GCP HA VPN نے FortiGate کو مسترد کر دیا: مقامی ID کی قسم مطابقت نہیں رکھتی
Google صرف پہلے سے مشترکہ کلید نہیں، FortiGate جس شناخت کا دعویٰ کرتا ہے اس کا بھی موازنہ کرتا ہے۔ FQDN مقامی ID اس جانچ میں ناکام ہو جاتی ہے، جبکہ لاگ اب بھی توثیق کہتا ہے۔
Google Cloud HA VPN سے آنے والا AUTHENTICATION_FAILED عام طور پر لوگوں کو پہلے سے مشترکہ کلید کی طرف واپس بھیجتا ہے، اور کلید عام طور پر درست ہوتی ہے۔ سرنگ 1 مرحلے پر رک جاتی ہے کیونکہ Google کچھ اور بھی موازنہ کرتا ہے: وہ شناخت جو ساتھی IKE تبادلے کے دوران دعویٰ کرتا ہے۔ FortiGate پر وہ شناخت بغیر کسی کے پتہ تبدیل کیے قسم بدل سکتی ہے۔ کلید دو بار دوبارہ درج ہونے کے بعد لاگ کو شناخت کی عدم مطابقت کے طور پر پڑھیں۔
ایک ناکامی، دو جانچیں
IKE ساتھی کی تصدیق دو الگ مراحل میں کرتا ہے۔ پہلے سے مشترکہ کلید ثابت کرتی ہے کہ دونوں سروں کے پاس ایک ہی راز ہے، اور دعویٰ شدہ شناخت جواب دہندہ کو بتاتی ہے کہ ساتھی خود کو کون کہتا ہے۔ Google اس شناخت کا موازنہ اس ساتھی سے کرتا ہے جس کے ساتھ اسے ترتیب دیا گیا تھا۔ اکیلا چھوڑ دیے جانے پر FortiGate اپنے خارج ہونے والے انٹرفیس سے ماخوذ پتہ پر مبنی شناخت بھیجتا ہے، اور موازنہ کسی کو معلوم ہوئے بغیر گزر جاتا ہے۔
دونوں مراحل لاگ میں ایک ہی ڈول میں گرتے ہیں، جو اس مانوس چکر کی وضاحت کرتا ہے: شناخت کا پے لوڈ کوئی پڑھے، اس سے پہلے کلید چار بار دوبارہ ٹائپ کرنا۔
FortiGate شناخت کے پے لوڈ میں کیا رکھتا ہے
مشکل تب شروع ہوتی ہے جب کوئی مقامی ID مقرر کرتا ہے تاکہ دونوں فریق متفق ہوں۔ حالیہ FortiOS بلڈ اس شناخت کو مکمل اہل ڈومین نام کے طور پر نشان زد کرتے ہیں، چاہے درج کردہ قدر نقطوں والا پتہ ہو۔ اس لیے Google پتے کی توقع کرتے ہوئے FQDN شناخت وصول کرتا ہے، اور سیشن مسترد کر دیتا ہے۔ پیغام میں یہ نہیں لکھا کہ کون سا نصف ناکام ہوا، اس لیے رپورٹ توثیق کی ناکامی کے طور پر پڑھی جاتی ہے۔
IKE ڈیبگنگ آن کر کے اسے ایک بار دوبارہ پیدا کریں اور وہ شناختی پے لوڈ پڑھیں جو فائر وال واقعی بھیجتا ہے۔
اسی مرحلے میں تین سستے حقائق کی تصدیق کریں: دونوں سروں کا IKE ورژن، نہ دکھنے والے آخری حروف سمیت درست کلید، اور وہ ساتھی پتہ جس کی Google توقع کرتا ہے۔ یہ الگ الگ سوالوں کے جواب دیتے ہیں، اور ملتی ہوئی کلید شناخت کے بارے میں کچھ نہیں کہتی۔
اختیارات، اور ہر ایک کی لاگت
ہر راستہ الگ تہہ درست کرتا ہے، اور کوئی بھی ہر تعیناتی کے لیے دستیاب نہیں۔
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
فائر وال پر شناخت درست کرنا سب سے صاف جواب ہے، جہاں فرم ویئر آپ کو قسم چننے اور قدر برقرار رکھنے دیتا ہے۔ یہ فیلڈ کچھ بلڈز میں ہے اور دیگر میں قسم غلط بھرتا ہے، اس لیے ریلیز نوٹس پر بھروسا کرنے کے بجائے اپنا ورژن آزمائیں۔
بات چیت کرنے والے انٹرفیس پر روٹ ہونے کے قابل عوامی پتہ دستاویزی حل ہے، کیونکہ تب ڈیفالٹ شناخت Google کی توقع سے مطابقت رکھتی ہے اور کسی اوور رائیڈ کی ضرورت نہیں۔ اگر فائر وال ایسا پتہ رکھ سکتا ہو تو زیادہ تر تعیناتیاں یہیں رک جاتی ہیں۔
آپ جو پیدا کرتے ہیں اس کی توثیق کرنے والے ساتھی پر ختم کرنا ٹوپولوجی کی تبدیلی ہے۔ اسے زیادہ نرم وضاحت والے حل کے بجائے ڈیزائن فیصلہ سمجھیں۔
جب NAT ایک اختیار ہٹا دیتا ہے
NAT کے پیچھے عوامی پتے کا راستہ غائب ہو جاتا ہے، اور جو بچتا ہے وہ فرم ویئر کے اس رویے پر منحصر ہے جو آپ کے قابو میں نہیں۔ یہی وہ مقام ہے جہاں اپ گریڈ، ساتھی کو منتقل کرنے یا کسی دوسرے کلاؤڈ اینڈ پوائنٹ کو قبول کرنے کے درمیان سمجھ بوجھ سے انتخاب کرنا چاہیے۔ یہ تین الگ بجٹ ہیں، اور اتفاقاً ایک چن لینا ہی عارضی حل کو معماری بنا دیتا ہے۔ انتخاب اور اس کی وجہ سرنگ کے پاس لکھیں۔
ان میں سے کچھ بھی تفسیر کرنے سے پہلے Google کی جانب سرنگ کی حالت اور یہ تصدیق کریں کہ IKE راستے میں محض گرا نہیں دیا جا رہا۔ گرا ہوا پیکٹ وقت ختم ہونے پر رک جاتا ہے؛ یہ مسترد ہونا پیدا نہیں کرتا۔
جب تک یہ چلتا ہے کیا درج کریں
شناخت کی قسم، اس کی قدر، فرم ویئر ورژن اور ساتھی پتہ درج کریں جو سرنگ کے آخری بار اٹھنے کے وقت نافذ تھے۔ فرم ویئر اپ ڈیٹ ڈیفالٹ کو پھر بدل سکتا ہے، اور اگلی ناکامی بالکل کلید کی عدم مطابقت جیسی نظر آئے گی۔ شناخت کلید اور ساتھی پتے کے پاس محفوظ ہو تو اگلا شخص سستے جائزوں سے شروع کرتا ہے۔
وہ ریکارڈ ہی اگلے اپ گریڈ کے بعد بھی حل کی ضرورت ہے یا نہیں، یہ جاننے کا واحد طریقہ ہے۔