GCP HA VPN inakataa FortiGate: aina ya ID ya ndani hailingani
Google hulinganisha utambulisho ambao FortiGate inadai, si ufunguo ulioshirikiwa mapema pekee. ID ya ndani ya aina FQDN inashindwa katika ukaguzi huo wakati kumbukumbu bado inasema uthibitishaji.
AUTHENTICATION_FAILED kutoka Google Cloud HA VPN kawaida huwarudisha watu kwenye ufunguo ulioshirikiwa mapema, na ufunguo kwa kawaida huwa sahihi. Handaki inakwama katika awamu 1 kwa sababu Google pia hulinganisha kitu kingine: utambulisho ambao mwenzake anadai wakati wa kubadilishana IKE. Kwenye FortiGate utambulisho huo unaweza kubadilisha aina bila mtu yeyote kuhariri anwani. Soma kumbukumbu kama kutokulingana kwa utambulisho baada ya ufunguo kuingizwa upya mara mbili.
Kushindwa kumoja, ukaguzi mbili
IKE huthibitisha mwenzake katika hatua mbili tofauti. Ufunguo ulioshirikiwa mapema huthibitisha kwamba pande zote zina siri moja, na utambulisho unaodaiwa humwambia anayejibu kuwa mwenzake anajidai kuwa nani. Google hulinganisha utambulisho huo na mwenzake aliyeundwa nao. Ikiachwa yenyewe, FortiGate hutuma utambulisho wa msingi wa anwani unaotokana na kiolesura chake cha kutoka, na ulinganisho hupita bila mtu yeyote kugundua.
Hatua zote mbili huanguka kwenye ndoo moja kwenye kumbukumbu, jambo ambalo hufafanua mzunguko unaojulikana wa kuandika ufunguo upya mara nne kabla mtu yeyote kusoma mzigo wa utambulisho.
FortiGate huweka nini kwenye mzigo wa utambulisho
Tatizo huanza wakati mtu anaweka ID ya ndani ili pande mbili zikubaliane. Matoleo ya hivi karibuni ya FortiOS huweka alama kwenye utambulisho huo kama jina la kikoa lililohitimu kikamilifu hata wakati thamani iliyoandikwa ni anwani yenye nukta. Kwa hiyo Google hupokea utambulisho wa FQDN wakati inatarajia anwani, na hukataa kikao. Hakuna chochote kwenye ujumbe kinachosema nusu ipi ilishindwa, kwa hiyo ripoti husomwa kama kushindwa kwa uthibitishaji.
Izaa tena mara moja ukiwa umeanza utatuzi wa IKE na usome mzigo wa utambulisho ambao ukuta wa moto hutuma kwa kweli.
Katika hatua hiyo hiyo, thibitisha mambo matatu ya bei nafuu: toleo la IKE linalotumiwa na pande zote, ufunguo kamili ikiwa ni pamoja na herufi za mwisho zisizoonekana, na anwani ya mwenzake ambayo Google inatarajia. Yanaswali maswali tofauti, na ufunguo unaolingana hausemi chochote kuhusu utambulisho.
Chaguo, na gharama ya kila kimoja
Kila njia ya kutoka hurekebisha tabaka tofauti, na hakuna moja inayopatikana kwa kila usanidi.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Kurekebisha utambulisho kwenye ukuta wa moto ndiyo jibu safi zaidi pale ambapo firmware inakuruhusu kuchagua aina na kuhifadhi thamani. Sehemu hiyo ipo katika baadhi ya matoleo na hujaza aina vibaya katika mengine, kwa hiyo jaribu toleo lako badala ya kuamini maelezo ya toleo.
Anwani ya umma inayoweza kupitishwa kwenye kiolesura cha mazungumzo ndiyo njia ya kuzunguka iliyoandikwa, kwa sababu wakati huo utambulisho wa chaguo-msingi unalingana na kile Google inatarajia na hakuna ubatilishaji unaohitajika. Huko ndiko usanidi mwingi huishia, ikiwa ukuta wa moto unaweza kushikilia anwani kama hiyo hata kidogo.
Kumaliza kwa mwenzake anayethibitisha kile unachozalisha ni mabadiliko ya topolojia. Ichukulie kama uamuzi wa muundo na si kama njia ya kuzunguka yenye maelezo ya upole zaidi.
Wakati NAT inaondoa chaguo moja
Nyuma ya NAT njia ya anwani ya umma hupotea, na kilichobaki kinategemea tabia ya firmware ambayo huiwezi kudhibiti. Hii ni hatua ya kuchagua kwa dhamiri kati ya kuboresha, kuhamisha mwenzake, au kukubali sehemu nyingine ya mwisho ya wingu. Hizi ni bajeti tatu tofauti, na kuchagua moja kwa bahati ndiyo jinsi suluhisho la muda linakuwa usanifu. Andika uamuzi na sababu yake kando ya handaki.
Kabla ya kufasiri lolote la haya, thibitisha hali ya handaki upande wa Google na kwamba IKE haitupwi tu njiani. Pakiti iliyotupwa huisha kwa muda; haizalishi kukataliwa.
Nini cha kuandika wakati kinafanya kazi
Andika aina ya utambulisho, thamani yake, toleo la firmware na anwani ya mwenzake ambazo zilikuwa halali wakati handaki ilipoibuka mara ya mwisho. Sasisho la firmware linaweza kubadilisha chaguo-msingi tena, na kushindwa kunakofuata kutaonekana sawa kabisa na kutokulingana kwa ufunguo. Utambulisho ukiwa umehifadhiwa kando ya ufunguo na anwani ya mwenzake, mtu anayefuata huanza na ukaguzi wa bei nafuu.
Kumbukumbu hiyo pia ni njia pekee ya kujua ikiwa suluhisho la muda bado linahitajika baada ya sasisho linalofuata.