Cloud VPN'den Cisco ASA'ya: teklif uyuşmazlığından sonra yeniden kurma

Cloud VPN teklifi tünel nesnesine gömer, bu yüzden ASA ile uyuşmazlık yeniden kurma anlamına gelir. Seçicileri kaydedin, iki fazı eşleştirin, eski SA'ları temizleyin.

Diğer uçta Cisco ASA bulunan bir Cloud VPN tünelinde NEGOTIATION_FAILURE neredeyse her zaman bir teklif veya seçici uyuşmazlığıdır ve ilk yararlı gerçek hiçbir düzenlemenin bunu düzeltmeyeceğidir. Cloud VPN, IKE teklifini tünel nesnesi oluşturulurken sabitler. Algoritmayı yerinde değiştirecek bir alan yok, bu yüzden onarım silme ve kaydedilmiş bir başlangıç noktasıyla yeniden oluşturmadır. Buna yeniden kurma olarak bakın, iş tahminlerle dolu bir öğleden sonra yerine bir kontrol listesi olur.

Herhangi bir şeyi silmeden önce hatayı okuyun

Müzakere hatası bir faz sorunudur ve karşı tarafın günlüğü genellikle fazı adlandırır. Faz 1'in başarısız olması, uçların bir teklif üzerinde anlaşamadığı veya birbirini doğrulayamadığı anlamına gelir. Faz 2'nin başarısız olması, tünelin ayağa kalktığı ancak korunan seçicilerin eşleşmediği anlamına gelir. Bunlar farklı onarımlardır ve günlük satırını birisi yapılandırmaya dokunmadan önce çıkarmaya değer.

Hata ayrıca bazı şeyleri eler. Bu bir VPC yolu değil, tünel arayüzünde bir güvenlik duvarı kuralı değil ve ağ içinde bir ad çözümleme arızası değil. Bunların peşinden gitmek, sonucu değiştiremeyecek kendinden emin değişiklikler üretir ve nihai düzeltmenin kime ait olduğunu belirlemeyi zorlaştırır.

Her iki yapılandırmayı da hâlâ varken kaydedin

Bir tüneli silmek yarım dakika sürer ve elinizdeki tek kanıtı yok eder. Ondan önce yerel ve uzak seçicileri, karşı taraf adresini, paylaşılan sırrın kimde olduğunu ve ASA'nın crypto map veya IKEv2 profilini yazın. ASA iki ayrı soruyu yanıtlar: ne yapılandırılmış ve şu anda ne ayakta:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google tarafında konsol özeti yerine tünel nesnesini okuyun, çünkü karşı taraf adresi ve seçici alanları tam olarak yeniden üretmeniz gereken değerlerdir:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Bu değerleri ilk silmeden önce kayda yazın. Aşağıdaki yeniden kurma yalnızca aynı nesneyi tek bir kasıtlı farkla yeniden oluşturabildiğiniz için çalışır.

Bir tarafın müzakere etmeyi reddettiği algoritmalar

Cloud VPN geleneksel bir karşı taraf gibi IKEv1 algoritma aralığından seçim yapmaz. Beklediği karşı taraf ayarları sabittir: şifreleme için aes-cbc-128, hem bütünlük hem PRF için sha1-96, Diffie-Hellman grubu 2, faz 1 için 36,600 saniye ve faz 2 için 10,800 saniye. ASA politikası tam olarak bu kümeyi sunmalıdır. ASA'da ikinci bir teklif, eşleşen de listede olduğu sürece zarar vermez.

IKEv2 iki tarafa daha fazla alan tanır, ancak kurallar aynı biçimi korur: PFS'yi açın, tünelin desteklediği bir DH grubu seçin ve teklif listesini uyuşmazlık belirgin olacak kadar kısa tutun. Cloud VPN'de ASA karşı tarafı statik yönlendirme anlamına da gelir, bu yüzden korunan önekler BGP'ye bırakılmak yerine planlanmalı ve listelenmelidir.

Başka bir üreticinin şablonundan kopyalanan ömür burada olağan yanlış dönüştür. Google bu değerleri zorunlu karşı taraf ayarları olarak yayımlar, bu yüzden bunları ayarlayın; daha kısa bir değer ASA'nın istediği düzeye kadar yukarı müzakere edilmez.

Silin, yeniden oluşturun ve eski durumu temizleyin

Geçidi değil tüneli silin ve Cloud VPN'in yedeğe verdiği adı not edin, çünkü adlar atanır ve yeniden kullanılmaz. Kaydedilen değerlerle ve aynı karşı taraf adresiyle yeniden oluşturun, ardından eşleşen teklifi ASA politika listesine ekleyin.

ASA değişikliğinden sonra ve sonucu okumadan önce güvenlik birlikteliklerini temizleyin. Bir ASA, mevcut SA sona erene kadar eski bir politikayı sunmaya devam edebilir, bu yüzden doğru bir yapılandırma eski ömrün tamamı boyunca bozuk görünür ve gözlemci yeniden kurmanın başlamadığı halde başarısız olduğu sonucuna varır:

clear crypto ikev2 sa
clear crypto ipsec sa

Faz 2'ye bakmadan önce faz 1'in ayağa kalktığını doğrulayın. Faz 1 aşağıdayken teklif veya önceden paylaşılan anahtar yanlıştır ve seçici çalışması bunu değiştirmez.

Seçiciler ayna gibi eşleşir, sonra sayaçlar karar verir

Faz 2 yalnızca iki uç korunan adresler üzerinde anlaştığında çalışır ve anlaşma paylaşılan değil aynasaldır. Google'ın yerel seçicisi ASA'nın uzak dediği seçiciyle eşleşmelidir ve Google'ın uzak seçicisi ASA'nın yerel dediğiyle eşleşmelidir. Bir yanında 0.0.0.0/0, diğerinde tek bir alt ağ bulunan bir tünel faz 1'i geçer ve ardından aynı ana hatayla faz 2'de başarısız olur. Hiçbir taraf diğerinin listesini genişletemez.

Politika tabanlı seçiciler için her önek çiftini listeleyin ve listeyi kayıtta tutun. Daha sonra sahada eklenen bir alt ağ iki uçta da düzenleme gerektirir, çünkü ASA'daki yeni bir yol bir seçiciyi genişletmez ve sonuç, ayakta olan ancak yalnızca ilk gün var olan önekler için trafik geçiren bir tüneldir.

Tek bir ana bilgisayardan ana bilgisayara akışla bitirin ve iki taraftaki bayt sayaçlarını okuyun. ASA'da artarken Google'da düz kalan sayaçlar genellikle yanıtın başka bir arayüzden çıktığı veya seçicinin dönüş önekini kapsamadığı anlamına gelir. Algoritmaları, ömürleri, seçicileri ve yeni tünel adını kaydedin, çünkü bir sonraki teklif değişikliği bu yeniden kurmayı tekrarlar ve o değerler onu kısa bir işe dönüştürür.

İlgili makaleler