Cloud VPN முதல் Cisco ASA வரை: முன்மொழிவு பொருந்தாமையின் பின் மறுகட்டமைப்பு

எதிர்முனையில் Cisco ASA உள்ள Cloud VPN சுரங்கப்பாதையில் NEGOTIATION_FAILURE என்பது கிட்டத்தட்ட எப்போதும் முன்மொழிவு அல்லது தேர்விகளின் பொருந்தாமையே, மேலும் முதல் பயனுள்ள உண்மை என்னவென்றால் எந்தத் திருத்தமும் அதைச் சரிசெய்யாது. சுரங்கப்பாதை பொருள் உருவாக்கப்படும்போது Cloud VPN IKE முன்மொழிவை நிலைநிறுத்துகிறது. அல்காரிதத்தை அதே இடத்தில் மாற்ற ஒரு புலமும் இல்லை, எனவே சரிசெய்தல் என்பது அழித்து, பதிவு செய்யப்பட்ட தொடக்கப் புள்ளியுடன் மீண்டும் உருவாக்குவது. இதை மறுகட்டமைப்பாகக் கருதுங்கள், அப்போது வேலை ஊகங்கள் நிறைந்த மதியமாக இல்லாமல் சரிபார்ப்புப் பட்டியலாக மாறும்.

எதையும் அழிப்பதற்கு முன் தோல்வியைப் படியுங்கள்

பேச்சுவார்த்தைத் தோல்வி ஒரு கட்டப் பிரச்சினை, மேலும் சகாவின் பதிவு பொதுவாகக் கட்டத்தைக் குறிப்பிடும். கட்டம் 1 தோல்வியடைவது என்பது இரு முனைகளும் முன்மொழிவில் உடன்படவில்லை அல்லது ஒருவரையொருவர் அங்கீகரிக்க முடியவில்லை என்பதாகும். கட்டம் 2 தோல்வியடைவது என்பது சுரங்கப்பாதை எழுந்தது ஆனால் பாதுகாக்கப்பட்ட தேர்விகள் பொருந்தவில்லை என்பதாகும். இவை வெவ்வேறு சரிசெய்தல்கள், மேலும் யாரும் உள்ளமைவைத் தொடுவதற்கு முன் பதிவு வரியை எடுத்துக்கொள்வது மதிப்புள்ளது.

இந்தத் தோல்வி சில விஷயங்களை விலக்குகிறது. இது VPC வழி அல்ல, சுரங்கப்பாதை இடைமுகத்தில் உள்ள ஃபயர்வால் விதி அல்ல, வலையமைப்புக்குள் உள்ள பெயர்த் தீர்வுப் பிழையும் அல்ல. அவற்றைத் துரத்துவது முடிவை மாற்ற முடியாத தன்னம்பிக்கையான மாற்றங்களை உருவாக்கி, இறுதித் திருத்தத்தை யாருக்கு எழுதுவது என்பதைக் கடினமாக்குகிறது.

இரு உள்ளமைவுகளும் இன்னும் இருக்கும்போதே பதிவு செய்யுங்கள்

சுரங்கப்பாதையை அழிக்க அரை நிமிடம் ஆகும், உங்களிடம் இருந்த ஒரே சான்று அழியும். அதற்கு முன் உள்ளூர் மற்றும் தொலைத் தேர்விகள், சகாவின் முகவரி, பகிர்ந்த ரகசியம் யாரிடம் உள்ளது, மற்றும் ASA-வின் crypto map அல்லது IKEv2 சுயவிவரம் ஆகியவற்றை எழுதுங்கள். ASA இரண்டு தனித்துவமான கேள்விகளுக்குப் பதிலளிக்கிறது: எது உள்ளமைக்கப்பட்டுள்ளது, இப்போது எது மேலே உள்ளது:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google பக்கத்தில் கன்சோல் சுருக்கத்திற்குப் பதிலாக சுரங்கப்பாதை பொருளைப் படியுங்கள், ஏனெனில் சகாவின் முகவரியும் தேர்விப் புலங்களும் நீங்கள் துல்லியமாக மீண்டும் உருவாக்க வேண்டிய மதிப்புகள்:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

அந்த மதிப்புகளை முதல் அழிப்புக்கு முன் டிக்கெட்டில் எழுதுங்கள். கீழே உள்ள மறுகட்டமைப்பு, அதே பொருளை ஒரு வேண்டுமென்ற வேறுபாட்டுடன் மீண்டும் உருவாக்க முடிவதால் மட்டுமே வேலை செய்கிறது.

ஒரு பக்கம் பேச்சுவார்த்தை செய்ய மறுக்கும் அல்காரிதங்கள்

Cloud VPN பாரம்பரிய சகா போல IKEv1 அல்காரிதங்களின் வரிசையிலிருந்து தேர்ந்தெடுக்கவில்லை. அது எதிர்பார்க்கும் சகா அமைப்புகள் நிலையானவை: மறையாக்கத்திற்கு aes-cbc-128, ஒருமைப்பாடு மற்றும் PRF இரண்டிற்கும் sha1-96, Diffie-Hellman குழு 2, கட்டம் 1-க்கு 36,600 வினாடிகள் மற்றும் கட்டம் 2-க்கு 10,800 வினாடிகள். ASA கொள்கை அதே தொகுப்பைச் சரியாக வழங்க வேண்டும். ASA-வில் இரண்டாவது முன்மொழிவு இருந்தாலும், பொருந்துவதும் பட்டியலில் இருந்தால் தீங்கு இல்லை.

IKEv2 இரு பக்கங்களுக்கும் அதிக இடம் தருகிறது, ஆனால் விதிகள் அதே வடிவத்தைத் தக்கவைக்கின்றன: PFS-ஐ இயக்குங்கள், சுரங்கப்பாதை ஆதரிக்கும் DH குழுவைத் தேர்ந்தெடுங்கள், பொருந்தாமை தெளிவாகத் தெரியுமளவுக்கு முன்மொழிவுப் பட்டியலைச் சுருக்கமாக வைத்திருங்கள். Cloud VPN-இல் ASA சகா என்பது நிலையான வழியமைப்பும் ஆகும், எனவே பாதுகாக்கப்பட்ட முன்னொட்டுகள் BGP-க்கு விடப்படாமல் திட்டமிட்டு பட்டியலிடப்பட வேண்டும்.

மற்றொரு உற்பத்தியாளரின் டெம்ப்ளேட்டிலிருந்து நகலெடுத்த ஆயுட்காலம் இங்கு வழக்கமான தவறான திருப்பம். Google இந்த மதிப்புகளைக் கட்டாய சகா அமைப்புகளாக வெளியிடுகிறது, எனவே அவற்றை அமையுங்கள்; குறைந்த மதிப்பு ASA விரும்புவதுவரை மேல்நோக்கிப் பேச்சுவார்த்தை செய்யப்படுவதில்லை.

அழியுங்கள், மீண்டும் உருவாக்குங்கள், பழைய நிலையைச் சுத்தம் செய்யுங்கள்

நுழைவாயிலை அல்ல, சுரங்கப்பாதையை அழியுங்கள், மேலும் Cloud VPN மாற்றுக்கு வழங்கும் பெயரைக் குறித்துக்கொள்ளுங்கள், ஏனெனில் பெயர்கள் ஒதுக்கப்படுகின்றன, மீண்டும் பயன்படுத்தப்படுவதில்லை. பதிவு செய்யப்பட்ட மதிப்புகள் மற்றும் அதே சகா முகவரியுடன் அதை மீண்டும் உருவாக்கி, பின்னர் பொருந்தும் முன்மொழிவை ASA கொள்கைப் பட்டியலில் சேர்க்கவும்.

ASA மாற்றத்திற்குப் பின், முடிவைப் படிப்பதற்கு முன் பாதுகாப்புச் சங்கங்களைச் சுத்தம் செய்யுங்கள். தற்போதைய SA முடியும் வரை ASA பழைய கொள்கையைத் தொடர்ந்து வழங்கக்கூடும், எனவே சரியான உள்ளமைவு பழைய ஆயுட்காலம் முழுவதும் உடைந்ததாகத் தெரியும், கண்காணிப்பாளர் மறுகட்டமைப்பு தொடங்காமலேயே தோல்வியடைந்ததாக முடிவு செய்வார்:

clear crypto ikev2 sa
clear crypto ipsec sa

கட்டம் 2-ஐப் பார்ப்பதற்கு முன் கட்டம் 1 எழுகிறது என்பதை உறுதி செய்யுங்கள். கட்டம் 1 கீழே இருக்கும்போது முன்மொழிவு அல்லது முன்பகிர்ந்த விசை தவறானது, தேர்வி வேலை அதை மாற்றாது.

தேர்விகள் கண்ணாடிபோலப் பொருந்துகின்றன, பின்னர் எண்ணிகள் முடிவு செய்கின்றன

பாதுகாக்கப்பட்ட முகவரிகள் குறித்து இரு முனைகளும் உடன்படும்போது மட்டுமே கட்டம் 2 வேலை செய்கிறது, அந்த உடன்பாடு பகிர்வன்று, கண்ணாடி வடிவம். Google-இன் உள்ளூர் தேர்வி ASA தொலை என அழைக்கும் தேர்வியுடன் பொருந்த வேண்டும், Google-இன் தொலைத் தேர்வி ASA உள்ளூர் என அழைப்பதுடன் பொருந்த வேண்டும். ஒரு பக்கம் 0.0.0.0/0, மறுபக்கம் ஒரே துணைவலை கொண்ட சுரங்கப்பாதை கட்டம் 1-ஐக் கடந்து பின்னர் அதே முதன்மைப் பிழையுடன் கட்டம் 2-இல் தோல்வியடையும். எந்தப் பக்கமும் மற்றதன் பட்டியலை விரிவாக்க முடியாது.

கொள்கை அடிப்படையிலான தேர்விகளுக்கு, ஒவ்வொரு முன்னொட்டு இணையையும் பட்டியலிட்டு, பட்டியலை டிக்கெட்டில் வைத்திருங்கள். பின்னர் தளத்தில் சேர்க்கப்படும் துணைவலை இரண்டு முனைகளிலும் திருத்தம் தேவைப்படும், ஏனெனில் ASA-வில் புதிய வழி தேர்வியை விரிவாக்காது, மேலும் முடிவு மேலே இருக்கும் ஆனால் முதல் நாளில் இருந்த முன்னொட்டுகளுக்கு மட்டுமே போக்குவரத்தைக் கடத்தும் சுரங்கப்பாதையாகும்.

ஒரு புரவலன்-முதல்-புரவலன் ஓட்டத்துடன் முடித்து இரு பக்கங்களிலும் பைட் எண்ணிகளைப் படியுங்கள். ASA-வில் உயர்ந்து Google-இல் தட்டையாக இருக்கும் எண்ணிகள் பொதுவாகப் பதில் வேறு இடைமுகத்தின் வழியாக வெளியேறுகிறது அல்லது தேர்வி திரும்பும் முன்னொட்டை மூடவில்லை என்பதைக் குறிக்கும். அல்காரிதங்கள், ஆயுட்காலங்கள், தேர்விகள் மற்றும் புதிய சுரங்கப்பாதைப் பெயரைப் பதிவு செய்யுங்கள், ஏனெனில் அடுத்த முன்மொழிவு மாற்றம் இந்த மறுகட்டமைப்பை மீண்டும் செய்யும், அந்த மதிப்புகள் அதைச் சிறிய வேலையாக்கும்.