FortiGate Azure endurnýjun lykla: peer SA tillaga passar ekki við staðbundna stefnu
Virkur IKEv2 göng geta samt hafnað varagöngunum CHILD SA. Berðu saman tillöguna sem endurnýjunin semur reyndar um, ekki þá sem fyrsta pingið notaði.
Göngin komust upp, umferðin rann, og síðar segir annállinn peer SA proposal not match local policy. Flestir lesa þá línu sem sönnun þess að stillingarnar tvær hafi aldrei passað saman. Yfirleitt þýðir hún eitthvað þrengra: þær pössuðu fyrir fyrsta CHILD SA og hættu að passa við fyrstu endurnýjun, því fyrsta samtengingin þurfti aldrei á þeim skiptum að halda sem síðari samtengingar gera. Þessi greinarmunur ræður því hvar þú leitar.
Fyrsta CHILD SA erfir, síðari semja
Í IKEv2 er upphaflega CHILD SA búið til í IKE_AUTH og lyklar hennar eru leiddir af lyklaefni IKE SA. Á þeim tímapunkti er engin sérstök Diffie-Hellman skipti, svo PFS hópur sem annar peer getur ekki samþykkt er einfaldlega ekki prófaður enn. Göngin líta heilbrigð út því krafan sem þú munt mistakast síðar var aldrei prófuð.
CHILD_SA lyklendurnýjun er önnur skilaboðaruna. Þegar PFS er stillt keyra peerarnir ný skipti og verða að komast að samkomulagi um hóp sem báðir aðilar samþykkja, auk ESP tillögunnar fyrir nýju samtenginguna. Það er augnablikið þegar misræmið verður sýnilegt, og þess vegna nefnir villan tillögu frekar en slóð.
Svo „það virkaði í gær“ segir þér ekkert um tillöguna. Það segir að upphaflegu skiptin hafi tekist, sem þú vissir nú þegar.
Lestu misheppnuðu skiptin, ekki fyrsta pingið
Safnaðu árangursríkri IKE auðkenningu, upphaflegu CHILD SA og misheppnuðu skiptunum frá báðum endum áður en þú breytir einhverju. Nefndu síðan aðgerðina nákvæmlega: IKE SA lyklendurnýjun, IKE endurauðkenning og CHILD SA lyklendurnýjun eru þrír mismunandi atburðir, og „fasi 2“ nær yfir þá alla í daglegu tali.
Berðu saman reitina hér að neðan fyrir tenginguna sem mistókst, ekki fyrir göngin almennt.
| Lag | Gildi til að bera saman |
|---|---|
| IKE | Útgáfa, dulritun og heilleiki eða PRF fyrirkomulag, DH hópur |
| IPsec / CHILD | ESP dulritun og heilleiki, fyrirhugaður PFS eða lyklaskiptahópur |
| Verndað umferð | Staðbundnir og fjarlægir veljendur, auk hvers kyns stefnutengds veljendastillingar |
Á FortiGate skaltu opna fasa-2 tillöguna, PFS stillinguna og samþykktu DH hópana fyrir þau göng. Lestu hlaðin gildi í stað þess að álykta þau frá tengingu sem komst á fyrr. Skjáskot af GUI síðunni er veikari sönnun en stillingin sem keyrir, því þau tvö geta verið ósammála eftir uppfærslu. Flyttu út hlutann sem þú breyttir og geymdu hann með miðanum.
Sjálfgefin stefna Azure er enn stefna
Það að engin sérsniðin stefna sé tengd við tenginguna þýðir ekki að Azure beiti engri. Tengingin fellur aftur á sjálfgefna tillögusafn gáttarinnar, sem getur verið breiðara eða þrengra en það sem FortiGate þitt býður. Ef safnin tvö skarast fyrir IKE en ekki fyrir ESP með PFS, færðu nákvæmlega þetta bilunarmynstur.
Þetta lesanlega yfirlit sýnir stefnuna sem raunverulega er tengd, án þess að leka leyndarmálum:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesNotaðu raunveruleg auðkenni auðlindanna. Þegar skýr stefna er nauðsynleg skaltu setja hana á tengingarauðlindina. Hún er ekki rofi fyrir alla gáttina og gildir ekki þegjandi fyrir önnur göng á sömu gátt.
Í gáttinni er síðan Configuration fyrir þá tengingu staðurinn þar sem sérsniðin IPsec/IKE stefna fer. Leiðarvísir Microsoft um sérsniðnar stefnur telur upp studdar færibreytur og SKU kröfur. Azure tekur eina heildstæða samsetningu fyrir hverja tengingu, svo þú tilgreinir IKE reitina og IPsec reitina saman, ekki einn í einu.
PFS er krafa, ekki rofi til að snúa
Ef öryggisgrunnlína þín krefst PFS er lausnin hópur sem báðir peerar samþykkja á báðum hliðum, tjáður með samsvarandi stefnu. Að slökkva á PFS svo villan hverfi breytir öryggiseiginleikanum sem þú reyndir að halda, og hann kemur yfirleitt aftur síðar sem annað misræmi.
Ein Azure-sértæk gildra: þegar þú velur GCM fyrir ESP verða dulritunar- og heilleikavalið að nefna sama GCM reiknirit og sama lyklalengd. Að blanda GCM dulritun með aðskildu heilleikareikniriti framleiðir samsetningu sem þjónustan hafnar, og það lítur út eins og misræmi milli peera þar til þú lest stefnuna vandlega.
Veldu sterkustu samsetninguna sem báðir endar styðja og krafa þín leyfir, og skrifaðu hana síðan í breytingaskrána. Næsta manneskja ber saman við þá skrá, ekki við minningu um virk göng. Settu PFS hópinn og ESP tillöguna í hana, ekki bara nafn stefnunnar. Þegar einhver spyr síðar hvers vegna úttekt mistókst eða hvers vegna lyklendurnýjun er hæg, svarar sú lína báðum spurningum.
Staðfestu skiptin sem mistókust
Skipuleggðu breytinguna með endurheimtarleið, því að breyta stefnunni getur rofið göngin sem þú ert að reyna að laga. Þegar umferðin kemur aftur skaltu bíða eftir CHILD_SA endurnýjun eða kveikja á henni og staðfesta að nýja samtengingin sé komin upp með fyrirhuguðum PFS hópi. Staðfestu síðan að forritsumferð haldi áfram í gegnum hana.
Tvö falsk spor eru þess virði að nefna. Líftímar SA eru staðbundnar forskriftir, svo ójöfn gildi eru eðlileg og að breyta þeim færir bara hvenær vandamálið birtist. DPD greinir hvort peer sé á lífi; að hækka tímamörkin samræmir ekki ESP eða PFS val.
Skráðu samningsniðurstöðuna og næsta atburð eftir breytinguna. Ef tengingin mistekst nú áður en IKE auðkenningu lýkur ertu að skoða IKE stillingarnar sem þú varst að breyta, ekki upprunalegu CHILD endurnýjunar bilunina.