Cloud VPN'dan Cisco ASA'ga: taklif mos kelmasa, qayta qurish

Cisco ASA uzoq uchida bo'lgan Cloud VPN tunnelida NEGOTIATION_FAILURE deyarli har doim taklif yoki selektorlarning mos kelmasligi bo'lib, birinchi foydali fakt shundaki, hech qanday tahrir buni tuzatmaydi. Cloud VPN IKE taklifini tunnel obyekti yaratilganda qotib qo'yadi. Algoritmni joyida o'zgartirish uchun maydon yo'q, shuning uchun tuzatish o'chirish va yozib olingan boshlang'ich nuqta bilan qayta yaratishdir. Buni qayta qurish deb qabul qiling, shunda ish taxminlarga to'la yarim kundan ko'ra tekshiruv ro'yxatiga aylanadi.

Biror narsani o'chirishdan oldin xatoni o'qing

Muzokaradagi xato faza muammosi, hamkor jurnali odatda fazani aytadi. 1-faza muvaffaqiyatsiz bo'lsa, tomonlar taklif bo'yicha kelisha olmagan yoki bir-birini autentifikatsiya qila olmagan. 2-faza muvaffaqiyatsiz bo'lsa, tunnel ko'tarilgan, lekin himoyalangan selektorlar mos kelmagan. Bu turli tuzatishlar, va kimdir konfiguratsiyaga tegishdan oldin jurnal satrini olib qo'yish arziydi.

Xato ba'zi narsalarni ham istisno qiladi. Bu VPC yo'nalishi emas, tunnel interfeysidagi firewall qoidasi emas va tarmoq ichidagi nomlarni hal qilish xatosi emas. Ularning orqasidan quvish natijani o'zgartira olmaydigan ishonchli o'zgarishlar keltiradi va yakuniy tuzatishni kimga bog'lashni qiyinlashtiradi.

Ikkala konfiguratsiyani ham hali mavjudligida yozib oling

Tunnelni o'chirish yarim daqiqa vaqt oladi va sizdagi yagona dalilni yo'q qiladi. Bundan oldin mahalliy va uzoq selektorlarni, hamkor manzilini, umumiy sir kimga tegishli ekanini va ASA'ning crypto map yoki IKEv2 profilini yozing. ASA ikki alohida savolga javob beradi: nima sozlangan va hozir nima ko'tarilgan:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Google tomonida konsol xulosasi o'rniga tunnel obyektini o'qing, chunki hamkor manzili va selektor maydonlari aynan takrorlashingiz kerak bo'lgan qiymatlardir:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Bu qiymatlarni birinchi o'chirishdan oldin chiptaga yozing. Quyidagi qayta qurish faqat bir qasddan qilingan farq bilan o'sha obyektni qayta yaratishingiz tufayli ishlaydi.

Bir tomon muzokara qilishdan bosh tortadigan algoritmlar

Cloud VPN an'anaviy hamkor kabi IKEv1 algoritmlari qatoridan tanlamaydi. U kutadigan hamkor sozlamalari qat'iy: shifrlash uchun aes-cbc-128, butunlik va PRF uchun sha1-96, Diffie-Hellman 2-guruhi, 1-faza uchun 36,600 soniya va 2-faza uchun 10,800 soniya. ASA siyosati aynan shu to'plamni taklif qilishi kerak. ASA'da ikkinchi taklif zarar qilmaydi, agar mos keladigani ham ro'yxatda bo'lsa.

IKEv2 ikkala tomonga ko'proq joy beradi, lekin qoidalar bir xil shaklni saqlaydi: PFS'ni yoqing, tunnel qo'llab-quvvatlaydigan DH guruhini tanlang va takliflar ro'yxatini nomuvofiqlik yaqqol ko'rinadigan darajada qisqa tuting. Cloud VPN'da ASA hamkori statik marshrutlashni ham bildiradi, shuning uchun himoyalangan prefikslar BGP'ga qoldirilmasdan rejalashtirilishi va ro'yxatga olinishi kerak.

Boshqa ishlab chiqaruvchining shablonidan ko'chirilgan xizmat muddati bu yerda odatiy noto'g'ri burilish. Google bu qiymatlarni majburiy hamkor sozlamalari sifatida e'lon qiladi, shuning uchun ularni o'rnating; qisqaroq qiymat ASA xohlagan darajaga qadar yuqoriga muzokara qilinmaydi.

O'chiring, qayta yarating va eski holatni tozalang

Gateway emas, tunnelni o'chiring va Cloud VPN o'rinbosarga beradigan nomni yozib oling, chunki nomlar qayta ishlatilmaydi, beriladi. Uni yozib olingan qiymatlar va o'sha hamkor manzili bilan qayta yarating, so'ng mos keladigan taklifni ASA siyosat ro'yxatiga qo'shing.

ASA o'zgarishidan keyin va natijani o'qishdan oldin xavfsizlik assotsiatsiyalarini tozalang. ASA joriy SA tugaguncha eski siyosatni taklif qilishda davom etishi mumkin, shuning uchun to'g'ri konfiguratsiya eski muddatning butun davomida buzilgandek ko'rinadi va kuzatuvchi qayta qurish boshlanmasdan turib muvaffaqiyatsiz bo'ldi deb xulosa qiladi:

clear crypto ikev2 sa
clear crypto ipsec sa

2-fazaga qarashdan oldin 1-faza ko'tarilganini tasdiqlang. 1-faza pastda bo'lganda taklif yoki oldindan bo'lishilgan kalit noto'g'ri, va selektor ishi buni o'zgartirmaydi.

Selektorlar oynadek mos keladi, keyin hisoblagichlar hal qiladi

2-faza faqat ikkala tomon himoyalangan manzillar bo'yicha kelishganda ishlaydi, va kelishuv umumiy emas, oynadek. Google'ning mahalliy selektori ASA uzoq deb ataydigan selektorga, Google'ning uzoq selektori esa ASA mahalliy deb ataydigan narsaga mos kelishi kerak. Bir tomonda 0.0.0.0/0, ikkinchi tomonda bitta subnet bo'lgan tunnel 1-fazadan o'tadi va keyin o'sha asosiy xato bilan 2-fazada muvaffaqiyatsiz bo'ladi. Hech bir tomon ikkinchisining ro'yxatini kengaytira olmaydi.

Siyosatga asoslangan selektorlar uchun har bir prefiks juftini ro'yxatga oling va ro'yxatni chiptada saqlang. Keyinroq joyida qo'shilgan subnet ikki tomonda tahrir talab qiladi, chunki ASA'dagi yangi yo'nalish selektorni kengaytirmaydi, va natija ko'tarilgan, lekin faqat birinchi kunda mavjud bo'lgan prefikslar uchun trafik o'tkazadigan tunneldir.

Bitta xostdan xostga oqim bilan tugating va ikki tomondagi bayt hisoblagichlarini o'qing. ASA'da o'sib, Google'da tekis turgan hisoblagichlar odatda javob boshqa interfeysdan chiqishini yoki selektor qaytish prefiksini qoplamasligini bildiradi. Algoritmlar, muddatlar, selektorlar va yangi tunnel nomini yozib oling, chunki keyingi taklif o'zgarishi bu qayta qurishni takrorlaydi va bu qiymatlar uni qisqa ishga aylantiradi.