IKEv2 ar Windows agus FortiGate: trí shocrú a chumascann daoine
Is trí shraith ar leith iad malartú eochracha IKE, cosaint CHILD SA agus fíordheimhniú an phiar. Ní chumascann na huimhreacha grúpa céanna i dhá fhuinneog iad.
Teipeann ar chomhaontú IKEv2 idir cliant Windows agus geata FortiGate arís agus arís eile, agus cruthaíonn an cuardach ar uimhir nach n-oireann liosta uimhreacha níos faide fós. Ní bhíonn an liosta inbhainistithe go dtí go roinntear ina thrí shraith a theipeann go neamhspleách é: an malartú eochracha a chosnaíonn IKE, an chosaint a chuirtear i bhfeidhm ar an CHILD SA, agus an fhíordheimhniú a chruthaíonn cé gach taobh. Tagann uimhreacha grúpa chun solais i dhá cheann de na sraitheanna sin agus ciallaíonn siad rudaí éagsúla.
Trí shraith a theipeann go neamhspleách
Is é an chéad sraith an malartú eochracha taobh istigh de IKE féin, a ghineann na heochracha a chosnaíonn an chaibidlíocht. Is é an dara ceann an togra don CHILD SA, a chosnaíonn an trácht a iompraíonn an tollán. Is é an tríú ceann fíordheimhniú, a shocraíonn cad a chuireann gach taobh i láthair agus conas a dhearbhaíonn an taobh eile é.
Titeann teipeanna in áiteanna éagsúla. Stopann teip malartaithe an chaibidlíocht sula mbíonn aon tollán ann. Tarlaíonn teip CHILD SA tar éis d'fhíordheimhniú éirí as, uaireanta amháin ar athnuachan eochracha. Féadann teip fhíordheimhniú breathnú mar theip mhalartaithe sna logaí más é an chéad earráid amháin a léann tú.
Ní cuntasaíocht é na sraitheanna a scaradh. Athraíonn sé cé acu socrú is fiú a athrú, agus cuireann sé bac ar an mbeart is costasaí sa réimse seo ar fad, is é sin teastais oibre a athghiniúint chun neamhréir togra a shocrú. Níor cheart go gcuirfeadh athrú ar shraith amháin iallach ar an dá cheann eile athrú léi. Is é an neamhspleáchas sin an chúis ar fad leo a scríobh ar leith.
Cad a rialaíonn dhá réimse Windows
Coimeádann Windows dhá réimse ar leith: cumraíonn DHGroup an malartú IKE féin, agus cumraíonn PfsGroup an beartas IPsec a chosnaíonn an trácht sa tollán. Baineann siad le céimeanna éagsúla. Déanann comparáid idir réimse IKE de chuid Windows agus luach céim 2 de chuid FortiGate tástáil ar an bpéire mícheart, agus féadann na huimhreacha a bheith ag teacht le chéile agus an malartú bunúsach fós ag teip.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSATuairiscíonn an dara agus an tríú ordú na comhlachais slándála atá ann i ndáiríre, agus sin an rud is gaire do fhreagra is féidir le cliant a thabhairt duit. Is fadhb CHILD SA é comhlachas príomh-mhóid gan comhlachas tapa-mhóid, agus is é an comhartha é de neamhréir chéim 2 seachas de fhadhb teastais.
Taifead cad a tairgeadh agus cad a roghnaíodh in aon iarracht amháin. Is easaontas cumraíochta é liosta tairgthe ina bhfuil togra inghlactha agus togra roghnaithe nach n-oireann do bheartas an gheata, ní mistéir idir-inoibritheachta.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Ní roghnaíonn grúpa cuar éilipseach d'eochair shínithe
Is é an tátal mícheart is buaine sa réimse seo gur gá teastas cuar éilipseach chun grúpa DH cuar éilipseach a roghnú. Soláthraíonn grúpa DH ábhar malartaithe eochracha; déanann an creat fíordheimhnithe an t-algartam sínithe a chaibidliú, agus is dhá chinneadh ar leith iad in IKEv2.
Tá RFC 7427 ann go díreach mar gheall go raibh na cinntí sin fite fuaite roimhe seo, agus sainíonn sé conas a fhógraítear agus a roghnaítear algartaim sínithe go neamhspleách ar an malartú eochracha. Féadann geata tacú le grúpa cuar agus le rogha scéimeanna sínithe ag an am céanna.
Mar sin, nuair a theipeann ar chaibidlíocht tar éis athrú grúpa, féach ar an modh fíordheimhnithe sula bhféachann tú ar chineál eochrach an teastais. Is oibríocht mhall rioscmhar é teastas a athrú nach mbíonn ina fhreagra ach go hannamh, agus má dhéanann tú ar dtús é scriostar do chumas a fháil amach cén t-athrú a chabhraigh i ndáiríre. Léigh an tsraith fhíordheimhnithe sula dteagmhaíonn tú le stór na dteastas.
Coinnigh an dá rud i sraitheanna ar leith den bhileog chomhaontaithe agus stopfaidh an earráid a bheith mealltach. Liostaíonn sraith amháin grúpaí, liostaíonn an ceann eile scéimeanna sínithe agus féiniúlachtaí, agus ní fianaise ar an gceann eile ceachtar acu.
Cuir gach eochair phríobháideach lena húinéir iarbhír
Teastaíonn an eochair phríobháideach a oireann dó ó gheata a chuireann a theastas féin i láthair. Teastaíonn teastas CA ó phiar a dhearbhaíonn slabhra, agus go beacht ní theastaíonn eochair shínithe an CA uaidh. Is é mearbhall na dtrí eilimint sin an bealach a dtéann daoine chun eochair phríobháideach CA a iompórtáil isteach i bhfeiste VPN chun go mbeadh teastas le feiceáil i gcatagóir eile.
Ar FortiOS tá na róil ar leith: teastas áitiúil lena eochair, teastas cianda a úsáidtear chun piar a aithint, agus iontráil CA chianda a bhunaíonn muinín i dteastais a shínigh an CA sin. Níl iontráil CA chianda gan eochair phríobháideach neamhiomlán; tá sí ceart dá feidhm.
Leathnaíonn eochracha sínithe CA iompórtáilte údarás aon duine ar féidir leis an bhfeiste sin a léamh. Ní réitíonn siad fíorú piar rialta ach an oiread, mar teastaíonn an teastas poiblí agus an cinneadh muiníne ón bhfíorú, ní an cumas teastais nua a dhéanamh.
Coinnigh eochair shínithe an CA le próiseas an eisitheora féin, agus taifead cé acu feiste a choinníonn cé acu eochair. Is fiú níos mó tábla gearr úinéirí ná tábla níos faide algartam nuair a fhiafraíonn iniúchadh cé a d'fhéadfadh aithris a dhéanamh ar cé. Ní iompórtálann aon duine eochair a bhfuil a fhios aige nach bhfuil ann ach le haghaidh fardail. Scríobh an fhardal roimh an teagmhas, ní ina dhiaidh.