Cómo solucionar problemas de conectividad DNS en el conector SDN de GCP

Este artículo aborda problemas relacionados con DNS al configurar el conector SDN de Google Cloud Platform (GCP) en dispositivos FortiGate. La correcta resolución de DNS es esencial para el funcionamiento del conector y, por lo tanto, para la conectividad del sistema. A continuación, se describirán los síntomas del problema y se proporcionarán pasos para solucionarlos.

Descripción del problema

Durante la configuración del conector SDN en GCP, se pueden presentar problemas de resolución de DNS. Estos problemas impiden que el dispositivo FortiGate se comunique correctamente con los servicios de Google, resultando en errores de configuración y posibles interrupciones del servicio. A continuación, se analizará el alcance del problema y se ofrecerán pasos de diagnóstico y soluciones recomendadas para resolverlo.

Alcance

Este artículo es relevante para dispositivos FortiGate que se ejecutan en la plataforma de Google. La información aquí presentada ayudará a los administradores a comprender y resolver los problemas de DNS que pueden surgir en esta configuración específica.

Diagnóstico paso a paso

Para diagnosticar problemas relacionados con el conector GCP, se deben ejecutar comandos de diagnóstico específicos que permiten depurar la aplicación. Estos comandos permiten establecer un nivel de depuración de -1 para obtener resultados detallados.

diagnose debug application gcpd -1

diagnose debug console timestamp en
diagnose debug en

Para detener la depuración, ejecute los siguientes comandos:

diagnose debug disable

diagnose debug reset

El CLI mostrará salidas de depuración similares a las siguientes:

curl DNS lookup failed: www.googleapis.com <------------------->
gcpd request oauth2 token failed, -1
gcpd get token failed
gcpd sdn connector gcp_ha failed to get token
In HA primary state

El problema parece estar relacionado con la resolución de DNS.

Solución recomendada

Se han identificado dos soluciones posibles, ambas relacionadas con la resolución de DNS:

1. La salida de depuración muestra ‘curl DNS lookup failed: www.googleapis.com‘, lo que indica que FortiGate no puede resolver esta URL. Esto ocurre cuando está utilizando la interfaz de gestión (MGMT) en lugar de la interfaz normal. La interfaz de gestión en FortiGate necesita tener acceso a Internet.
2. Crear una zona privada de Cloud DNS.

Comandos CLI utilizados

Para la configuración de DNS en FortiGate a través de la CLI, se deben seguir los siguientes pasos:

Paso 1:

Configurar DNS en FortiGate usando la CLI:

config system DNS
set primary 169.254.169.254
end

Paso 2:
Configurar una zona privada de Cloud DNS en la consola GCP para ‘restricted.googleapis.com’ utilizando la información adjunta en la captura de pantalla.

Paso 3:
Habilitar ‘Private Google Access’ para la subred NIC0.

Buenas prácticas y recomendaciones

Es recomendable verificar que la interfaz de gestión de FortiGate tenga acceso a Internet, así como mantener una configuración correcta de las zonas DNS en la consola de GCP. Además, asegúrese de que los parámetros de tiempo de espera DNS sean adecuados para su entorno y que los registros se actualicen con regularidad.

Notas adicionales

Si después de seguir estos pasos el problema persiste, considere revisar los registros de errores en FortiGate y la configuración de red para asegurarse de que no existan bloqueos en el tráfico hacia los servidores DNS de Google.