IKEv2 ar Windows a FortiGate: tri gosodiad y mae pobl yn eu huno
Mae cyfnewid allweddi IKE, amddiffyniad CHILD SA a dilysu'r cymar yn dair rhes ar wahân. Nid yw rhifau grŵp sy'n cyfateb mewn dau ddeialog yn eu huno.
Mae cytundeb IKEv2 rhwng cleient Windows a phorth FortiGate yn parhau i fethu, ac mae chwilio am rif nad yw'n cyfateb yn cynhyrchu rhestr hirach o rifau. Dim ond pan gaiff ei rannu'n dair rhes sy'n methu'n annibynnol y daw'r rhestr yn ymdrinadwy: y cyfnewid allweddi sy'n amddiffyn IKE, yr amddiffyniad a roddir ar y CHILD SA, a'r dilysu sy'n profi pwy yw pob ochr. Mae rhifau grŵp yn ymddangos yn nwy o'r rhesi hynny ac yn golygu pethau gwahanol.
Tair rhes sy'n methu'n annibynnol
Y rhes gyntaf yw'r cyfnewid allweddi y tu mewn i IKE ei hun, sy'n cynhyrchu'r allweddi sy'n amddiffyn y trafodaethau. Yr ail yw'r cynnig ar gyfer y CHILD SA, sy'n amddiffyn y traffig y mae'r twnnel yn ei gario. Y drydedd yw dilysu, sy'n penderfynu beth y mae pob ochr yn ei gyflwyno a sut y mae'r llall yn ei ddilysu.
Mae methiannau'n glanio mewn gwahanol leoedd. Mae methiant cyfnewid yn stopio'r trafodaethau cyn bod twnnel o gwbl. Mae methiant CHILD SA yn digwydd ar ôl i ddilysu lwyddo, weithiau dim ond wrth ail-allweddu. Gall methiant dilysu edrych fel methiant cyfnewid yn y cofnodion os darllenwch y camgymeriad cyntaf yn unig.
Nid cyfrifydda yw gwahanu'r rhesi. Mae'n newid pa osodiad sy'n werth ei newid, ac mae'n atal y symudiad drutaf yn y maes cyfan hwn, sef ailddwyn tystysgrifau sy'n gweithio i drwsio anghysondeb cynnig. Ni ddylai newid un rhes byth orfodi'r ddwy arall i newid gyda hi. Yr annibyniaeth honno yw holl bwynt eu hysgrifennu ar wahân.
Beth y mae dau faes Windows yn ei reoli
Mae Windows yn cadw dau faes ar wahân: mae DHGroup yn ffurfweddu'r cyfnewid IKE ei hun, tra mae PfsGroup yn ffurfweddu'r polisi IPsec sy'n amddiffyn traffig y twnnel. Maent yn perthyn i wahanol gamau. Mae cymharu maes IKE Windows â gwerth cam 2 FortiGate yn profi'r pâr anghywir, a gall y rhifau gyfateb tra bo'r cyfnewid sylfaenol yn dal i fethu.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAMae'r ail a'r trydydd gorchymyn yn adrodd yr asesiadau diogelwch sy'n bodoli mewn gwirionedd, sef y peth agosaf at ateb y gall cleient ei roi i chi. Mae asesiad prif-fodd heb asesiad cyflym-fodd yn broblem CHILD SA, ac mae'n arwydd o anghysondeb cam 2 yn hytrach na phroblem tystysgrif.
Cofnodwch beth a gynigiwyd a beth a ddewiswyd mewn un ymgais. Mae rhestr gynigiwyd sy'n cynnwys cynnig derbyniol a chynnig a ddewiswyd nad yw'n cyfateb i bolisi'r porth yn anghytundeb ffurfweddu, nid yn ddirgelwch rhyngweithrededd.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Nid yw grŵp crwm elliptical yn dewis eich allwedd llofnod
Y casgliad anghywir mwyaf dyfalbarhaus yn y maes hwn yw bod dewis grŵp DH crwm elliptical yn gofyn am dystysgrif crwm elliptical. Mae grŵp DH yn darparu deunydd cyfnewid allweddi; mae'r algorithm llofnod yn cael ei drafod gan y fframwaith dilysu, ac mae'r ddau yn benderfyniadau ar wahân yn IKEv2.
Mae RFC 7427 yn bodoli'n union am fod y penderfyniadau hynny wedi eu cydblethu o'r blaen, ac mae'n diffinio sut y mae algorithmau llofnod yn cael eu hysbysebu a'u dewis yn annibynnol o'r cyfnewid allweddi. Gall porth gefnogi grŵp crwm a dewis o gynlluniau llofnod ar yr un pryd.
Felly pan fydd trafodaethau'n methu ar ôl newid grŵp, edrychwch ar y dull dilysu cyn edrych ar fath allwedd y dystysgrif. Mae newid tystysgrif yn weithrediad araf a pheryglus sydd yn anaml yn ateb, ac mae ei wneud gyntaf yn dinistrio eich gallu i ddweud pa newid a helpodd mewn gwirionedd. Darllenwch y rhes ddilysu cyn cyffwrdd â'r storfa dystysgrifau.
Cadwch y ddau mewn rhesi ar wahân o'r daflen gytundeb ac mae'r camgymeriad yn peidio â bod yn demtasiwn. Mae un rhes yn rhestru grwpiau, mae'r llall yn rhestru cynlluniau llofnod a hunaniaethau, ac nid yw'r naill yn dystiolaeth am y llall.
Rhowch bob allwedd breifat gyda'i pherchennog gwirioneddol
Mae porth sy'n cyflwyno ei dystysgrif ei hun angen yr allwedd breifat sy'n cyfateb iddi. Mae cymar sy'n dilysu cadwyn angen tystysgrif y CA, ac yn benodol nid oes angen allwedd lofnodi'r CA arno. Cymysgu'r tri arteffact hynny yw sut y mae pobl yn diweddu'n mewngludo allwedd breifat CA i ddyfais VPN i wneud i dystysgrif ymddangos mewn categori gwahanol.
Ar FortiOS mae'r rolau'n wahanol: tystysgrif leol gyda'i hallwedd, tystysgrif bell a ddefnyddir i adnabod cymar, a chofnod CA pell sy'n sefydlu ymddiriedaeth mewn tystysgrifau a lofnodwyd gan y CA honno. Nid yw cofnod CA pell heb allwedd breifat yn anghyflawn; mae'n gywir at ei ddiben.
Mae allweddi llofnodi CA a fewngludwyd yn ehangu awdurdod unrhyw un a all ddarllen y ddyfais honno. Nid ydynt ychwaith yn datrys dilysu cyffredin y cymar, oherwydd mae dilysu angen y dystysgrif gyhoeddus a'r penderfyniad ymddiriedaeth, nid y gallu i fathu tystysgrifau newydd.
Cadwch allwedd lofnodi'r CA gyda phroses y dyroddwr ei hun, a chofnodwch pa ddyfais sy'n dal pa allwedd. Mae tabl byr o berchnogion yn werth mwy na thabl hirach o algorithmau pan fydd archwiliad yn gofyn pwy allai efelychu pwy. Nid oes neb yn mewngludo allwedd y maent yn gwybod sy'n unig ar gyfer rhestr eiddo. Ysgrifennwch y rhestr eiddo cyn yr digwyddiad, nid ar ei ôl.