GCP HA VPN FortiGate'i reddediyor: yerel ID türü eşleşmiyor
Google yalnızca önceden paylaşılan anahtarı değil, FortiGate'in beyan ettiği kimliği de karşılaştırır. FQDN türünde yerel ID bu kontrolde başarısız olur, günlük ise hâlâ kimlik doğrulama der.
Google Cloud HA VPN'den gelen AUTHENTICATION_FAILED genellikle insanları önceden paylaşılan anahtara geri gönderir ve anahtar çoğunlukla doğrudur. Tünel 1 aşamada takılır çünkü Google başka bir şeyi de karşılaştırır: eşin IKE değişimi sırasında beyan ettiği kimlik. FortiGate'te bu kimlik, kimse bir adresi düzenlemeden tür değiştirebilir. Anahtar iki kez yeniden girildikten sonra günlüğü kimlik uyuşmazlığı olarak okuyun.
Tek arıza, iki kontrol
IKE bir eşi iki ayrı adımda doğrular. Önceden paylaşılan anahtar iki ucun aynı sırrı taşıdığını kanıtlar, beyan edilen kimlik ise yanıtlayana eşin kendini kim olarak sunduğunu söyler. Google bu kimliği, yapılandırıldığı eşle karşılaştırır. Kendi hâline bırakılan FortiGate, giden arayüzünden türetilen adres tabanlı bir kimlik gönderir ve karşılaştırma kimse fark etmeden geçer.
İki adım da günlükte aynı kovaya düşer; bu da kimlik yükünü kimse okumadan anahtarın dört kez yeniden yazılmasıyla bilinen döngüyü açıklar.
FortiGate kimlik yüküne ne koyar
Sorun, biri iki tarafı uyumlu kılmak için yerel ID ayarladığında başlar. Yeni FortiOS sürümleri, girilen değer noktalı bir adres olsa bile bu kimliği tam nitelikli alan adı olarak işaretler. Bu yüzden Google adres beklerken FQDN kimliği alır ve oturumu reddeder. Mesajda hangi yarının başarısız olduğu yazmaz, bu nedenle rapor kimlik doğrulama hatası olarak okunur.
IKE hata ayıklaması açıkken bunu bir kez yeniden üretin ve güvenlik duvarının gerçekte gönderdiği kimlik yükünü okuyun.
Aynı geçişte üç ucuz gerçeği doğrulayın: iki ucun kullandığı IKE sürümü, görünmez son karakterler dâhil tam anahtar ve Google'ın beklediği eş adresi. Bunlar farklı soruları yanıtlar ve eşleşen bir anahtar kimlik hakkında hiçbir şey söylemez.
Seçenekler ve her birinin maliyeti
Her çıkış farklı bir katmanı onarır ve hiçbiri her kurulum için mevcut değildir.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Kimliği güvenlik duvarında düzeltmek, ürün yazılımının türü seçmenize ve değeri korumanıza izin verdiği yerde en temiz yanıttır. Alan bazı sürümlerde vardır ve bazılarında türü yanlış doldurur, bu yüzden sürüm notlarına güvenmek yerine kendi sürümünüzü test edin.
Müzakere arayüzündeki yönlendirilebilir genel adres, belgelenmiş geçici çözümdür, çünkü o zaman varsayılan kimlik Google'ın beklediğiyle eşleşir ve hiçbir geçersiz kılma gerekmez. Güvenlik duvarı böyle bir adresi hiç tutabiliyorsa çoğu kurulum burada sonlanır.
Ürettiğinizi doğrulayan bir eşte sonlandırmak bir topoloji değişikliğidir. Bunu daha yumuşak bir açıklamaya sahip geçici çözüm değil, tasarım kararı olarak ele alın.
NAT bir seçeneği kaldırdığında
NAT arkasında genel adres çıkışı kaybolur ve geriye kalan, sizin denetlemediğiniz ürün yazılımı davranışına bağlıdır. Bu, yükseltme, eşi taşıma veya başka bir bulut uç noktasını kabul etme arasında bilinçli seçim yapılacak noktadır. Bunlar üç farklı bütçedir ve birini kazara seçmek, geçici bir çözümün mimariye dönüşme biçimidir. Seçimi ve gerekçesini tünelin yanına yazın.
Bunlardan herhangi birini yorumlamadan önce Google tarafındaki tünel durumunu ve IKE'nin yolda öylece düşürülmediğini doğrulayın. Düşürülen paket zaman aşımına uğrar; reddetme üretmez.
Çalışırken ne kaydedilmeli
Tünel en son kalktığında geçerli olan kimlik türünü, değerini, ürün yazılımı sürümünü ve eş adresini not edin. Ürün yazılımı güncellemesi varsayılanı yeniden değiştirebilir ve sonraki arıza tam olarak anahtar uyuşmazlığı gibi görünecektir. Kimlik anahtarın ve eş adresinin yanında saklandığında, sıradaki kişi ucuz kontrollerle başlar.
Bu kayıt, bir sonraki yükseltmeden sonra geçici çözümün hâlâ gerekip gerekmediğini bilmenin tek yoludur.