![S2S 问题 Google Cloud VPN 和 Cisco ASA 5545](https://linux22.com/image/698540/S2S%20%E9%97%AE%E9%A2%98%20Google%20Cloud%20VPN%20%E5%92%8C%20Cisco%20ASA%205545.png)
我正在使用 Google Cloud VPN 网关并尝试连接到第三方场所的 CISCO ASA 5545 设备。这是一个静态路由设置,Cisco 路由器仅使用 IKE v1。
我遇到了这个问题,从日志中我可以看到连接已建立,然后它显示立即安排重新密钥,然后收到 INVALID_ID_INFORMATION 错误通知,然后收到 IKE_SA vpn_[PEER IP] 的 DELETE,然后删除 [VPN PUBLIC IP]...[PEER IP] 之间的 IKE_SA vpn_[PEER IP]。这在日志中不断重复。
显然存在配置不匹配;本地客户端希望我将加密更改为 AES-256 或 3des,因为“设备不支持 AES 128”。一旦您选择使用 IKEv1,是否可以更改 Google Cloud VPN 的加密?
根据文档https://cloud.google.com/compute/docs/vpn/advanced,IKEv1 使用 aes-cbc-128 加密,是否可以将其更改为 aes-256?是否可以使本地设备与 aes-128 配合使用?
答案1
使用静态路由和 IKEv1 会带来重大限制,但第三方对等方会支持这些限制。最重要的是,我无法使用多 cidr 块,并且只能使用 aes-128 进行加密。
在查看日志中的某些错误(包括 INVALID_ID_INFORMATION)后,我发现一些参考资料表明 ASA 设备上的加密不匹配。我在手册中查找了这一点,发现有一个选项是 aes,实际上是 aes-128。在对等设备上解决此问题后,我在日志中得到了另一个 INVALID HASH ID。
检查 gcloud 中的连接状态非常有用https://cloud.google.com/compute/docs/vpn/creating-vpns。用户界面在这方面提供的信息很少:
gcloud compute --project [PROJECT_ID] vpn-tunnels describe tunnel1 --region us-central1
这给出了以下有用的输出:
Please verify that the network range and the remote network IP ranges of the tunnel match the configured IP ranges on the peer device.
最后一部分相当简单;在云 VPN 隧道的本地流量选择器中匹配对等设备上定义的 cidr 块后,隧道就建立起来了。
因此,回答一些问题:是否可以更改云 VPN 上的加密设置? 不可以
是否可以让本地 Cisco 5545 设备与 aes-128 一起工作? 是的。