FortiGate Azure ath-eochair: ní thagann moladh peer SA le polasaí áitiúil

Tháinig an tollán aníos, rith an trácht, agus níos déanaí deir an logáil peer SA proposal not match local policy. Léann formhór na ndaoine an líne sin mar chruthúnas nár tháinig an dá chumraíocht le chéile riamh. De ghnáth ciallaíonn sé rud níos cúinge: tháinig siad le chéile don chéad CHILD SA agus stop siad ag teacht le chéile ag an gcéad athnuachan, mar ní raibh an malartú a dhéanann na cinn níos déanaí de dhíth riamh ar an gcéad chomhlachas. Is é an t-idirdhealú sin a shocraíonn cá bhféachfaidh tú.

Faigheann an chéad CHILD SA le hoidhreacht, déanann na cinn níos déanaí idirbheartaíocht

In IKEv2 cruthaítear an CHILD SA tosaigh le linn IKE_AUTH, agus díorthaítear a heochracha ó ábhar eochrach an IKE SA. Níl aon mhalartú Diffie-Hellman ar leith ag an bpointe sin, mar sin ní dhéantar grúpa PFS nach féidir le peer amháin a ghlacadh a thástáil fós. Breathnaíonn an tollán sláintiúil mar níor tástáladh riamh an riachtanas a theipfidh ort níos déanaí.

Is seicheamh teachtaireachtaí difriúil é ath-eochair CHILD_SA. Nuair a bhíonn PFS cumraithe, déanann na peers malartú eochrach nua agus caithfidh siad teacht ar aontú ar ghrúpa a nglacann an dá thaobh leis, chomh maith le moladh ESP don chomhlachas nua. Is é sin an nóiméad a n-éiríonn an neamhréir infheicthe, agus is é sin an fáth a n-ainmníonn an earráid moladh seachas bealach.

Mar sin ní insíonn “d'éirigh leis inné” aon rud duit faoin moladh. Insíonn sé duit gur éirigh leis an malartú tosaigh, rud a bhí ar eolas agat cheana.

Léigh an malartú a theip, ní an chéad ping

Bailigh an fíordheimhniú IKE rathúil, an CHILD SA tosaigh agus an t-athsholáthar a theip ón dá cheann sula n-athraíonn tú aon rud. Ansin ainmnigh an oibríocht go beacht: is trí imeacht éagsúla iad ath-eochair IKE SA, fíordheimhniú IKE arís agus ath-eochair CHILD SA, agus clúdaíonn “céim 2” iad uile i ngnáthchomhrá.

Déan comparáid idir na réimsí thíos don nasc a theip, ní don tollán i gcoitinne.

Ar FortiGate, oscail moladh chéim-2, an socrú PFS agus na grúpaí DH a nglactar leo don tollán sin. Léigh na luachanna luchtaithe seachas iad a bhaint as nasc a bunaíodh níos luaithe. Is fianaise níos laige é seat scáileáin de leathanach an GUI ná an chumraíocht atá ag rith, mar is féidir leis an dá rud teacht salach ar a chéile tar éis uasghrádaithe. Easpórtáil an chuid a d'athraigh tú agus coinnigh í leis an ticéad.

Is polasaí fós é polasaí réamhshocraithe Azure

Ní chiallaíonn sé nach gcuireann Azure aon pholasaí i bhfeidhm nach bhfuil polasaí saincheaptha ceangailte leis an nasc. Fillfidh an nasc ar shraith mholtaí réamhshocraithe an gheata, a d'fhéadfadh a bheith níos leithne nó níos cúinge ná an méid a thairgeann do FortiGate. Má luíonn an dá shraith thar a chéile do IKE ach ní do ESP le PFS, gheobhaidh tú an patrún teipe seo go beacht.

Taispeánann an t-amharc inléite amháin seo an polasaí atá ceangailte i ndáiríre, gan rúin a scaoileadh:

Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPolicies

Úsáid fíorainmneacha do acmhainní. Nuair a bhíonn polasaí sainráite de dhíth, socraigh é ar acmhainn an naisc. Ní lasc ar fud an gheata é, agus ní chuireann sé i bhfeidhm go ciúin ar tholláin eile ar an ngeata céanna.

Sa tairseach, is é leathanach Configuration an naisc sin an áit a dtéann polasaí IPsec/IKE saincheaptha. Liostaíonn treoir Microsoft um pholasaí saincheaptha na paraiméadair a dtacaítear leo agus riachtanais SKU. Glacann Azure le comhcheangal iomlán amháin in aghaidh an naisc, mar sin sonraíonn tú réimsí IKE agus réimsí IPsec le chéile, ní ceann ag an am.

Is riachtanas é PFS, ní lasc le casadh

Má éilíonn do bhunlíne slándála PFS, is é an réiteach grúpa a nglacann an dá peer leis ar an dá thaobh, arna shloinneadh trí pholasaí comhoiriúnach. Má mhúchann tú PFS chun an earráid a chur as, athraíonn tú an t-airí slándála a raibh tú ag iarraidh a choinneáil, agus tagann sé ar ais níos déanaí mar neamhréir eile de ghnáth.

Gaiste amháin a bhaineann go sonrach le Azure: nuair a roghnaíonn tú GCM do ESP, caithfidh na roghanna criptithe agus sláine an algartam GCM céanna agus an fad eochrach céanna a ainmniú. Má mheascann tú sifir GCM le halgartam sláine ar leith, cruthaítear comhcheangal a dhiúltaíonn an tseirbhís, agus breathnaíonn sé sin cosúil le neamhréir peer go dtí go léifidh tú an polasaí go cúramach.

Roghnaigh an comhcheangal is láidre a dtacaíonn an dá cheann leis agus a cheadaíonn do riachtanas, ansin scríobh síos é sa taifead athraithe. Déanfaidh an chéad duine eile comparáid leis an taifead sin, ní le cuimhne ar thollán a bhí ag obair. Cuir an grúpa PFS agus an moladh ESP ann, ní hamháin ainm an pholasaí. Nuair a fhiafraíonn duine níos déanaí cén fáth ar theip ar iniúchadh nó cén fáth a bhfuil ath-eochair mall, freagraíonn an líne sin an dá cheist.

Fíoraigh an malartú a theip

Sceideal an t-athrú le cosán téarnaimh, mar is féidir le eagarthóireacht an pholasaí an tollán a bhriseadh atá tú ag iarraidh a shocrú. Nuair a fhilleann an trácht, fan le hathnuachan CHILD_SA nó spreag é agus deimhnigh go mbunaítear an comhlachas nua leis an ngrúpa PFS atá beartaithe. Ansin deimhnigh go leanann trácht feidhmchlár tríd.

Is fiú dhá rian bréige a lua. Is sonraíochtaí áitiúla iad saolréanna SA, mar sin tá luachanna míchothroma normálta agus ní athraíonn a n-athrú ach cathain a thagann an fhadhb chun cinn. Aimsíonn DPD an bhfuil peer beo; ní ailíníonn ardú a theorainn ama roghanna ESP ná PFS.

Taifead an toradh idirbheartaithe agus an chéad imeacht eile tar éis an athraithe. Má theipeann ar an nasc anois sula gcríochnaítear fíordheimhniú IKE, tá tú ag féachaint ar na socruithe IKE a d'eagraigh tú díreach, ní ar chliseadh bunaidh athnuachana na CHILD.