GCP HA VPN FortiGate'ni rad etadi: mahalliy ID turi mos kelmaydi
Google nafaqat oldindan ulashilgan kalitni, balki FortiGate e’lon qilgan identifikatsiyani ham solishtiradi. FQDN turidagi mahalliy ID bu tekshiruvdan o‘tmaydi, jurnal esa hanuz autentifikatsiya deydi.
Google Cloud HA VPN’dan kelgan AUTHENTICATION_FAILED odatda odamlarni oldindan ulashilgan kalitga qaytaradi va kalit odatda to‘g‘ri bo‘ladi. Tunnel 1-bosqichda to‘xtaydi, chunki Google yana bir narsani ham solishtiradi: sherik IKE almashinuvi paytida e’lon qiladigan identifikatsiyani. FortiGate’da bu identifikatsiya hech kim manzilni tahrirlamasdan turini o‘zgartirishi mumkin. Kalit ikki marta qayta kiritilgandan so‘ng jurnalni identifikatsiya nomuvofiqligi deb o‘qing.
Bitta nosozlik, ikkita tekshiruv
IKE sherikni ikki alohida qadamda tekshiradi. Oldindan ulashilgan kalit ikkala tomon bir xil sirga ega ekanini isbotlaydi, e’lon qilingan identifikatsiya esa javob beruvchiga sherik o‘zini kim deb ko‘rsatayotganini aytadi. Google bu identifikatsiyani u sozlangan sherik bilan solishtiradi. O‘z holiga tashlansa, FortiGate chiquvchi interfeysidan olingan manzilga asoslangan identifikatsiya yuboradi va taqqoslash hech kim sezmay o‘tadi.
Ikkala qadam ham jurnalda bir chelakka tushadi, bu esa identifikatsiya yuklamasini hech kim o‘qimasdan oldin kalitni to‘rt marta qayta yozish odatidagi tsiklni tushuntiradi.
FortiGate identifikatsiya yuklamasiga nima qo‘yadi
Muammo kimdir ikki tomonni moslashtirish uchun mahalliy ID o‘rnatganda boshlanadi. Yangi FortiOS build’lari bu identifikatsiyani to‘liq malakali domen nomi deb belgilaydi, hatto kiritilgan qiymat nuqtali manzil bo‘lsa ham. Shuning uchun Google manzil kutayotib FQDN identifikatsiyasini oladi va sessiyani rad etadi. Xabarda qaysi yarmi muvaffaqiyatsiz bo‘lgani aytilmaydi, shuning uchun hisobot autentifikatsiya xatosi deb o‘qiladi.
IKE nosozliklarni tuzatishni yoqib, buni bir marta qayta hosil qiling va xavfsizlik devori haqiqatda yuboradigan identifikatsiya yuklamasini o‘qing.
Xuddi shu bosqichda uchta arzon faktni tasdiqlang: ikkala tomon ishlatadigan IKE versiyasi, ko‘rinmas oxirgi belgilar bilan birga aniq kalit va Google kutayotgan sherik manzili. Ular turli savollarga javob beradi, mos keladigan kalit esa identifikatsiya haqida hech narsa demaydi.
Variantlar va har birining narxi
Har bir chiqish boshqa qatlamni tuzatadi va hech biri barcha joylashtirishlar uchun mavjud emas.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Identifikatsiyani xavfsizlik devorida tuzatish eng toza javob bo‘lib, firmware turini tanlash va qiymatni saqlashga ruxsat berganda. Maydon ba’zi build’larda bor, boshqalarida turni noto‘g‘ri to‘ldiradi, shuning uchun chiqarish eslatmalariga ishonish o‘rniga o‘z versiyangizni sinab ko‘ring.
Muzokara interfeysidagi marshrutlanadigan ommaviy manzil hujjatlashtirilgan yechimdir, chunki unda standart identifikatsiya Google kutganiga mos keladi va hech qanday bekor qilish talab qilinmaydi. Agar xavfsizlik devori bunday manzilni umuman ushlab tura olsa, aksariyat joylashtirishlar shu yerda tugaydi.
Siz ishlab chiqargan narsani tekshiruvchi sherikda yakunlash topologiya o‘zgarishidir. Bunga yumshoqroq tavsifli yechim emas, dizayn qarori sifatida qarang.
NAT bitta variantni olib tashlaganda
NAT ortida ommaviy manzil orqali chiqish yo‘qoladi, qolgani esa siz boshqarmaydigan firmware xatti-harakatiga bog‘liq. Bu yangilash, sherikni ko‘chirish yoki boshqa bulut oxirgi nuqtasini qabul qilish o‘rtasida ongli tanlov qilish nuqtasidir. Bular uch xil byudjet, ulardan birini tasodifan tanlash esa vaqtinchalik yechimning arxitekturaga aylanish usulidir. Tanlov va uning sababini tunnel yoniga yozing.
Bularning birortasini talqin qilishdan oldin Google tomonidagi tunnel holatini va IKE yo‘lda shunchaki tashlab yuborilmayotganini tasdiqlang. Tashlab yuborilgan paket vaqt tugashi bilan to‘xtaydi; u rad javobini keltirmaydi.
Ishlayotganda nimalarni yozib qo‘yish kerak
Tunnel oxirgi marta ko‘tarilganda amalda bo‘lgan identifikatsiya turi, qiymati, firmware versiyasi va sherik manzilini yozib qo‘ying. Firmware yangilanishi standartni yana o‘zgartirishi mumkin, keyingi nosozlik esa xuddi kalit nomuvofiqligidek ko‘rinadi. Identifikatsiya kalit va sherik manzili yonida saqlansa, keyingi odam arzon tekshiruvlardan boshlaydi.
Bu yozuv keyingi yangilanishdan keyin ham yechim kerakmi yoki yo‘qmi bilishning yagona yo‘li.