumbukumbu ya mwenzake kwa kawaida hutaja awamu. Awamu 1 kushindwa humaanisha kwamba pande mbili hazikuweza kukubaliana juu ya pendekezo au hazikuweza kuthibitisha utambulisho wa kila mmoja. Awamu 2 kushindwa humaanisha kwamba handaki liliinuka lakini vichaguzi vilivyolindwa havikulingana. Hizi ni ukarabati tofauti, na mstari wa kumbukumbu unafaa kutolewa kabla mtu yeyote kugusa usanidi.

Hitilafu pia huondoa mambo kadhaa. Hii si njia ya VPC, si kanuni ya firewall kwenye kiolesura cha handaki, na si hitilafu ya utatuzi wa majina ndani ya mtandao. Kuwafukuza huzalisha mabadiliko ya kujiamini ambayo hayawezi kubadilisha matokeo, na hufanya marekebisho ya mwisho kuwa magumu kuhusishwa.

Nasa usanidi wote wawili wakati bado upo

Kufuta handaki huchukua nusu dakika na huharibu ushahidi pekee uliokuwa nao. Kabla ya hapo, andika vichaguzi vya ndani na vya mbali, anwani ya mwenzake, nani anamiliki siri iliyoshirikiwa, na crypto map au wasifu wa IKEv2 wa ASA. ASA hujibu maswali mawili tofauti: ni nini kimeundwa na ni nini kiko juu sasa hivi:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Upande wa Google, soma kitu cha handaki badala ya muhtasari wa konsoli, kwa sababu anwani ya mwenzake na sehemu za kichaguzi ni thamani ambazo lazima uzizalishie upya kwa usahihi:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Weka thamani hizo kwenye tiketi kabla ya kufuta mara ya kwanza. Ujenzi upya ulio hapa chini hufanya kazi kwa sababu tu unaweza kuunda upya kitu kilekile kwa tofauti moja ya makusudi.

Algoriti ambazo upande mmoja hukataa kujadiliana

Cloud VPN haichagui kutoka anuwai ya algoriti za IKEv1 kama mwenzake wa jadi. Mipangilio ya mwenzake inayotarajia ni thabiti: aes-cbc-128 kwa usimbaji fiche, sha1-96 kwa uadilifu na PRF, kikundi cha Diffie-Hellman 2, sekunde 36,600 kwa awamu 1 na sekunde 10,800 kwa awamu 2. Sera ya ASA lazima itoe seti hiyo hasa. Pendekezo la pili kwenye ASA haliathiri chochote mradi lile linalolingana pia liko kwenye orodha.

IKEv2 huwapa pande zote nafasi zaidi, lakini kanuni hubaki na umbo lilelile: washa PFS, chagua kikundi cha DH ambacho handaki linasaidia, na uweke orodha ya mapendekezo fupi vya kutosha ili kutokubaliana kuwe wazi. Mwenzake wa ASA kwenye Cloud VPN pia humaanisha uelekezaji tuli, kwa hivyo viambishi vilivyolindwa lazima vipangwe na kuorodheshwa badala ya kuachwa kwa BGP.

Muda wa maisha ulionakiliwa kutoka kiolezo cha msambazaji mwingine ndio zamu mbaya ya kawaida hapa. Google huchapisha thamani hizi kama mipangilio ya lazima ya mwenzake, kwa hivyo ziweke; thamani fupi zaidi haijadiliwi juu hadi kile ASA inachotaka.

Futa, unda upya na safisha hali ya zamani

Futa handaki, si lango, na andika jina ambalo Cloud VPN hulipa mbadala, kwa sababu majina hupewa na hayatumiki tena. Liunde upya ukiwa na thamani zilizorekodiwa na anwani ileile ya mwenzake, kisha ongeza pendekezo linalolingana kwenye orodha ya sera za ASA.

Safisha vyama vya usalama baada ya mabadiliko kwenye ASA na kabla ya kusoma matokeo. ASA inaweza kuendelea kutoa sera ya zamani hadi SA ya sasa iishe, kwa hivyo usanidi sahihi huonekana umevunjika kwa muda wote wa maisha ya zamani na mwangalizi huhitimisha kwamba ujenzi upya ulishindikana wakati haukuwa umeanza:

clear crypto ikev2 sa
clear crypto ipsec sa

Thibitisha kwamba awamu 1 inainuka kabla ya kuangalia awamu 2. Wakati awamu 1 iko chini, pendekezo au ufunguo ulioshirikiwa mapema ni mbaya, na kazi ya vichaguzi haitabadilisha hilo.

Vichaguzi huakisi, kisha vihesabu huamua

Awamu 2 hufanya kazi tu wakati pande zote mbili zinakubaliana juu ya anwani zinazolindwa, na makubaliano ni ya kioo na si ya pamoja. Kichaguzi cha ndani cha Google lazima kilingane na kichaguzi ambacho ASA hukiita cha mbali, na kichaguzi cha mbali cha Google na kile ambacho ASA hukiita cha ndani. Handaki lenye 0.0.0.0/0 upande mmoja na subnet moja upande mwingine hupita awamu 1 kisha hushindwa awamu 2 kwa hitilafu ileile kuu. Hakuna upande unaoweza kupanua orodha ya mwingine.

Kwa vichaguzi vinavyotegemea sera, orodhesha kila jozi ya kiambishi na uweke orodha kwenye tiketi. Subnet inayoongezwa baadaye kwenye eneo husika inahitaji uhariri pande zote mbili, kwa sababu njia mpya kwenye ASA haipanui kichaguzi, na matokeo ni handaki ambalo liko juu na hupitisha trafiki kwa viambishi vilivyokuwepo siku ya kwanza pekee.

Maliza kwa mtiririko mmoja wa mwenyeji-hadi-mwenyeji na soma vihesabu vya baiti pande zote mbili. Vihesabu vinavyoongezeka kwenye ASA huku vikibaki tulivu kwenye Google kwa kawaida humaanisha kwamba jibu linatoka kupitia kiolesura kingine, au kwamba kichaguzi hakifuniki kiambishi cha kurudi. Andika algoriti, muda wa maisha, vichaguzi na jina jipya la handaki, kwa sababu mabadiliko ya pendekezo yajayo hurudia ujenzi upya huu na thamani hizo huufanya kazi fupi.