Cloud VPN sí Cisco ASA: tún kọ lẹ́yìn àìbáramu ìdánimọ̀

NEGOTIATION_FAILURE lórí tunnel Cloud VPN pẹ̀lú Cisco ASA ní òpin kejì fẹ́rẹ̀ẹ́ jẹ́ àìbáramu ìdánimọ̀ tàbí àwọn olùyàn nígbà gbogbo, àti òtítọ́ àkọ́kọ́ tí ó wúlò ni pé kò sí àtúnṣe tí yóò tún un ṣe. Cloud VPN fi ìdánimọ̀ IKE mú ní àkókò tí a ṣẹ̀dá ohun tunnel. Kò sí pápá láti yí algorithm padà ní ibi kan, nítorí náà àtúnṣe ni pípa rẹ́ àti àtúndá pẹ̀lú ibi ìbẹ̀rẹ̀ tí a kọsílẹ̀. Kà á sí àtúníkọ́, nígbà náà iṣẹ́ yóò di àkójọ àyẹ̀wò dípò ọ̀sán ìrònú àròsọ.

Ka ìkùnà náà kí o tó pa ohunkóhun rẹ́

Ìkùnà ìjíròrò jẹ́ ìṣòro ìpele, log ẹlẹgbẹ́ sábà máa ń dárúkọ ìpele náà. Ìkùnà ìpele 1 túmọ̀ sí pé àwọn òpin kò lè fọwọ́ sí ìdánimọ̀ kan tàbí wọ́n kò lè jẹ́rìí ara wọn. Ìkùnà ìpele 2 túmọ̀ sí pé tunnel gòkè ṣùgbọ́n àwọn olùyàn tí a dáàbò bò kò báramu. Àtúnṣe ọ̀tọ̀ọ̀tọ̀ ni wọ́n, àti pé ó yẹ kí a yọ ìlà log náà jáde kí ẹnikẹ́ni tó fi ọwọ́ kàn ìṣètò.

Ìkùnà náà tún yọ àwọn nǹkan kúrò. Kì í ṣe ọ̀nà VPC, kì í ṣe òfin firewall lórí interface tunnel, kì í sì í ṣe àṣìṣe yíyanjú orúkọ nínú nẹ́tíwọ́kì. Sísá wọn kiri ń mú àwọn ìyípadà onígboyà tí kò lè yí àbájáde padà, ó sì mú kí ó ṣòro láti sọ ẹni tí àtúnṣe ìkẹyìn jẹ́.

Kọsílẹ̀ àwọn ìṣètò méjèèjì nígbà tí wọ́n ṣì wà

Pípa tunnel rẹ́ ń gba ìdajì ìṣẹ́jú, ó sì pa ẹ̀rí kan ṣoṣo tí o ní run. Kí èyí tó ṣẹlẹ̀, kọ àwọn olùyàn ibílẹ̀ àti ti ọ̀nà jínjìn, adírẹ́sì ẹlẹgbẹ́, ẹni tí ó ní àṣírí pínpín, àti crypto map tàbí profile IKEv2 ASA. ASA ń dáhùn àwọn ìbéèrè méjì ọ̀tọ̀ọ̀tọ̀: kí ni a ṣètò àti kí ni ó wà lókè ní báyìí:

show running-config crypto ikev2
show crypto ikev2 sa
show crypto ipsec sa | include local ident|remote ident|status

Ní ẹ̀gbẹ́ Google, ka ohun tunnel dípò àkópọ̀ console, nítorí adírẹ́sì ẹlẹgbẹ́ àti àwọn pápá olùyàn ni àwọn iye tí o gbọ́dọ̀ tún ṣe ní pàtàkì:

gcloud compute vpn-tunnels describe tunnel-to-asa --region europe-west1 \
  --format="yaml(peerIp,localTrafficSelector,remoteTrafficSelector,ikeVersion,sharedSecret)"

Fi àwọn iye yẹn sínú tíkẹ́ẹ̀tì kí o tó pa rẹ́ ní ìgbà àkọ́kọ́. Àtúníkọ́ tí ó wà nísàlẹ̀ ń ṣiṣẹ́ nítorí pé o lè tún ohun kan náà dá pẹ̀lú ìyàtọ̀ kan tí a mọ̀ọ́mọ̀ ṣe.

Àwọn algorithm tí ẹ̀gbẹ́ kan kọ̀ láti jíròrò lórí

Cloud VPN kì í yan láti inú àkójọ algorithm IKEv1 bí ẹlẹgbẹ́ ìbílẹ̀. Àwọn ìṣètò ẹlẹgbẹ́ tí ó ń retí jẹ́ dídúró: aes-cbc-128 fún ìkọ̀wé, sha1-96 fún ìdúróṣinṣin àti PRF, ẹgbẹ́ Diffie-Hellman 2, 36,600 ìṣẹ́jú-àáyá fún ìpele 1 àti 10,800 ìṣẹ́jú-àáyá fún ìpele 2. Ètò ASA gbọ́dọ̀ pèsè àkójọ yẹn gan-an. Ìdánimọ̀ kejì lórí ASA kò ṣèṣe bí èyí tí ó báramu wà nínú àkójọ pẹ̀lú.

IKEv2 ń fún àwọn ẹ̀gbẹ́ méjèèjì ní ààyè sí i, ṣùgbọ́n àwọn òfin ń pa ìrísí kan náà mọ́: tan PFS, yan ẹgbẹ́ DH tí tunnel ń ṣe àtìlẹ́yìn fún, kí o sì jẹ́ kí àkójọ ìdánimọ̀ kúrú tó pé àìbáramu yóò hàn kedere. Ẹlẹgbẹ́ ASA lórí Cloud VPN túmọ̀ sí ìtọ́nisọ́nà àìyẹsẹ̀ pẹ̀lú, nítorí náà àwọn prefix tí a dáàbò bò gbọ́dọ̀ wà nínú ètò àti àkójọ, kì í ṣe fífi wọ́n sílẹ̀ fún BGP.

Àkókò ìwàláàyè tí a dà kópù rẹ̀ láti inú àwòrán olùpèsè mìíràn ni ọ̀nà tí kò tọ́ níbí. Google ń tẹ àwọn iye wọ̀nyí jáde gẹ́gẹ́ bí ìṣètò ẹlẹgbẹ́ tí ó pọn dandan, nítorí náà ṣètò wọ́n; iye kúrú kì í ní ìjíròrò gòkè títí dé ohun tí ASA fẹ́.

Pa rẹ́, tún dá, kí o sì tún ìpínlẹ̀ àtijọ́ ṣe

Pa tunnel rẹ́, kì í ṣe gateway, kí o sì kọ orúkọ tí Cloud VPN ń fún àropò náà, nítorí a ń yan orúkọ, a kì í tún wọ́n lò. Tún un dá pẹ̀lú àwọn iye tí a kọsílẹ̀ àti adírẹ́sì ẹlẹgbẹ́ kan náà, lẹ́yìn náà fi ìdánimọ̀ tí ó báramu kún àkójọ ètò ASA.

Tún àwọn ẹgbẹ́ ààbò ṣe lẹ́yìn ìyípadà lórí ASA àti kí o tó ka àbájáde. ASA lè máa tẹ̀síwájú láti pèsè ètò àtijọ́ títí SA lọ́wọ́lọ́wọ́ yóò fi parí, nítorí náà ìṣètò tí ó tọ́ yóò dà bí ẹni tí ó já, ní gbogbo àkókò ìwàláàyè àtijọ́, olùṣọ́ yóò sì parí èrò pé àtúníkọ́ kùnà nígbà tí kò tíì bẹ̀rẹ̀:

clear crypto ikev2 sa
clear crypto ipsec sa

Jẹ́rìí pé ìpele 1 gòkè kí o tó wo ìpele 2. Nígbà tí ìpele 1 wà nísàlẹ̀, ìdánimọ̀ tàbí kókó tí a pín tẹ́lẹ̀ kò tọ́, iṣẹ́ olùyàn kò sì ní yí èyí padà.

Àwọn olùyàn ń bá ara wọn mu bí dígí, lẹ́yìn náà àwọn olùka ń pinnu

Ìpele 2 ń ṣiṣẹ́ nígbà tí àwọn òpin méjèèjì bá fọwọ́ sí àwọn adírẹ́sì tí a ń dáàbò bò, ìfọwọ́sí náà sì jẹ́ dígí kì í ṣe pínpín. Olùyàn ibílẹ̀ Google gbọ́dọ̀ báramu pẹ̀lú olùyàn tí ASA ń pè ní ọ̀nà jínjìn, olùyàn ọ̀nà jínjìn Google sì gbọ́dọ̀ báramu pẹ̀lú èyí tí ASA ń pè ní ibílẹ̀. Tunnel tí ó ní 0.0.0.0/0 ní ẹ̀gbẹ́ kan àti subnet kan ní ẹ̀gbẹ́ kejì yóò kọjá ìpele 1, lẹ́yìn náà yóò kùnà ní ìpele 2 pẹ̀lú àṣìṣe àkọ́kọ́ kan náà. Kò sí ẹ̀gbẹ́ tí ó lè gbòòrò àkójọ ti ẹ̀gbẹ́ kejì.

Fún àwọn olùyàn tí ó dá lórí ètò, kọ orúkọ gbogbo bára prefix kan ṣoṣo, kí o sì pa àkójọ mọ́ nínú tíkẹ́ẹ̀tì. Subnet tí a bá fi kún níbẹ̀ lẹ́yìn náà nílò àtúnṣe ní àwọn òpin méjèèjì, nítorí ọ̀nà tuntun lórí ASA kì í gbòòrò olùyàn, àbájáde sì jẹ́ tunnel tí ó wà lókè tí ó ń gbé ìrìnàjò kọjá fún àwọn prefix tí ó wà ní ọjọ́ àkọ́kọ́ nìkan.

Parí pẹ̀lú ṣíṣàn kan láti agbàlejò dé agbàlejò, kí o sì ka àwọn olùka byte ní ẹ̀gbẹ́ méjèèjì. Àwọn olùka tí ń gòkè lórí ASA tí wọ́n dúró lórí Google sábà máa ń túmọ̀ sí pé ìdáhùn ń jáde nípasẹ̀ interface mìíràn, tàbí pé olùyàn kò bo prefix ìpadà. Kọsílẹ̀ àwọn algorithm, àwọn àkókò ìwàláàyè, àwọn olùyàn àti orúkọ tunnel tuntun, nítorí ìyípadà ìdánimọ̀ tó kàn yóò tún àtúníkọ́ yìí ṣe, àwọn iye yẹn yóò sì sọ ọ́ di iṣẹ́ kúkúrú.