GCP HA VPN FortiGate-ஐ நிராகரிக்கிறது: உள்ளூர் ID வகை பொருந்தவில்லை
Google முன்-பங்கிடப்பட்ட விசையை மட்டுமல்ல, FortiGate கூறும் அடையாளத்தையும் ஒப்பிடுகிறது. FQDN உள்ளூர் ID அந்தச் சரிபார்ப்பில் தோல்வியடைகிறது, ஆனால் பதிவு இன்னும் அங்கீகாரம் என்று கூறுகிறது.
Google Cloud HA VPN-இல் இருந்து வரும் AUTHENTICATION_FAILED பொதுவாக மக்களை முன்-பங்கிடப்பட்ட விசைக்குத் திருப்பி அனுப்புகிறது, விசை பொதுவாக சரியாகவே இருக்கும். சுரங்கப்பாதை 1 கட்டத்தில் நிற்கிறது, ஏனெனில் Google வேறு ஒன்றையும் ஒப்பிடுகிறது: IKE பரிமாற்றத்தின் போது துணைவர் கூறும் அடையாளம். FortiGate-இல் யாரும் முகவரியைத் திருத்தாமலே அந்த அடையாளம் வகையை மாற்றலாம். விசையை இரண்டு முறை மீண்டும் உள்ளிட்ட பிறகு பதிவை அடையாளப் பொருந்தாமை என்று படியுங்கள்.
ஒரு தோல்வி, இரண்டு சரிபார்ப்பு
IKE துணைவரை இரண்டு தனித்தனி படிகளில் சரிபார்க்கிறது. முன்-பங்கிடப்பட்ட விசை இரு முனைகளும் ஒரே ரகசியத்தை வைத்திருப்பதை நிரூபிக்கிறது, கூறப்பட்ட அடையாளம் பதிலளிப்பவருக்கு துணைவர் தன்னை யார் என்று சொல்கிறார் என்பதைத் தெரிவிக்கிறது. Google அந்த அடையாளத்தை அது உள்ளமைக்கப்பட்ட துணைவருடன் ஒப்பிடுகிறது. தனியாக விடப்பட்டால், FortiGate தன் வெளிச்செல் இடைமுகத்திலிருந்து பெறப்பட்ட முகவரி அடிப்படையிலான அடையாளத்தை அனுப்புகிறது, ஒப்பீடு யாரும் கவனிக்காமல் கடக்கிறது.
இரு படிகளும் பதிவில் ஒரே வாளியில் விழுகின்றன, இது அடையாள சுமையை யாரும் படிக்கும் முன் விசையை நான்கு முறை மீண்டும் தட்டச்சு செய்யும் பரிச்சயமான சுழற்சியை விளக்குகிறது.
FortiGate அடையாள சுமையில் என்ன வைக்கிறது
சிக்கல் தொடங்குவது யாராவது உள்ளூர் ID அமைக்கும்போது, இரு பக்கமும் ஒத்துக்கொள்ள. சமீபத்திய FortiOS பதிப்புகள் அந்த அடையாளத்தை முழுமையாகத் தகுதிபெற்ற களப் பெயராகக் குறிக்கின்றன, உள்ளிட்ட மதிப்பு புள்ளிகளுடைய முகவரியாக இருந்தாலும். எனவே Google முகவரியை எதிர்பார்க்கும்போது FQDN அடையாளத்தைப் பெறுகிறது, அமர்வை நிராகரிக்கிறது. செய்தியில் எந்தப் பாதி தோல்வியடைந்தது என்று இல்லை, எனவே அறிக்கை அங்கீகாரத் தோல்வியாகப் படிக்கப்படுகிறது.
IKE பிழைத்திருத்தத்தை இயக்கி இதை ஒரு முறை மீண்டும் உருவாக்கி, தீச்சுவர் உண்மையில் அனுப்பும் அடையாள சுமையைப் படியுங்கள்.
அதே சுற்றில் மூன்று மலிவான உண்மைகளை உறுதிப்படுத்துங்கள்: இரு முனைகளும் பயன்படுத்தும் IKE பதிப்பு, கண்ணுக்குத் தெரியாத இறுதி எழுத்துகள் உட்பட சரியான விசை, மற்றும் Google எதிர்பார்க்கும் துணைவர் முகவரி. அவை வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, பொருந்தும் விசை அடையாளத்தைப் பற்றி எதுவும் சொல்லாது.
விருப்பங்கள், மற்றும் ஒவ்வொன்றின் விலை
ஒவ்வொரு வெளியேற்றமும் வெவ்வேறு அடுக்கைச் சரிசெய்கிறது, எதுவும் அனைத்து நிறுவல்களுக்கும் கிடைக்கவில்லை.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
தீச்சுவரில் அடையாளத்தைச் சரிசெய்வது மிகத் தெளிவான பதில், ஃபேர்ம்வேர் வகையைத் தேர்ந்தெடுத்து மதிப்பை வைத்திருக்க அனுமதிக்கும்போது. புலம் சில பதிப்புகளில் உள்ளது, மற்றவற்றில் வகையைத் தவறாக நிரப்புகிறது, எனவே வெளியீட்டுக் குறிப்புகளை நம்பாமல் உங்கள் பதிப்பைச் சோதியுங்கள்.
பேச்சு இடைமுகத்தில் வழிமாற்றக்கூடிய பொது முகவரி ஆவணப்படுத்தப்பட்ட தீர்வு, ஏனெனில் அப்போது இயல்புநிலை அடையாளம் Google எதிர்பார்ப்பதுடன் பொருந்துகிறது, மேலெழுதல் தேவையில்லை. தீச்சுவர் அத்தகைய முகவரியை வைத்திருக்க முடிந்தால் பெரும்பாலான நிறுவல்கள் இங்கேயே முடிகின்றன.
நீங்கள் உருவாக்குவதைச் சரிபார்க்கும் துணைவரில் முடிப்பது ஒரு இடவியல் மாற்றம். அதை மென்மையான விளக்கமுள்ள தீர்வாக அல்ல, வடிவமைப்பு முடிவாகக் கருதுங்கள்.
NAT ஒரு விருப்பத்தை நீக்கும்போது
NAT-க்குப் பின்னால் பொது-முகவரி வெளியேற்றம் மறைகிறது, மீதமிருப்பது நீங்கள் கட்டுப்படுத்தாத ஃபேர்ம்வேர் நடத்தையைச் சார்ந்தது. மேம்படுத்துதல், துணைவரை இடமாற்றுதல் அல்லது வேறு மேக முடிவுப் புள்ளியை ஏற்றுக்கொள்வது ஆகியவற்றுக்கிடையே வேண்டுமென்றே தேர்ந்தெடுக்க வேண்டிய இடம் இதுவே. இவை மூன்று வெவ்வேறு பட்ஜெட்டுகள், ஒன்றைத் தற்செயலாகத் தேர்ந்தெடுப்பதே தற்காலிகத் தீர்வைக் கட்டமைப்பாக மாற்றுகிறது. தேர்வையும் அதன் காரணத்தையும் சுரங்கப்பாதைக்கு அருகில் எழுதுங்கள்.
இவற்றில் எதையும் விளக்குவதற்கு முன், Google பக்கத்தில் சுரங்கப்பாதையின் நிலையையும் IKE வழியில் வெறுமனே தூக்கி எறியப்படவில்லை என்பதையும் உறுதிப்படுத்துங்கள். தூக்கி எறியப்பட்ட பாக்கெட் நேரம் முடிந்து நிற்கிறது; அது நிராகரிப்பை உருவாக்காது.
அது வேலை செய்யும்போது என்ன பதிவு செய்ய வேண்டும்
சுரங்கப்பாதை கடைசியாக மேலெழுந்தபோது நடைமுறையில் இருந்த அடையாள வகை, அதன் மதிப்பு, ஃபேர்ம்வேர் பதிப்பு மற்றும் துணைவர் முகவரியைப் பதிவு செய்யுங்கள். ஃபேர்ம்வேர் புதுப்பிப்பு இயல்புநிலையை மீண்டும் மாற்றலாம், அடுத்த தோல்வி சரியாக விசைப் பொருந்தாமை போலவே தெரியும். அடையாளம் விசைக்கும் துணைவர் முகவரிக்கும் அருகில் சேமிக்கப்பட்டால், அடுத்த நபர் மலிவான சரிபார்ப்புகளில் இருந்து தொடங்குகிறார்.
அந்தப் பதிவே அடுத்த மேம்பாட்டுக்குப் பிறகும் தீர்வு தேவையா என்பதை அறியும் ஒரே வழி.