FortiGate Azure võtmeuuendus: peer SA pakkumine ei vasta kohalikule poliitikale
Toimiv IKEv2 tunnel võib ikkagi asendus-CHILD SA tagasi lükata. Võrrelge pakkumist, mille üle uuendus tegelikult läbi räägib, mitte seda, mida kasutas esimene ping.
Tunnel tuli üles, liiklus voolas ja hiljem ütleb logi peer SA proposal not match local policy. Enamik inimesi loeb seda rida tõestuseks, et kaks konfiguratsiooni ei sobitunud kunagi. Tavaliselt tähendab see midagi kitsamat: need sobisid esimese CHILD SA jaoks ja lakkasid sobimast esimesel uuendusel, sest esimene assotsiatsioon ei vajanud kunagi vahetust, mida teevad hilisemad. Just see erinevus otsustab, kuhu vaadata.
Esimene CHILD SA pärib, hilisemad peavad läbi rääkima
IKEv2-s luuakse algne CHILD SA IKE_AUTH ajal ja selle võtmed tuletatakse IKE SA võtmematerjalist. Sel hetkel eraldi Diffie-Hellmani vahetust ei toimu, seega PFS gruppi, mida üks peer ei suuda aktsepteerida, lihtsalt veel ei testita. Tunnel näib terve, sest nõuet, mille juures te hiljem läbi kukute, ei testitud kunagi.
CHILD_SA võtmeuuendus on teistsugune sõnumijada. Kui PFS on konfigureeritud, teevad peerid värske võtmevahetuse ja peavad kokku leppima grupis, mille mõlemad pooled aktsepteerivad, pluss uue assotsiatsiooni ESP pakkumises. See on hetk, mil lahknevus muutub nähtavaks, ja seepärast nimetab viga pakkumist, mitte marsruuti.
Nii et “eile see töötas” ei ütle teile pakkumise kohta midagi. See ütleb, et algne vahetus õnnestus, mida te juba teadsite.
Lugege ebaõnnestunud vahetust, mitte esimest pingi
Enne millegi muutmist koguge mõlemast otsast õnnestunud IKE autentimine, algne CHILD SA ja ebaõnnestunud asendus. Seejärel nimetage toiming täpselt: IKE SA võtmeuuendus, IKE uuesti autentimine ja CHILD SA võtmeuuendus on kolm erinevat sündmust ning “faas 2” katab tavakõnes need kõik.
Võrrelge allolevaid välju nurjunud ühenduse jaoks, mitte tunneli üldiselt.
| Kiht | Võrreldavad väärtused |
|---|---|
| IKE | Versioon, krüpteerimine ja terviklikkus või PRF paigutus, DH grupp |
| IPsec / CHILD | ESP krüpteerimine ja terviklikkus, kavandatud PFS või võtmevahetuse grupp |
| Kaitstud liiklus | Kohalikud ja kaugvalijad, pluss mis tahes poliitikapõhine valija seade |
FortiGate'il avage selle tunneli faas-2 pakkumine, PFS seade ja aktsepteeritud DH grupid. Lugege laaditud väärtusi, selle asemel et tuletada neid varem loodud ühendusest. GUI lehe ekraanipilt on nõrgem tõend kui töötav konfiguratsioon, sest need kaks võivad pärast uuendust erineda. Eksportige muudetud jaotis ja hoidke seda pileti juures.
Azure'i vaikepoliitika on ikka poliitika
See, et ühendusele ei ole lisatud kohandatud poliitikat, ei tähenda, et Azure ei rakenda ühtegi. Ühendus langeb tagasi lüüsi vaikepakkumiste komplektile, mis võib olla laiem või kitsam kui teie FortiGate pakub. Kui kaks komplekti kattuvad IKE puhul, aga mitte ESP puhul koos PFS-iga, saate täpselt sellise nurjumismustri.
See kirjutuskaitstud vaade näitab tegelikult lisatud poliitikat, paljastamata saladusi:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesKasutage oma tegelikke ressursinimesid. Kui on vaja selgesõnalist poliitikat, määrake see ühenduse ressursile. See ei ole lüüsipõhine lüliti ja ei rakendu vaikselt teistele tunnelitele samas lüüsis.
Portaalis on Configuration leht selle ühenduse jaoks koht, kuhu kuulub kohandatud IPsec/IKE poliitika. Microsofti kohandatud poliitikate juhend loetleb toetatud parameetrid ja SKU nõuded. Azure võtab ühe täieliku kombinatsiooni ühenduse kohta, seega määrate IKE väljad ja IPsec väljad koos, mitte ükshaaval.
PFS on nõue, mitte lüliti, mida ümber lükata
Kui teie turbebasjoon nõuab PFS-i, on lahendus grupp, mille mõlemad peerid mõlemal pool aktsepteerivad, väljendatuna sobiva poliitika kaudu. PFS-i väljalülitamine vea kadumiseks muudab turvaomadust, mida püüdsite hoida, ja see ilmub tavaliselt hiljem uue lahknevusena.
Üks Azure'i-spetsiifiline lõks: kui valite ESP jaoks GCM-i, peavad krüpteerimis- ja terviklikkusvalikud nimetama sama GCM algoritmi ja sama võtme pikkust. GCM šifri segamine eraldi terviklikkusalgoritmiga annab kombinatsiooni, mille teenus tagasi lükkab, ja see näeb välja nagu peeride lahknevus, kuni poliitikat hoolikalt loete.
Valige tugevaim kombinatsioon, mida mõlemad otsad toetavad ja teie nõue lubab, seejärel kirjutage see muudatuste registrisse. Järgmine inimene võrdleb selle registriga, mitte mälestusega töötavast tunnelist. Pange sinna PFS grupp ja ESP pakkumine, mitte ainult poliitika nimi. Kui keegi hiljem küsib, miks audit ebaõnnestus või miks võtmeuuendus on aeglane, vastab see rida mõlemale küsimusele.
Kontrollige ebaõnnestunud vahetust
Planeerige muudatus taastumisteega, sest poliitika muutmine võib katkestada tunneli, mida püüate parandada. Kui liiklus taastub, oodake või käivitage CHILD_SA uuendus ja kinnitage, et uus assotsiatsioon luuakse kavandatud PFS grupiga. Seejärel kinnitage, et rakendusliiklus jätkub selle kaudu.
Kaks valerada tasub nimetada. SA eluead on kohalikud spetsifikatsioonid, seega ebavõrdsed väärtused on normaalsed ja nende muutmine liigutab ainult seda, millal probleem ilmub. DPD tuvastab, kas peer on elus; selle ajalimiidi tõstmine ei ühtlusta ESP ega PFS valikuid.
Registreerige läbi räägitud tulemus ja järgmine sündmus pärast muudatust. Kui ühendus nüüd nurjub enne IKE autentimise lõppu, vaatate IKE seadeid, mida just muutsite, mitte algset CHILD-uuenduse nurjumist.