FortiGate Azure sake maɓalli: shawarar peer SA ba ta dace da manufar gida ba

Hanyar ta tashi, zirga-zirga ta gudana, sannan daga baya log ɗin ya ce peer SA proposal not match local policy. Yawancin mutane suna karanta wannan layin a matsayin hujjar cewa tsarin biyu ba su taɓa dacewa ba. Yawanci yana nufin wani abu mai kunkunci: sun dace don farkon CHILD SA kuma sun daina dacewa a farkon sabuntawa, domin ƙungiyar farko ba ta taɓa buƙatar musayar da na baya ke yi ba. Wannan bambanci ne ke ƙayyade inda za ka duba.

Farkon CHILD SA yana gado, na baya suna tattaunawa

A cikin IKEv2 ana ƙirƙirar farkon CHILD SA yayin IKE_AUTH, kuma ana fitar da maɓallansa daga kayan maɓalli na IKE SA. Babu wata musayar Diffie-Hellman daban a wannan lokacin, don haka ƙungiyar PFS da wani peer ba zai iya karɓa ba har yanzu ba a gwada ta ba. Hanyar tana kama da lafiya domin buƙatun da za ka kasa cika shi daga baya ba a taɓa gwada shi ba.

Sake maɓallin CHILD_SA wani jerin saƙonni ne daban. Idan an saita PFS, peer ɗin suna yin sabuwar musayar maɓalli kuma dole su yarda da ƙungiyar da ɓangarorin biyu suka karɓa, tare da shawarar ESP don sabuwar ƙungiya. Wannan ne lokacin da rashin daidaituwa ke bayyana, kuma shi ya sa kuskuren ya ambaci shawara maimakon hanya.

Don haka “ya yi aiki jiya” ba ya gaya maka komai game da shawarar. Yana gaya maka cewa musayar farko ta yi nasara, abin da ka riga ka sani.

Karanta musayar da ta kasa, ba farkon ping ba

Tattara ingantaccen tabbaci na IKE, farkon CHILD SA da maye gurbin da ya kasa daga ɓangarorin biyu kafin ka canza komai. Sannan ka ambaci aikin daidai: sake maɓallin IKE SA, sake tabbatar da IKE da sake maɓallin CHILD SA abubuwa uku ne daban, kuma “mataki na 2” yana rufe su duka a magana ta yau da kullum.

Kwatanta filayen da ke ƙasa don haɗin da ya kasa, ba don hanyar gaba ɗaya ba.

A FortiGate, buɗe shawarar mataki-2, saitin PFS da ƙungiyoyin DH da aka karɓa don wannan hanyar. Karanta ƙimomin da aka loda maimakon tsinkayar su daga haɗin da aka kafa a baya. Hoton allo na shafin GUI hujja ce mai rauni fiye da tsarin da ke gudana, domin su biyu na iya samun sabani bayan haɓakawa. Fitar da sashin da ka canza ka ajiye shi tare da tikiti.

Manufar da ba a kayyade ta Azure manufa ce har yanzu

Rashin manufar da aka haɗa da haɗin ba ya nufin cewa Azure ba ya amfani da wata. Haɗin yana komawa ga jerin shawarwarin da ba a kayyade na ƙofa, wanda zai iya zama faɗi ko kunkuntu fiye da abin da FortiGate ɗinka ke bayarwa. Idan jerin biyu sun yi karo na IKE amma ba na ESP tare da PFS ba, za ka sami daidai wannan salon gazawa.

Wannan duban karatu-kawai yana nuna manufar da aka haɗa da gaske, ba tare da fallasa asirai ba:

Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPolicies

Yi amfani da ainihin sunayen albarkatunka. Idan ana buƙatar bayyanannen manufa, saita ta a kan albarkatun haɗin. Ba maɓalli ba ne na dukan ƙofar, kuma ba ya shiga cikin shiru ga wasu hanyoyi a wannan ƙofar.

A cikin tashar, shafin Configuration na wannan haɗin shine inda manufar IPsec/IKE ta musamman ke zuwa. Jagorar Microsoft kan manufofin musamman ta lissafa sigogin da aka goyi baya da buƙatun SKU. Azure yana ɗaukar cikakken haɗi ɗaya ga kowane haɗi, don haka kana bayyana filayen IKE da filayen IPsec tare, ba ɗaya bayan ɗaya ba.

PFS buƙata ce, ba maɓallin da za a juya ba

Idan tushen tsaronka yana buƙatar PFS, maganin shine ƙungiyar da duka peer ɗin suka karɓa a ɓangarorin biyu, wanda aka bayyana ta hanyar manufa mai dacewa. Kashe PFS don kuskuren ya ɓace yana canza yanayin tsaron da kake ƙoƙarin kiyayewa, kuma yawanci yana sake bayyana daga baya a matsayin wani rashin daidaituwa.

Tarko ɗaya na musamman na Azure: idan ka zaɓi GCM don ESP, zaɓin ɓoyewa da aminci dole su ambaci ainihin algorithm ɗin GCM da tsawon maɓalli ɗaya. Haɗa sifar GCM da wani algorithm na aminci daban yana haifar da haɗin da sabis ɗin ya ƙi, kuma hakan yana kama da rashin daidaituwa tsakanin peer har sai ka karanta manufar da kyau.

Zaɓi mafi ƙarfin haɗin da ɓangarorin biyu ke goyi baya kuma buƙatarka ta yarda, sannan rubuta shi a rikodin canji. Mutum na gaba zai kwatanta da wannan rikodin, ba da tunawa da hanyar da ke aiki ba. Saka ƙungiyar PFS da shawarar ESP a ciki, ba sunan manufar kawai ba. Idan wani daga baya ya tambaya me ya sa bincike ya kasa ko me ya sa sake maɓalli ke jinkiri, wannan layin yana amsa duka tambayoyin biyu.

Tabbatar da musayar da ta kasa

Tsara canjin tare da hanyar farfadowa, domin gyara manufar na iya katse hanyar da kake ƙoƙarin gyara. Bayan zirga-zirga ya dawo, jira ko jawo sabuntawar CHILD_SA kuma tabbatar an kafa sabuwar ƙungiyar da ƙungiyar PFS da ake nufi. Sannan tabbatar zirga-zirgar aikace-aikace na ci gaba a cikinta.

Ya kamata a ambaci ɓatattun alamu biyu. Tsawon rayuwar SA ƙayyadaddun gida ne, don haka ƙimomi marasa daidaito al'ada ne kuma canza su yana motsa lokacin da matsala ke bayyana kawai. DPD yana gano ko peer yana raye; ƙara lokacin jiransa ba ya daidaita zaɓin ESP ko PFS.

Yi rikodin sakamakon da aka tattauna da abin da ya biyo baya bayan canjin. Idan haɗin yanzu ya kasa kafin tabbaciar IKE ta cika, kana kallon saitunan IKE da ka gyara yanzu, ba gazawar sabunta CHILD ta asali ba.