IKEv2 Windowsen eta FortiGaten: jendeak bateratzen dituen hiru ezarpen
IKE gako-trukea, CHILD SAren babesa eta parekidearen autentifikazioa hiru errenkada bereizi dira. Bi elkarrizketan talde-zenbakiak bat etortzeak ez ditu bateratzen.
Windows bezero baten eta FortiGate atebide baten arteko IKEv2 akordioak huts egiten jarraitzen du, eta bat ez datorren zenbaki baten bilaketak are zerrenda luzeagoa sortzen du. Zerrenda kudeagarria bihurtzen da hiru errenkadatan banatzen denean soilik, independenteki huts egiten dutenak: IKE babesten duen gako-trukea, CHILD SAri aplikatutako babesa eta alde bakoitza nor den frogatzen duen autentifikazioa. Talde-zenbakiak errenkada horietako bitan agertzen dira eta gauza desberdinak esan nahi dituzte.
Independenteki huts egiten duten hiru errenkada
Lehen errenkada IKEren beraren barruko gako-trukea da, negoziazioa babesten duten gakoak sortzen dituena. Bigarrena CHILD SArako proposamena da, tunelak daraman trafikoa babesten duena. Hirugarrena autentifikazioa da, alde bakoitzak zer aurkezten duen eta besteak nola balioztatzen duen erabakitzen duena.
Hutsegiteak leku desberdinetan gertatzen dira. Trukearen hutsegiteak negoziazioa gelditzen du tunelik existitu aurretik. CHILD SAren hutsegitea autentifikazioa lortu ondoren gertatzen da, batzuetan gakoak berritzean soilik. Autentifikazioaren hutsegitea erregistroetan trukearen hutsegitea bezala ager daiteke, lehen errorea soilik irakurtzen baduzu.
Errenkadak bereiztea ez da kontabilitatea. Aldatzen du zein ezarpen merezi duen aldatzea, eta eremu osoan zehar urrats garestiena eragozten du, hau da, funtzionatzen duten ziurtagiriak birsortzea proposamenaren desadostasun bat konpontzeko. Errenkada bat aldatzeak ez luke inoiz beste biak berarekin aldatzera behartu behar. Independentzia hori da haiek bereiz idaztearen arrazoi osoa.
Zer kontrolatzen duten Windowsen bi eremuek
Windowsek bi eremu bereizten ditu: DHGroup IKE trukea bera konfiguratzen du, eta PfsGroup tunelaren trafikoa babesten duen IPsec politika konfiguratzen du. Fase desberdinetakoak dira. Windowsen IKE eremu bat FortiGateko 2 fasearen balioarekin alderatzeak bikote okerra probatzen du, eta zenbakiak bat etor daitezke azpiko trukeak huts egiten jarraitzen duen bitartean.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSABigarren eta hirugarren komandoek benetan existitzen diren segurtasun-elkarteak erakusten dituzte, eta hori da bezero batek eman diezazukeen erantzunik hurbilena. Modu nagusiko elkarte bat modu azkarreko elkarterik gabe CHILD SAren arazoa da, eta 2 fasearen desadostasunaren seinalea da, ziurtagiriaren arazoa izan beharrean.
Erregistratu zer eskaini zen eta zer hautatu zen saiakera batean. Eskainitako zerrenda batek proposamen onargarri bat eta atebidearen politikarekin bat ez datorren hautatutako proposamen bat baditu, konfigurazio-desadostasuna da, ez interoperabilitatearen misterioa.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Kurba eliptikoko talde batek ez du zure sinadura-gakoa aukeratzen
Eremu honetako ondorio oker iraunkorrena da kurba eliptikoko DH talde bat aukeratzeak kurba eliptikoko ziurtagiri bat eskatzen duela. DH talde batek gako-trukerako materiala ematen du; sinadura-algoritmoa autentifikazio-esparruak negoziatzen du, eta bi erabaki bereizi dira IKEv2n.
RFC 7427 zehazki existitzen da erabaki horiek aurretik nahastuta zeudelako, eta sinadura-algoritmoak gako-truketik independenteki nola iragartzen eta aukeratzen diren definitzen du. Atebide batek kurba-talde bat eta sinadura-eskemen hautaketa bat aldi berean onar ditzake.
Beraz, negoziazioak huts egiten duenean talde-aldaketa baten ondoren, begiratu autentifikazio-metodoa ziurtagiriaren gako-mota begiratu aurretik. Ziurtagiri bat aldatzea eragiketa geldoa eta arriskutsua da, gutxitan da erantzuna, eta lehenengo egiteak zein aldaketak benetan lagundu zuen jakiteko gaitasuna suntsitzen du. Irakurri autentifikazio-errenkada ziurtagiri-biltegia ukitu aurretik.
Eduki biak akordio-orriaren errenkada bereizietan eta errorea tentagarria izateari utziko dio. Errenkada batek taldeak zerrendatzen ditu, besteak sinadura-eskemak eta identitateak, eta batek ere ez du bestearen frogarik ematen.
Jarri gako pribatu bakoitza bere benetako jabearekin
Bere ziurtagiria aurkezten duen atebide batek harekin bat datorren gako pribatua behar du. Kate bat balioztatzen duen parekide batek CA ziurtagiria behar du, eta zehazki ez du CAren sinadura-gakoa behar. Hiru artefaktu horiek nahastea da jendeak CAren gako pribatua VPN gailu batean inportatzea ziurtagiri bat beste kategoria batean ager dadin.
FortiOSen rolak desberdinak dira: ziurtagiri lokal bat bere gakoarekin, parekidea identifikatzeko erabiltzen den urrutiko ziurtagiri bat, eta urrutiko CA sarrera bat CA horrek sinatutako ziurtagirietan konfiantza ezartzen duena. Gako pribaturik gabeko urrutiko CA sarrera ez da osatugabea; zuzena da bere helbururako.
Inportatutako CA sinadura-gakoek gailu hori irakur dezakeen edonoren autoritatea zabaltzen dute. Ez dute parekidearen balioztatze arrunta ere konpontzen, balioztatzeak ziurtagiri publikoa eta konfiantza-erabakia behar baititu, ez ziurtagiri berriak sortzeko gaitasuna.
Eduki CAren sinadura-gakoa igorlearen beraren prozesuarekin, eta erregistratu zein gailuk zein gako duen. Jabeen taula labur batek algoritmoen taula luzeago batek baino gehiago balio du auditoriak nor nori nola egin ziezaiokeen galdetzen duenean. Inork ez du inportatzen inbentariorako soilik dela dakiokeen gako bat. Idatzi inbentarioa gertakariaren aurretik, ez ondoren.