IKEv2 على Windows وFortiGate: ثلاثة إعدادات يدمجها الناس
تبادل مفاتيح IKE وحماية CHILD SA ومصادقة النظير ثلاثة صفوف منفصلة. تطابق أرقام المجموعات في نافذتين لا يدمجها.
يظل اتفاق IKEv2 بين عميل Windows وبوابة FortiGate يفشل، ويؤدي البحث عن رقم غير متطابق إلى قائمة أطول من الأرقام. ولا تصبح القائمة قابلة للإدارة إلا عندما تُقسَّم إلى ثلاثة صفوف تفشل باستقلال: تبادل المفاتيح الذي يحمي IKE، والحماية المطبَّقة على CHILD SA، والمصادقة التي تثبت هوية كل طرف. تظهر أرقام المجموعات في صفين من تلك الصفوف وتعني أشياء مختلفة.
ثلاثة صفوف تفشل باستقلال
الصف الأول هو تبادل المفاتيح داخل IKE نفسه، وهو ينتج المفاتيح التي تحمي التفاوض. والثاني هو المقترح الخاص بـ CHILD SA، وهو يحمي حركة المرور التي ينقلها النفق. والثالث هو المصادقة، وهي تحدد ما يعرضه كل طرف وكيف يتحقق الطرف الآخر منه.
تقع الأعطال في أماكن مختلفة. فشل التبادل يوقف التفاوض قبل وجود أي نفق. وفشل CHILD SA يحدث بعد نجاح المصادقة، وأحيانًا فقط عند إعادة توليد المفاتيح. وقد يبدو فشل المصادقة في السجلات كفشل تبادل إذا قرأت الخطأ الأول فقط.
فصل الصفوف ليس عملاً إدارياً. إنه يغيّر أي إعداد يستحق التغيير، ويمنع أغلى خطوة في هذا المجال كله، وهي إعادة توليد شهادات عاملة لإصلاح عدم تطابق في المقترح. وتغيير صف واحد يجب ألا يفرض أبدًا تغيير الصفين الآخرين معه. هذا الاستقلال هو كل الهدف من كتابتها منفصلة.
ما يتحكم فيه حقلا Windows
يفصل Windows بين حقلين: DHGroup يضبط تبادل IKE نفسه، بينما PfsGroup يضبط سياسة IPsec التي تحمي حركة المرور داخل النفق. وهما ينتميان إلى مرحلتين مختلفتين. مقارنة حقل IKE في Windows بقيمة المرحلة 2 في FortiGate تختبر الزوج الخطأ، وقد تتطابق الأرقام بينما يظل التبادل الأساسي فاشلاً.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAيعرض الأمران الثاني والثالث ارتباطات الأمان الموجودة فعلاً، وهي أقرب شيء إلى إجابة يمكن للعميل أن يقدمها لك. وجود ارتباط بالوضع الرئيسي بلا ارتباط بالوضع السريع مشكلة في CHILD SA، وهو توقيع عدم تطابق في المرحلة 2 وليس مشكلة في الشهادة.
سجّل ما عُرض وما اختير في محاولة واحدة. فالقائمة المعروضة التي تحتوي مقترحًا مقبولاً مع مقترح مختار لا يوافق سياسة البوابة هي خلاف في الإعداد، لا لغز في قابلية التشغيل البيني.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
مجموعة المنحنى الإهليلجي لا تختار مفتاح التوقيع الخاص بك
أكثر استنتاج خاطئ مستمر في هذا المجال هو أن اختيار مجموعة DH من نوع المنحنى الإهليلجي يتطلب شهادة منحنى إهليلجي. فمجموعة DH توفّر مادة تبادل المفاتيح؛ أما خوارزمية التوقيع فيتفاوض عليها إطار المصادقة، وهما قراران منفصلان في IKEv2.
إن RFC 7427 موجود تحديدًا لأن تلك القرارات كانت متشابكة سابقًا، وهو يحدد كيف تُعلن خوارزميات التوقيع وتُختار باستقلال عن تبادل المفاتيح. ويمكن للبوابة أن تدعم مجموعة منحنى واختيارًا من مخططات التوقيع في الوقت نفسه.
لذلك عندما يفشل تفاوض بعد تغيير المجموعة، فانظر إلى طريقة المصادقة قبل أن تنظر إلى نوع مفتاح الشهادة. فتغيير شهادة عملية بطيئة ومحفوفة بالمخاطر ونادرًا ما تكون هي الجواب، والقيام بها أولاً يدمّر قدرتك على معرفة أي تغيير ساعد فعلاً. اقرأ صف المصادقة قبل أن تلمس مخزن الشهادات.
أبقِ الاثنين في صفين منفصلين من ورقة الاتفاق، فيكف الخطأ عن أن يكون مغريًا. أحد الصفين يسرد المجموعات، والآخر يسرد مخططات التوقيع والهويات، ولا أي منهما دليل على الآخر.
ضع كل مفتاح خاص مع مالكه الفعلي
البوابة التي تعرض شهادتها الخاصة تحتاج إلى المفتاح الخاص المطابق لها. والنظير الذي يتحقق من سلسلة يحتاج إلى شهادة CA، وهو تحديدًا لا يحتاج إلى مفتاح توقيع CA. والخلط بين هذه العناصر الثلاثة هو كيف ينتهي الناس إلى استيراد مفتاح CA خاص إلى جهاز VPN لجعل شهادة تظهر في فئة مختلفة.
في FortiOS تكون الأدوار متمايزة: شهادة محلية مع مفتاحها، وشهادة بعيدة تُستخدم لتحديد هوية نظير، ومدخل CA بعيد ينشئ الثقة في الشهادات التي وقعتها تلك CA. ومدخل CA بعيد بلا مفتاح خاص ليس ناقصًا؛ بل هو صحيح لغرضه.
مفاتيح توقيع CA المستوردة توسّع سلطة أي شخص يمكنه قراءة ذلك الجهاز. وهي أيضًا لا تحل التحقق العادي من النظير، لأن التحقق يحتاج إلى الشهادة العامة وقرار الثقة، لا إلى القدرة على إصدار شهادات جديدة.
أبقِ مفتاح توقيع CA مع عملية المُصدر نفسها، وسجّل أي جهاز يحتفظ بأي مفتاح. جدول قصير للمالكين أغلى من جدول أطول بالخوارزميات عندما يسأل تدقيق من يمكنه انتحال هوية من. لا أحد يستورد مفتاحًا يعرف أنه للمخزون فقط. اكتب المخزون قبل الحادث، لا بعده.