Cloud VPN నుండి Cisco ASA వరకు: ప్రతిపాదన అసమతౌల్యం తర్వాత పునర్నిర్మాణం

Cloud VPN ప్రతిపాదనను టన్నెల్ ఆబ్జెక్ట్‌లో ఉంచుతుంది, కాబట్టి ASA తో అసమతౌల్యం అంటే దాన్ని మళ్లీ నిర్మించడం. సెలెక్టర్లను నమోదు చేయండి, రెండు దశలను సరిపోల్చండి, పాత SA లను తుడవండి.

దూరపు చివర Cisco ASA ఉన్న Cloud VPN టన్నెల్‌పై NEGOTIATION_FAILURE దాదాపు ఎల్లప్పుడూ ప్రతిపాదన లేదా సెలెక్టర్ల అసమతౌల్యమే, మరియు మొదటి ఉపయోగకరమైన విషయం ఏమిటంటే ఏ సవరణా దాన్ని సరిచేయదు. టన్నెల్ ఆబ్జెక్ట్ సృష్టించే సమయంలో Cloud VPN IKE ప్రతిపాదనను స్థిరపరుస్తుంది. అక్కడికక్కడే అల్గారిథమ్ మార్చడానికి ఫీల్డ్ లేదు, కాబట్టి మరమ్మత్తు అంటే తొలగించి, నమోదు చేసిన ప్రారంభ బిందువుతో మళ్లీ సృష్టించడం. దీన్ని పునర్నిర్మాణంగా పరిగణించండి, అప్పుడు పని ఊహలతో నిండిన మధ్యాహ్నం కాకుండా తనిఖీ జాబితా అవుతుంది.

ఏదైనా తొలగించే ముందు వైఫల్యాన్ని చదవండి

చర్చా వైఫల్యం ఒక దశ సమస్య, మరియు సహచరుడి లాగ్ సాధారణంగా దశను పేర్కొంటుంది. దశ 1 వైఫల్యం అంటే రెండు చివరలు ప్రతిపాదనపై ఏకీభవించలేదు లేదా ఒకరినొకరు ధృవీకరించుకోలేదు. దశ 2 వైఫల్యం అంటే టన్నెల్ పైకి వచ్చింది కానీ రక్షిత సెలెక్టర్లు సరిపోలలేదు. ఇవి వేర్వేరు మరమ్మత్తులు, మరియు ఎవరైనా కాన్ఫిగరేషన్ తాకే ముందు లాగ్ లైన్ తీసుకోవడం విలువైనది.

ఈ వైఫల్యం కొన్ని విషయాలను బయట ఉంచుతుంది. ఇది VPC మార్గం కాదు, టన్నెల్ ఇంటర్‌ఫేస్‌పై ఫైర్‌వాల్ నియమం కాదు, నెట్‌వర్క్ లోపల పేర్ల పరిష్కార లోపం కాదు. వాటి వెంట పరుగెత్తడం ఫలితాన్ని మార్చలేని ఆత్మవిశ్వాస మార్పులను కలిగిస్తుంది, మరియు తుది సరిచేతను ఎవరికి ఆపాదించాలో కష్టమవుతుంది.

రెండు కాన్ఫిగరేషన్లు ఇంకా ఉన్నప్పుడే నమోదు చేయండి

టన్నెల్ తొలగించడానికి అర్ధ నిమిషం పడుతుంది మరియు మీ వద్ద ఉన్న ఏకైక సాక్ష్యం నశిస్తుంది. అంతకు ముందు స్థానిక మరియు దూర సెలెక్టర్లు, సహచరుడి చిరునామా, పంచుకున్న రహస్యం ఎవరి వద్ద ఉంది, మరియు ASA యొక్క crypto map లేదా IKEv2 ప్రొఫైల్ రాయండి. ASA రెండు వేర్వేరు ప్రశ్నలకు సమాధానం ఇస్తుంది: ఏమి కాన్ఫిగర్ చేయబడింది మరియు ఇప్పుడు ఏమి పైన ఉంది:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google వైపు కన్సోల్ సారాంశం బదులు టన్నెల్ ఆబ్జెక్ట్ చదవండి, ఎందుకంటే సహచరుడి చిరునామా మరియు సెలెక్టర్ ఫీల్డ్లే మీరు ఖచ్చితంగా పునరుత్పత్తి చేయాల్సిన విలువలు:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

ఆ విలువలను మొదటి తొలగింపుకు ముందు టికెట్‌లో పెట్టండి. క్రింది పునర్నిర్మాణం పనిచేసేది అదే ఆబ్జెక్టును ఒక ఉద్దేశపూర్వక భేదంతో మళ్లీ సృష్టించగలగడం వల్లనే.

ఒక వైపు చర్చ చేయడానికి నిరాకరించే అల్గారిథమ్‌లు

Cloud VPN సాంప్రదాయ సహచరుడిలా IKEv1 అల్గారిథమ్‌ల శ్రేణి నుండి ఎంచుకోదు. అది ఆశించే సహచరుడి సెట్టింగ్‌లు స్థిరం: ఎన్‌క్రిప్షన్‌కు aes-cbc-128, సమగ్రత మరియు PRF రెండింటికీ sha1-96, Diffie-Hellman సమూహం 2, దశ 1 కు 36,600 సెకన్లు మరియు దశ 2 కు 10,800 సెకన్లు. ASA విధానం సరిగ్గా ఆ సముదాయాన్ని అందించాలి. ASA పై రెండో ప్రతిపాదన ఉన్నా, సరిపోలేది కూడా జాబితాలో ఉంటే హాని లేదు.

IKEv2 రెండు వైపులకు ఎక్కువ స్థలం ఇస్తుంది, కానీ నియమాలు అదే ఆకృతిని నిలబెట్టుకుంటాయి: PFS ఆన్ చేయండి, టన్నెల్ మద్దతిచ్చే DH సమూహాన్ని ఎంచుకోండి, మరియు అసమతౌల్యం స్పష్టంగా కనిపించేంత చిన్నగా ప్రతిపాదనల జాబితాను ఉంచండి. Cloud VPN లో ASA సహచరుడు అంటే స్థిర మార్గనిర్దేశనం కూడా, కాబట్టి రక్షిత ప్రిఫిక్స్‌లను BGP కు వదలకుండా ప్రణాళిక చేసి జాబితా చేయాలి.

మరో తయారీదారు టెంప్లేట్ నుండి కాపీ చేసిన జీవితకాలం ఇక్కడ సాధారణ తప్పు మలుపు. Google ఈ విలువలను తప్పనిసరి సహచరుడి సెట్టింగ్‌లుగా ప్రచురిస్తుంది, కాబట్టి వాటిని సెట్ చేయండి; చిన్న విలువ ASA కోరుకున్న స్థాయి వరకు పైకి చర్చించబడదు.

తొలగించండి, మళ్లీ సృష్టించండి మరియు పాత స్థితిని శుభ్రం చేయండి

గేట్‌వే కాదు, టన్నెల్ తొలగించండి, మరియు Cloud VPN ప్రత్యామ్నాయానికి ఇచ్చే పేరును గమనించండి, ఎందుకంటే పేర్లు కేటాయించబడతాయి, మళ్లీ ఉపయోగించబడవు. నమోదు చేసిన విలువలు మరియు అదే సహచరుడి చిరునామాతో దాన్ని మళ్లీ సృష్టించి, తర్వాత సరిపోలే ప్రతిపాదనను ASA విధాన జాబితాలో చేర్చండి.

ASA మార్పు తర్వాత మరియు ఫలితం చదివే ముందు భద్రతా సంఘాలను శుభ్రం చేయండి. ప్రస్తుత SA ముగిసే వరకు ASA పాత విధానాన్ని అందిస్తూ ఉండవచ్చు, కాబట్టి సరైన కాన్ఫిగరేషన్ పాత జీవితకాలం మొత్తం విరిగినట్లు కనిపిస్తుంది మరియు పర్యవేక్షకుడు పునర్నిర్మాణం ప్రారంభం కాకముందే విఫలమైందని నిర్ణయిస్తాడు:

clear crypto ikev2 sa
clear crypto ipsec sa

దశ 2 చూసే ముందు దశ 1 పైకి వస్తుందని నిర్ధారించుకోండి. దశ 1 క్రింద ఉన్నప్పుడు ప్రతిపాదన లేదా ముందుగా పంచుకున్న కీ తప్పు, మరియు సెలెక్టర్ పని దాన్ని మార్చదు.

సెలెక్టర్లు అద్దంలా సరిపోతాయి, తర్వాత కౌంటర్లు నిర్ణయిస్తాయి

రక్షిత చిరునామాలపై రెండు చివరలు ఏకీభవించినప్పుడే దశ 2 పనిచేస్తుంది, మరియు ఆ ఏకీభావం పంచుకున్నది కాదు, అద్దం రూపం. Google స్థానిక సెలెక్టర్ ASA దూరం అని పిలిచే సెలెక్టర్‌తో సరిపోలాలి, మరియు Google దూర సెలెక్టర్ ASA స్థానికం అని పిలిచేదానితో సరిపోలాలి. ఒక వైపు 0.0.0.0/0 మరియు మరో వైపు ఒకే సబ్‌నెట్ ఉన్న టన్నెల్ దశ 1 దాటి, తర్వాత అదే ప్రధాన లోపంతో దశ 2 లో విఫలమవుతుంది. ఏ వైపు మరో వైపు జాబితాను విస్తరించలేదు.

విధాన ఆధారిత సెలెక్టర్లకు ప్రతి ప్రిఫిక్స్ జతను జాబితా చేసి, జాబితాను టికెట్‌లో ఉంచండి. తర్వాత ప్రాంగణంలో చేర్చే సబ్‌నెట్‌కు రెండు చివరల్లో సవరణ అవసరం, ఎందుకంటే ASA పై కొత్త మార్గం సెలెక్టర్‌ను విస్తరించదు, మరియు ఫలితం పైన ఉన్నా మొదటి రోజు ఉన్న ప్రిఫిక్స్‌లకు మాత్రమే ట్రాఫిక్ పంపే టన్నెల్.

ఒక హోస్ట్ నుండి హోస్ట్‌కు ప్రవాహంతో ముగించి, రెండు వైపులా బైట్ కౌంటర్లను చదవండి. ASA పై పెరిగి Google లో స్థిరంగా ఉండే కౌంటర్లు సాధారణంగా సమాధానం మరో ఇంటర్‌ఫేస్ ద్వారా బయటకు వెళ్తోందని లేదా సెలెక్టర్ తిరిగి వచ్చే ప్రిఫిక్స్‌ను కవర్ చేయడం లేదని అర్థం. అల్గారిథమ్‌లు, జీవితకాలాలు, సెలెక్టర్లు మరియు కొత్త టన్నెల్ పేరును నమోదు చేయండి, ఎందుకంటే తదుపరి ప్రతిపాదన మార్పు ఈ పునర్నిర్మాణాన్ని పునరావృతం చేస్తుంది మరియు ఆ విలువలు దాన్ని చిన్న పనిగా మారుస్తాయి.

సంబంధిత వ్యాసాలు