GCP HA VPN từ chối FortiGate: kiểu ID cục bộ không khớp
Google so sánh cả danh tính mà FortiGate khai báo, không chỉ khóa chia sẻ trước. ID cục bộ kiểu FQDN trượt kiểm tra đó trong khi nhật ký vẫn ghi xác thực.
AUTHENTICATION_FAILED từ Google Cloud HA VPN thường khiến người ta quay lại khóa chia sẻ trước, và khóa thì thường đúng. Đường hầm kẹt ở pha 1 vì Google còn so sánh một thứ khác: danh tính mà đối tác khai báo trong quá trình trao đổi IKE. Trên FortiGate, danh tính đó có thể đổi kiểu mà không ai sửa địa chỉ. Khi khóa đã được nhập lại hai lần, hãy đọc nhật ký như một sự không khớp danh tính.
Một lỗi, hai lần kiểm
IKE xác minh một đối tác qua hai bước riêng biệt. Khóa chia sẻ trước chứng minh hai đầu cùng giữ một bí mật, và danh tính được khai báo cho bên trả lời biết đối tác tự nhận là ai. Google so sánh danh tính đó với đối tác mà nó được cấu hình. Nếu để mặc, FortiGate gửi danh tính dựa trên địa chỉ lấy từ giao diện đi ra, và so sánh vẫn qua mà không ai nhận ra.
Cả hai bước đều rơi vào cùng một rổ trong nhật ký, điều này giải thích vòng lặp quen thuộc là gõ lại khóa bốn lần trước khi ai đó đọc phần tải danh tính.
FortiGate đặt gì vào phần tải danh tính
Rắc rối bắt đầu khi ai đó đặt một ID cục bộ để hai bên khớp nhau. Các bản dựng FortiOS gần đây đánh dấu danh tính đó là tên miền đủ điều kiện đầy đủ ngay cả khi giá trị nhập vào là địa chỉ có dấu chấm. Vì vậy Google nhận danh tính FQDN trong khi chờ địa chỉ, và từ chối phiên. Không có gì trong thông báo nói nửa nào đã trượt, nên báo cáo được đọc như một lỗi xác thực.
Hãy tái hiện một lần với gỡ lỗi IKE bật và đọc phần tải danh tính mà tường lửa thực sự gửi.
Trong cùng lượt, hãy xác nhận ba dữ kiện rẻ: phiên bản IKE mà hai đầu dùng, khóa chính xác kể cả ký tự cuối vô hình, và địa chỉ đối tác mà Google chờ đợi. Chúng trả lời những câu hỏi khác nhau, và một khóa khớp không nói gì về danh tính.
Các lựa chọn, và giá của từng cách
Mỗi lối ra sửa một lớp khác nhau, và không lối nào dùng được cho mọi triển khai.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Sửa danh tính trên tường lửa là câu trả lời sạch nhất khi phần sụn cho phép chọn kiểu và giữ nguyên giá trị. Trường này có ở một số bản dựng và điền sai kiểu ở những bản khác, nên hãy thử phiên bản của bạn thay vì tin ghi chú phát hành.
Địa chỉ công cộng có thể định tuyến trên giao diện thương lượng là cách vòng được ghi nhận, vì khi đó danh tính mặc định khớp với điều Google chờ và không cần ghi đè. Hầu hết triển khai dừng ở đó, nếu tường lửa giữ được địa chỉ như vậy.
Kết thúc trên một đối tác kiểm định thứ bạn tạo ra là một thay đổi cấu trúc liên kết. Hãy coi đó là quyết định thiết kế chứ không phải cách vòng với mô tả dễ chịu hơn.
Khi NAT loại bỏ một lựa chọn
Sau NAT, lối ra qua địa chỉ công cộng biến mất, và phần còn lại phụ thuộc vào hành vi phần sụn mà bạn không kiểm soát. Đây là điểm để chủ động chọn giữa nâng cấp, di chuyển đối tác hoặc chấp nhận một điểm cuối đám mây khác. Đó là ba ngân sách khác nhau, và chọn một cách tình cờ chính là cách một cách vòng tạm thời biến thành kiến trúc. Hãy ghi lựa chọn và lý do bên cạnh đường hầm.
Trước khi diễn giải bất cứ điều gì, hãy xác nhận trạng thái đường hầm phía Google và rằng IKE không chỉ đơn thuần bị bỏ giữa đường. Gói bị bỏ sẽ hết thời gian chờ; nó không tạo ra từ chối.
Cần ghi lại gì trong khi nó hoạt động
Ghi lại kiểu danh tính, giá trị của nó, phiên bản phần sụn và địa chỉ đối tác đang có hiệu lực khi đường hầm lần cuối đã lên. Một bản cập nhật phần sụn có thể lại đổi giá trị mặc định, và lần hỏng tiếp theo sẽ trông giống hệt như khóa không khớp. Khi danh tính được lưu cạnh khóa và địa chỉ đối tác, người tiếp theo bắt đầu từ những kiểm tra rẻ.
Bản ghi đó cũng là cách duy nhất để biết liệu cách vòng còn cần thiết sau lần nâng cấp tiếp theo hay không.