IKEv2 a kan Windows da FortiGate: saiti uku da mutane suke haɗawa
Musayar maɓallin IKE, kariyar CHILD SA da tabbatar da abokin hulɗa layuka uku ne daban. Daidaita lambobin rukuni a taga biyu ba ya haɗa su.
Yarjejeniyar IKEv2 tsakanin abokin ciniki na Windows da ƙofar FortiGate ta ci gaba da gazawa, kuma neman lambar da ba ta dace ba yana haifar da dogon jerin lambobi. Jerin yana zama mai iya sarrafawa ne kawai idan an raba shi cikin layuka uku da suke gazawa da kansu: musayar maɓalli da ke kare IKE, kariyar da ake yi wa CHILD SA, da tabbaci da ke tabbatar da ko wanene kowane ɓangare. Lambobin rukuni suna bayyana a cikin biyu daga waɗannan layuka kuma suna nufin abubuwa daban-daban.
Layuka uku da suke gazawa da kansu
Layi na farko shi ne musayar maɓalli a cikin IKE kanta, wanda ke samar da maɓallan da ke kare tattaunawar. Na biyu shi ne shawara don CHILD SA, wanda ke kare zirga-zirgar da ramin ke ɗauka. Na uku shi ne tabbaci, wanda ke yanke shawara abin da kowane ɓangare ke gabatarwa da yadda ɗayan ke tabbatar da shi.
Gazawa suna faruwa a wurare daban-daban. Gazawar musayar tana dakatar da tattaunawar kafin a sami wani rami. Gazawar CHILD SA tana faruwa bayan tabbaci ya yi nasara, wani lokaci kawai a lokacin sabunta maɓalli. Gazawar tabbaci na iya kama da gazawar musayar a cikin rajista idan ka karanta kuskure na farko kawai.
Raba layukan ba lissafin kuɗi ba ne. Yana canza wace saiti ta cancanci canzawa, kuma yana hana mafi tsadar mataki a wannan fanni duka, wato sake ƙirƙirar takaddun shaida masu aiki don gyara rashin daidaituwar shawara. Canjin layi ɗaya bai kamata ya tilasta wa sauran biyun canzawa tare da shi ba. Wannan yancin kai shi ne dukan dalilin rubuta su daban.
Abin da filayen Windows biyu suke sarrafawa
Windows yana ajiye filaye biyu dabam: DHGroup yana saita musayar IKE kanta, yayin da PfsGroup yana saita manufar IPsec da ke kare zirga-zirgar cikin rami. Suna cikin matakai daban-daban. Kwatanta filin IKE na Windows da ƙimar mataki na 2 na FortiGate yana gwada ma'auratan da ba daidai ba, kuma lambobin na iya daidaitawa yayin da musayar da ke ƙasa har yanzu tana gazawa.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAUmarni na biyu da na uku suna ba da rahoton ƙungiyoyin tsaro da suke wanzu a zahiri, kuma wannan shi ne abin da ya fi kusa da amsa da abokin ciniki zai iya ba ka. Ƙungiyar yanayin babba ba tare da ƙungiyar yanayin sauri ba matsala ce ta CHILD SA, kuma ita ce alamar rashin daidaituwar mataki na 2 maimakon matsalar takardar shaida.
Rubuta abin da aka bayar da abin da aka zaɓa a ƙoƙari ɗaya. Jerin da aka bayar wanda ya ƙunshi shawara mai karɓuwa da shawarar da aka zaɓa wadda ba ta dace da manufar ƙofar ba, rashin jituwar saiti ne, ba asirin haɗin kai ba.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Ƙungiyar lanƙwasa mai siffar kwai ba ta zaɓar maɓallin sa hannunka
Mafi tsayin tunanin kuskure a wannan fanni shi ne cewa zaɓar ƙungiyar DH ta lanƙwasa mai siffar kwai yana buƙatar takardar shaidar lanƙwasa mai siffar kwai. Ƙungiyar DH tana samar da kayan musayar maɓalli; tsarin tabbaci ne ke tattauna algorithm na sa hannu, kuma biyun shawarwari ne daban a cikin IKEv2.
RFC 7427 ya wanzu ne don waɗannan shawarwarin sun kasance a haɗe a baya, kuma yana bayyana yadda ake sanar da algorithm na sa hannu da zaɓar su ba tare da musayar maɓalli ba. Ƙofa na iya tallafawa ƙungiyar lanƙwasa da zaɓin tsare-tsaren sa hannu a lokaci ɗaya.
Don haka idan tattaunawa ta gaza bayan canjin ƙungiya, duba hanyar tabbaci kafin ka duba nau'in maɓallin takardar shaidar. Canza takardar shaida aiki ne mai jinkiri kuma mai haɗari wanda ba safai ake amsa da shi ba, kuma yin hakan da farko yana lalata ikonka na gane wane canji ne ya taimaka da gaske. Karanta layin tabbaci kafin ka taɓa ajiyar takardun shaida.
Riƙe biyun a layuka dabam na takardar yarjejeniya kuma kuskuren zai daina zama abin sha'awa. Layi ɗaya yana jera ƙungiyoyi, ɗayan yana jera tsare-tsaren sa hannu da shela, kuma babu ɗaya da ya zama hujja kan ɗayan.
Sanya kowane maɓalli na sirri tare da ainihin mai shi
Ƙofar da ke gabatar da nata takardar shaidar tana buƙatar maɓallin sirri wanda ya dace da ita. Abokin hulɗa da ke tabbatar da sarkar yana buƙatar takardar shaidar CA, kuma musamman ba ya buƙatar maɓallin sa hannu na CA. Haɗa waɗannan abubuwa uku shi ne yadda mutane suke ƙarshe da shigo da maɓallin sirri na CA cikin na'urar VPN don takardar shaida ta bayyana a wani rukuni.
A FortiOS matsayin sun bambanta: takardar shaida ta gida tare da maɓallinta, takardar shaida mai nisa da ake amfani da ita don gane abokin hulɗa, da shigarwar CA mai nisa da ke kafa amincewa da takaddun shaida da wancan CA ya sanya hannu. Shigarwar CA mai nisa ba tare da maɓalli na sirri ba ajizanci ba ne; daidai ne don manufarta.
Maɓallan sa hannu na CA da aka shigo da su suna faɗaɗa ikon duk wanda zai iya karanta wannan na'urar. Ba su ma magance tabbatar da abokin hulɗa na yau da kullum ba, domin tabbatarwa na buƙatar takardar shaidar jama'a da shawarar amincewa, ba ikon ƙirƙirar sabbin takaddun shaida ba.
Riƙe maɓallin sa hannu na CA tare da tsarin mai bayarwa kansa, kuma rubuta wace na'ura ke riƙe wane maɓalli. Ɗan ƙaramin tebur na masu shi ya fi wani dogon tebur na algorithm daraja lokacin da bincike ya tambaya wanene zai iya yin kama da wanene. Babu wanda ke shigo da maɓalli da ya san na kaya ne kawai. Rubuta kayan ajiya kafin abin ya faru, ba bayansa ba.