FortiGate Azure ail-allwedd: nid yw cynnig peer SA yn cyfateb i'r polisi lleol

Cododd y twnnel, llifodd y traffig, ac yn ddiweddarach dywed y log peer SA proposal not match local policy. Mae'r rhan fwyaf o bobl yn darllen y llinell honno fel prawf nad oedd y ddau ffurfweddiad erioed wedi cyfateb. Fel arfer mae'n golygu rhywbeth culach: fe wnaethant gyfateb ar gyfer y CHILD SA cyntaf a rhoi'r gorau i gyfateb ar yr adnewyddiad cyntaf, oherwydd nid oedd y gymdeithas gyntaf erioed angen y cyfnewid y mae'r rhai diweddarach yn ei wneud. Mae'r gwahaniaeth hwnnw'n penderfynu ble rydych chi'n edrych.

Mae'r CHILD SA cyntaf yn etifeddu, mae'r rhai diweddarach yn trafod

Yn IKEv2, crëir y CHILD SA cychwynnol yn ystod IKE_AUTH, ac mae ei allweddi'n deillio o ddeunydd allweddi'r IKE SA. Nid oes cyfnewid Diffie-Hellman ar wahân ar y pwynt hwnnw, felly nid yw grŵp PFS na all un peer ei dderbyn yn cael ei brofi eto. Mae'r twnnel yn edrych yn iach oherwydd ni phrofwyd y gofyniad y byddwch chi'n methu ag ef yn ddiweddarach erioed.

Mae ail-allwedd CHILD_SA yn ddilyniant negeseuon gwahanol. Pan fydd PFS wedi'i ffurfweddu, mae'r peerau'n cynnal cyfnewid allweddi ffres ac yn gorfod cytuno ar grŵp y mae'r ddwy ochr yn ei dderbyn, ynghyd â chynnig ESP ar gyfer y gymdeithas newydd. Dyna'r eiliad y mae'r anghysondeb yn dod yn weladwy, a dyna pam mae'r gwall yn enwi cynnig yn hytrach na llwybr.

Felly nid yw “roedd yn gweithio ddoe” yn dweud dim wrthych am y cynnig. Mae'n dweud bod y cyfnewid cychwynnol wedi llwyddo, rhywbeth roeddech chi'n ei wybod yn barod.

Darllenwch y cyfnewid a fethodd, nid y ping cyntaf

Casglwch y dilysu IKE llwyddiannus, y CHILD SA cychwynnol a'r amnewidiad a fethodd o'r ddau ben cyn newid unrhyw beth. Yna enwch y weithrediad yn fanwl: mae ail-allwedd IKE SA, ailddilysu IKE ac ail-allwedd CHILD SA yn dri digwyddiad gwahanol, ac mae “cyfnod 2” yn eu cwmpasu i gyd mewn sgwrs bob dydd.

Cymharwch y meysydd isod ar gyfer y cysylltiad a fethodd, nid ar gyfer y twnnel yn gyffredinol.

Ar FortiGate, agorwch gynnig cyfnod-2, y gosodiad PFS a'r grwpiau DH a dderbyniwyd ar gyfer y twnnel hwnnw. Darllenwch y gwerthoedd a lwythwyd yn hytrach na'u casglu o gysylltiad a sefydlwyd yn gynharach. Mae sgrinlun o dudalen y GUI yn dystiolaeth wannach na'r ffurfweddiad sy'n rhedeg, oherwydd gall y ddau anghytuno ar ôl uwchraddiad. Allforiwch yr adran a newidiasoch a'i chadw gyda'r tocyn.

Mae polisi diofyn Azure yn parhau i fod yn bolisi

Nid yw absenoldeb polisi cyfaddas sydd ynghlwm wrth y cysylltiad yn golygu nad yw Azure yn defnyddio unrhyw un. Mae'r cysylltiad yn disgyn yn ôl ar set cynigion diofyn y porth, a all fod yn ehangach neu'n gulach na'r hyn y mae eich FortiGate yn ei gynnig. Os yw'r ddwy set yn gorgyffwrdd ar gyfer IKE ond nid ar gyfer ESP gyda PFS, byddwch yn cael yr union batrwm methiant hwn.

Mae'r olwg ddarllen-yn-unig hon yn dangos y polisi sydd mewn gwirionedd ynghlwm, heb ollwng cyfrinachau:

Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPolicies

Defnyddiwch enwau go iawn eich adnoddau. Pan fo angen polisi penodol, gosodwch ef ar adnodd y cysylltiad. Nid yw'n swits ar draws y porth cyfan, ac nid yw'n berthnasol yn dawel i dwneli eraill ar yr un porth.

Yn y porth, tudalen Configuration y cysylltiad hwnnw yw'r lle y mae polisi IPsec/IKE cyfaddas yn mynd. Mae canllaw Microsoft ar gyfer polisïau cyfaddas yn rhestru'r paramedrau â chymorth a'r gofynion SKU. Mae Azure yn cymryd un cyfuniad cyflawn fesul cysylltiad, felly byddwch yn nodi'r meysydd IKE a'r meysydd IPsec gyda'i gilydd, nid un ar y tro.

Mae PFS yn ofyniad, nid yn swits i'w droi

Os yw eich llinell sylfaen diogelwch yn gofyn am PFS, yr ateb yw grŵp y mae'r ddau peer yn ei dderbyn ar y ddwy ochr, wedi'i fynegi drwy bolisi cyfatebol. Mae diffodd PFS i wneud i'r gwall ddiflannu yn newid yr eiddo diogelwch roeddech chi'n ceisio'i gadw, ac fel arfer mae'n ailymddangos yn ddiweddarach fel anghysondeb gwahanol.

Un trap sy'n benodol i Azure: pan fyddwch chi'n dewis GCM ar gyfer ESP, rhaid i'r dewisiadau amgryptio ac uniondeb enwi'r un algorithm GCM a'r un hyd allwedd. Mae cymysgu seiffr GCM ag algorithm uniondeb ar wahân yn cynhyrchu cyfuniad y mae'r gwasanaeth yn ei wrthod, ac mae hynny'n edrych fel anghysondeb peer nes i chi ddarllen y polisi'n ofalus.

Dewiswch y cyfuniad cryfaf y mae'r ddau ben yn ei gefnogi ac y mae eich gofyniad yn ei ganiatáu, yna ei ysgrifennu yn y cofnod newid. Bydd y person nesaf yn cymharu â'r cofnod hwnnw, nid ag atgof am dwnnel oedd yn gweithio. Rhowch y grŵp PFS a'r cynnig ESP ynddo, nid enw'r polisi yn unig. Pan fydd rhywun yn gofyn yn ddiweddarach pam y methodd archwiliad neu pam mae ail-allwedd yn araf, mae'r llinell honno'n ateb y ddau gwestiwn.

Gwiriwch y cyfnewid a fethodd

Trefnwch y newid gyda llwybr adfer, oherwydd gall golygu'r polisi dorri'r twnnel rydych chi'n ceisio'i drwsio. Ar ôl i'r traffig ddychwelyd, arhoswch am adnewyddiad CHILD_SA neu ei sbarduno a chadarnhau bod y gymdeithas newydd wedi'i sefydlu gyda'r grŵp PFS arfaethedig. Yna cadarnhewch fod traffig cymwysiadau'n parhau drwyddo.

Mae dwy goelcerth ffug yn werth eu henwi. Mae hyd oes SA yn fanylebau lleol, felly mae gwerthoedd anghyfartal yn normal ac mae eu newid ond yn symud pryd mae'r broblem yn ymddangos. Mae DPD yn canfod a yw peer yn fyw; nid yw codi ei amserlen yn alinio dewisiadau ESP na PFS.

Cofnodwch y canlyniad a drafodwyd a'r digwyddiad nesaf ar ôl y newid. Os yw'r cysylltiad nawr yn methu cyn i ddilysu IKE gwblhau, rydych chi'n edrych ar y gosodiadau IKE a olygasoch newydd, nid ar y methiant adnewyddu CHILD gwreiddiol.