IKEv2 í Windows og FortiGate: þrjár stillingar sem fólk sameinar
Skipti á IKE-lyklum, vernd CHILD SA og auðkenning jafningja eru þrjár aðskildar línur. Sömu hópnumur í tveimur gluggum sameina þær ekki.
IKEv2-samkomulag milli Windows-biðlara og FortiGate-gáttar heldur áfram að mistakast, og leitin að ósamræmdri tölu framleiðir enn lengri lista af tölum. Listinn verður aðeins viðráðanlegur þegar honum er skipt í þrjár línur sem mistakast óháð: lyklaskiptin sem vernda IKE, verndin sem beitt er á CHILD SA og auðkenningin sem sannar hver hvor hliðin er. Hópnumur birtast í tveimur þessara lína og þýða ólíka hluti.
Þrjár línur sem mistakast óháð
Fyrsta línan eru lyklaskiptin inni í IKE sjálfu, sem framleiða lyklana sem vernda samningaviðræðurnar. Önnur er tillagan fyrir CHILD SA, sem verndar umferðina sem göngin flytja. Þriðja er auðkenning, sem ákveður hvað hvor hliðin kynnir og hvernig hin staðfestir það.
Mistök lendu á ólíkum stöðum. Mistök í skiptum stöðva samningaviðræðurnar áður en nokkur göng eru til. Mistök í CHILD SA verða eftir að auðkenning heppnast, stundum aðeins við endurnýjun lykla. Mistök í auðkenningu geta í annálum litið út eins og mistök í skiptum ef þú lest aðeins fyrstu villuna.
Að skilja línurnar að er ekki bókhald. Það breytir því hvaða stilling er þess virði að breyta og kemur í veg fyrir dýrasta skrefið á öllu þessu sviði, sem er að endurskapa virk skírteini til að laga misræmi í tillögu. Breyting á einni línu ætti aldrei að neyða hinar tvær til að breytast með henni. Þetta sjálfstæði er allur tilgangurinn með að skrifa þær aðskildar.
Hvað stjórna tveir reitir Windows
Windows heldur tveimur reitum aðskildum: DHGroup stillir IKE-skiptin sjálf, en PfsGroup stillir IPsec-stefnuna sem verndar umferðina í göngunum. Þeir tilheyra ólíkum áföngum. Að bera Windows IKE-reit saman við FortiGate-gildi fyrir áfanga 2 prófar ranga parið, og tölurnar geta passað á meðan undirliggjandi skipti mistakast enn.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAÖnnur og þriðja skipunin tilkynna öryggjastengingarnar sem eru í raun til, og það er það næsta svari sem biðlari getur gefið þér. Aðalstillingar-tenging án hraðstillingar-tengingar er vandamál í CHILD SA, og það er merki um misræmi í áfanga 2 frekar en skírteinisvandamál.
Skráðu hvað var boðið og hvað var valið í einni tilraun. Boðinn listi sem inniheldur ásættanlega tillögu og valin tillaga sem passar ekki við stefnu gáttarinnar er stillingarágreiningur, ekki ráðgáta um samvirkni.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Hópur sporbaugslaga ferils velur ekki undirskriftarlykilinn þinn
Hin þrálátasta ranga ályktun á þessu sviði er að val á DH-hópi sporbaugslaga ferils krefjist skírteinis sporbaugslaga ferils. DH-hópur veitir efni fyrir lyklaskipti; undirskriftarreikniritið er samið af auðkenningarrammanum, og þetta eru tvær aðskildar ákvarðanir í IKEv2.
RFC 7427 er til einmitt vegna þess að þessar ákvarðanir voru áður fléttaðar saman, og það skilgreinir hvernig undirskriftarreiknirit eru tilkynnt og valin óháð lyklaskiptunum. Gátt getur stutt bæði ferilshóp og val á undirskriftarfyrirkomulagi á sama tíma.
Þegar samningaviðræður mistakast eftir hópbreytingu skaltu því líta á auðkenningaraðferðina áður en þú lítt á lyklategund skírteinisins. Að skipta um skírteini er hæg og áhættusöm aðgerð sem er sjaldan svarið, og að gera það fyrst eyðileggur getu þína til að átta þig á hvaða breyting hjálpaði í raun. Lestu auðkenningarlínuna áður en þú snertir skírteinageymsluna.
Haltu báðum í aðskildum línum samkomulagsblaðsins og mistökin hætta að vera freistandi. Ein lína telur upp hópa, hin telur upp undirskriftarfyrirkomulag og auðkenni, og hvorug er sönnun um hina.
Setja sérhvern einkalykil hjá raunverulegum eiganda sínum
Gátt sem kynnir eigið skírteini þarf einkalykilinn sem passar við það. Jafningi sem staðfestir keðju þarf CA-skírteinið og þarf sérstaklega ekki undirskriftarlykil CA. Að rugla þessum þremur þáttum er leiðin sem fólk endar á að flytja inn einkalykil CA í VPN-tæki til að láta skírteini birtast í öðrum flokki.
Á FortiOS eru hlutverkin aðskilin: staðbundið skírteini með lyklinum sínum, fjarskírteini sem notað er til að auðkenna jafningja og færsla fyrir fjarlæga CA sem byggir upp traust á skírteinum sem sú CA undirritaði. Færsla fyrir fjarlæga CA án einkalykils er ekki ófullkomin; hún er rétt fyrir sinn tilgang.
Innfluttir undirskriftarlyklar CA víkka vald hvers þess sem getur lesið tækið. Þeir leysa ekki heldur venjulega staðfestingu jafningja, því staðfesting þarf opinbera skírteinið og traustsákvörðunina, ekki getuna til að gefa út ný skírteini.
Haltu undirskriftarlykli CA hjá ferli útgefandans sjálfs og skráðu hvaða tæki heldur hvaða lykli. Stutt tafla yfir eigendur er meira virði en lengri tafla yfir reiknirit þegar endurskoðun spyr hver gæti hafa þótt vera hver. Enginn flytur inn lykil sem hann veit að er aðeins fyrir birgðaskrá. Skrifaðu birgðaskrána fyrir atburðinn, ekki eftir hann.