FortiGate Azure кілтті жаңарту: peer SA ұсынысы жергілікті саясатқа сай емес
Жұмыс істеп тұрған IKEv2 туннелі де ауыстырушы CHILD SA-ны қабылдамауы мүмкін. Жаңарту шын мәнінде келісетін ұсынысты салыстырыңыз, бірінші ping қолданған ұсынысты емес.
Туннель көтерілді, трафик өтті, кейін журнал былай дейді: peer SA proposal not match local policy. Көпшілік бұл жолды екі конфигурация ешқашан сәйкес келмегенінің дәлелі деп оқиды. Әдетте ол тар мағынаны білдіреді: олар бірінші CHILD SA үшін сәйкес келді де, бірінші жаңартуда сәйкестікті тоқтатты, себебі бірінші ассоциацияға кейінгілер жасайтын алмасу ешқашан қажет болмады. Дәл осы айырмашылық қайда қарау керектігін анықтайды.
Бірінші CHILD SA мұра етеді, кейінгілер келіссөз жүргізеді
IKEv2-де бастапқы CHILD SA IKE_AUTH кезінде жасалады, ал оның кілттері IKE SA кілттік материалынан шығарылады. Сол сәтте жеке Diffie-Hellman алмасуы жоқ, сондықтан бір peer қабылдай алмайтын PFS тобы әзірге сыналмайды. Туннель сау көрінеді, себебі кейін сәтсіздікке ұшырайтын талап ешқашан тексерілмеген.
CHILD_SA кілтін жаңарту — басқа хабарлар тізбегі. PFS конфигурацияланған кезде peer-лер жаңа кілт алмасуын жүргізеді және екі жақ та қабылдайтын топқа, сондай-ақ жаңа ассоциация үшін ESP ұсынысына келісуі керек. Сәйкессіздік көрінетін сәт дәл осы, сондықтан қате маршрутты емес, ұсынысты атайды.
Сондықтан «кеше жұмыс істеген» ұсыныс туралы ештеңе айтпайды. Ол бастапқы алмасудың сәтті болғанын айтады, оны сіз бұрыннан білетінсіз.
Сәтсіз алмасуды оқыңыз, бірінші ping-ді емес
Бірдеңе өзгертуден бұрын екі жақтан да сәтті IKE аутентификациясын, бастапқы CHILD SA-ны және сәтсіз ауыстыруды жинаңыз. Содан кейін операцияны дәл атаңыз: IKE SA кілтін жаңарту, IKE қайта аутентификациясы және CHILD SA кілтін жаңарту — үш түрлі оқиға, ал «2-фаза» күнделікті сөйлеуде олардың барлығын қамтиды.
Төмендегі өрістерді сәтсіз болған қосылым үшін салыстырыңыз, туннель үшін жалпы емес.
| Қабат | Салыстырылатын мәндер |
|---|---|
| IKE | Нұсқа, шифрлау және тұтастық немесе PRF орналасуы, DH тобы |
| IPsec / CHILD | ESP шифрлауы және тұтастығы, көзделген PFS немесе кілт алмасу тобы |
| Қорғалған трафик | Жергілікті және қашықтағы селекторлар, сондай-ақ саясатқа негізделген кез келген селектор параметрі |
FortiGate-те сол туннельдің 2-фаза ұсынысын, PFS параметрін және қабылданған DH топтарын ашыңыз. Бұрын орнаған қосылымнан болжаудың орнына жүктелген мәндерді оқыңыз. GUI бетінің скриншоты жұмыс істеп тұрған конфигурациядан әлсіз дәлел, себебі екеуі жаңартудан кейін алшақтауы мүмкін. Өзгерткен бөліміңізді экспорттап, оны тикетпен бірге сақтаңыз.
Azure-дың әдепкі саясаты да саясат
Қосылымға бейімделген саясаттың тіркелмеуі Azure ешбір саясатты қолданбайды дегенді білдірмейді. Қосылым шлюздің әдепкі ұсыныстар жиынтығына оралады, ол сіздің FortiGate ұсынатынынан кеңірек немесе тарырақ болуы мүмкін. Егер екі жиынтық IKE үшін қабаттасса, бірақ PFS-пен ESP үшін қабаттаспаса, дәл осы сәтсіздік үлгісін аласыз.
Бұл тек оқуға арналған көрініс нақты тіркелген саясатты құпияларды ашпай көрсетеді:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesНақты ресурс атауларын қолданыңыз. Айқын саясат қажет болса, оны қосылым ресурсына орнатыңыз. Бұл бүкіл шлюздің қосқышы емес және сол шлюздегі басқа туннельдерге үнсіз қолданылмайды.
Порталда Configuration беті сол қосылымның бейімделген IPsec/IKE саясаты орналасатын жер. Microsoft-тың бейімделген саясаттар жөніндегі нұсқаулығы қолдау көрсетілетін параметрлер мен SKU талаптарын тізімдейді. Azure қосылымға бір толық комбинация алады, сондықтан IKE өрістерін және IPsec өрістерін бірге көрсетесіз, бір-бірлеп емес.
PFS — талап, аударып қоятын қосқыш емес
Егер қауіпсіздік базалық сызығыңыз PFS-ті талап етсе, шешім — екі жақтағы екі peer қабылдайтын және сәйкес саясатпен өрнектелген топ. Қатені жою үшін PFS-ті өшіру сақтағыңыз келген қауіпсіздік қасиетін өзгертеді және ол әдетте кейінірек басқа сәйкессіздік ретінде қайтады.
Azure-ға тән бір тұзақ: ESP үшін GCM таңдағанда, шифрлау мен тұтастық таңдаулары бірдей GCM алгоритмін және бірдей кілт ұзындығын атауы керек. GCM шифрын жеке тұтастық алгоритмімен араластыру қызмет қабылдамайтын комбинация жасайды, және саясатты мұқият оқығанша бұл peer арасындағы сәйкессіздік сияқты көрінеді.
Екі ұш та қолдайтын және талабыңыз рұқсат ететін ең күшті комбинацияны таңдап, оны өзгерістер жазбасына жазыңыз. Келесі адам сол жазбамен салыстырады, жұмыс істеген туннельдің естелігімен емес. Оған PFS тобын және ESP ұсынысын қосыңыз, тек саясат атын ғана емес. Кейін біреу аудит неге сәтсіз болды немесе жаңарту неге баяу деп сұраса, сол жол екі сұраққа да жауап береді.
Сәтсіз болған алмасуды тексеріңіз
Өзгерісті қалпына келтіру жолымен жоспарлаңыз, себебі саясатты өңдеу түзетуге тырысып жатқан туннельді үзуі мүмкін. Трафик қайтқаннан кейін CHILD_SA жаңаруын күтіңіз немесе оны іске қосыңыз және жаңа ассоциацияның көзделген PFS тобымен орнағанын растаңыз. Содан кейін қосымша трафигінің ол арқылы жалғасатынын растаңыз.
Екі жалған ізді атаған жөн. SA өмір сүру мерзімдері жергілікті сипаттамалар, сондықтан тең емес мәндер қалыпты және оларды өзгерту мәселенің қашан пайда болатынын ғана жылжытады. DPD peer тірі ме екенін анықтайды; оның уақыт шегін көтеру ESP немесе PFS таңдауын теңестірмейді.
Келісілген нәтижені және өзгерістен кейінгі келесі оқиғаны жазып қойыңыз. Егер қосылым қазір IKE аутентификациясы аяқталмай тұрып сәтсіз болса, сіз жаңа ғана өңдеген IKE параметрлерін қарап отырсыз, алғашқы CHILD жаңару сәтсіздігін емес.