Multi-vendor VPN Troubleshooting : Study of IPsec VPN Troubleshooting in a multi-vendor environment

Abstract

With the vast reliance on the Internet, corporations end up managing not only their intranet but extranets as well to allow resource sharing with their partner corporations. In order to connect users or sites to these intra- and extranets over various internets, VPN tunnels are typically constructed to create such a logical connection over physical infrastructure. In such environments different networking devices are found with varying degrees of support for vendor interoperability. This will set constraints and considerations to the VPN tunnel creation as well in multivendor environments.

This study was fueled by the desire to explore differences in VPN tunnel building and troubleshooting processes between two devices designed by different vendors. As such this project aims to construct an IPsec site-to-site VPN tunnel between two such gateways and systematically introduce issues to the connection for troubleshooting analysis. The results then would be compiled into a guide to aid future troubleshooting. Additionally, any differences and similarities in the devices’ protocol handling will be documented.

The available hardware for the project was Cisco’s ASA 5505 and Palo Alto Networks’ PA-200 security gateways. The physical network setup was done in the campus’ laboratory environment the third-party network included.

The experimentation results were fruitful, providing two points of view to the protocol exchanges. While the standardized protocols guided the negotiations along a certain path, the debugging output certainly differed between the vendors; Palo Alto focused more on printing out each stage transitioning, while Cisco was more focused on user-friendliness.

In the future when site-to-site IPsec VPNs are implemented, corporations could be seen gradually switching to IKEv2 protocol as the latest stable software versions have confirmed the support. As the authentication method is more of a question of scalability, both PSK and Certificate- based methods will certainly remain in use. Other than the upgrade of security levels, future studies will more often implement support for IPv6 tunnelling parallel to IPv4.

Internetistä on kasvanut niin suuri tekijä yrityksille, että intranetin lisäksi ekstranetien hallinnointi tulee olla huomioitu resurssienjakoa varten. Etäkäyttäjien ja toimipisteiden yhteenliittämiseksi julkisien verkkojen kautta, VPN-tunneleita yleisesti käytetään näiden loogisien yhteyksien muodostamisessa. Tällaisissä ympäristöissä tulee vastaan monien eri laitevalmistajien laitteita, jotka vaihtelevissa määrin ovat yhteensopivia. Eri laitevalmistajien laitteiden tukeminen vaatii tiettyjen ominaisuuksien huomioimista VPN-tunneleidenkin kohdalla.

Insinöörityön taustalla oli kiinnostus tutkia, kuinka VPN-tunnelien rakentaminen ja vianselvitys eroavat eri laitevalmistajien laitteiden välillä. Työssä rakennettiin kuviteltujen toimipisteiden välille VPN-tunneli, jota systemaattisesti koeteltiin eri ennaltamääritellyillä ongelmatilanteilla. Nämä ongelmatilanteet puolestaan dokumentoitiin analyysia varten, ja niiden pohjalta tehtiin kooste olennaisista viesteistä, jotka osoittivat vikojen alkuperät. Lisäksi laitteiden protokollien soveltamista tarkkailtiin ja vertailtiin.

Työssä käytettiin Ciscon ASA 5505- ja Palo Alto Networksin PA-200-palomuureja. Käytännön työ suoritettiin ammattikorkeakoulun kampuksen laboratorioympäristössä kokonaisuudessaan.

Testitulokset olivat värikkäitä ja ilmaisivat keskustelun kahdesta selvästi eri näkökulmasta, vaikka protokollien standardit ohjasivatkin protokollaneuvottelujen etenemistä. Palo Alton PA-200 kuvaili tarkemmin keskustelun vaiheet ja taustaoperaatiot, kun taas Ciscon ASA 5505 keskittyi käyttäjäystävällisyyteen ja luettavuuteen.

Tulevaisuudessa tällaisissa implementaatioissa siirrytään varmasti IKEv2-protokollan käyttöön sitä mukaa, kun käyttöjärjestelmät sitä laajemmin tukevat. Sertifikaattiautentikoinnin käyttö lisääntyy ekstranetien lisääntyessä, mutta PSK-autentikointimenetelmä pysynee pienempien yrityksen käytössä. IPv6-protokollan käyttöönotto ja tuki lisääntyy myös jatkuvasti – VPN-tunneleiden osalla erityisesti.