Windows пен FortiGate жүйелеріндегі IKEv2: адамдар біріктіретін үш параметр
IKE кілт алмасуы, CHILD SA қорғанысы және серіктестің аутентификациясы үш бөлек жол. Екі диалогтағы топ нөмірлерінің сәйкес келуі оларды біріктірмейді.
Windows клиенті мен FortiGate шлюзі арасындағы IKEv2 келісімі сәтсіздікке ұшырап жатыр, ал сәйкес келмейтін нөмірді іздеу одан да ұзын нөмірлер тізімін тудырады. Тізім тек үш жолға бөлінгенде ғана басқарылатын болады, олар тәуелсіз түрде сәтсіздікке ұшырайды: IKE-ны қорғайтын кілт алмасуы, CHILD SA-ға қолданылатын қорғаныс және әрбір тараптың кім екенін дәлелдейтін аутентификация. Топ нөмірлері осы жолдардың екеуінде кездеседі және әртүрлі мағына береді.
Тәуелсіз түрде сәтсіздікке ұшырайтын үш жол
Бірінші жол — IKE-ның ішіндегі кілт алмасуы, ол келіссөзді қорғайтын кілттерді жасайды. Екіншісі — CHILD SA үшін ұсыныс, ол туннель тасымалдайтын трафикті қорғайды. Үшіншісі — аутентификация, ол әр тараптың не ұсынатынын және екінші тараптың оны қалай тексеретінін шешеді.
Сәтсіздіктер түрлі жерлерде орын алады. Алмасу сәтсіздігі туннель пайда болмай тұрып келіссөзді тоқтатады. CHILD SA сәтсіздігі аутентификация сәтті өткеннен кейін болады, кейде тек кілттерді жаңарту кезінде. Аутентификация сәтсіздігі журналдарда алмасу сәтсіздігіне ұқсауы мүмкін, егер тек бірінші қатені оқысаңыз.
Жолдарды бөлу — бухгалтерия емес. Ол қай параметрді өзгертуге тұрарлық екенін өзгертеді және осы саладағы ең қымбат қадамды болдырмайды, яғни ұсыныс сәйкессіздігін түзету үшін жұмыс істеп тұрған сертификаттарды қайта жасау. Бір жолдың өзгеруі қалған екеуін онымен бірге өзгеруге мәжбүр етпеуі керек. Дәл осы тәуелсіздік оларды бөлек жазудағы барлық мән.
Windows-тың екі өрісі нені басқарады
Windows екі өрісті бөлек ұстайды: DHGroup IKE алмасуын өзін конфигурациялайды, ал PfsGroup туннель ішіндегі трафикті қорғайтын IPsec саясатын конфигурациялайды. Олар әртүрлі фазаларға жатады. Windows-тың IKE өрісін FortiGate-тің 2-фазасының мәнімен салыстыру дұрыс емес жұпты тексереді, ал нөмірлер сәйкес келуі мүмкін, бірақ негізгі алмасу әлі де сәтсіздікке ұшырайды.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAЕкінші және үшінші командалар шын мәнінде бар қауіпсіздік ассоциацияларын хабарлайды, және бұл клиенттің сізге бере алатын жауабына ең жақын нәрсе. Негізгі режим ассоциациясы болып, жылдам режим ассоциациясы болмауы — CHILD SA мәселесі, және бұл сертификат мәселесі емес, 2-фаза сәйкессіздігінің белгісі.
Бір әрекетте не ұсынылғанын және не таңдалғанын жазып алыңыз. Қолайлы ұсынысты қамтитын ұсынылған тізім және шлюз саясатына сәйкес келмейтін таңдалған ұсыныс — конфигурация келіспеушілігі, өзара әрекеттестік жұмбағы емес.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Эллипстік қисық тобы сіздің қолтаңба кілтін таңдамайды
Бұл саладағы ең тұрақты қате тұжырым — эллипстік қисық DH тобын таңдау эллипстік қисық сертификатын талап етеді деген пікір. DH тобы кілт алмасу материалын береді; қолтаңба алгоритмі аутентификация шеңберімен келісіледі, және бұл IKEv2-де екі бөлек шешім.
RFC 7427 дәл осы шешімдер бұрын шатасқандықтан бар және қолтаңба алгоритмдерінің кілт алмасуынан тәуелсіз түрде қалай жарияланып, таңдалатынын анықтайды. Шлюз бір уақытта қисық тобын да, қолтаңба схемаларының таңдауын да қолдай алады.
Сондықтан топ өзгергеннен кейін келіссөз сәтсіз болса, сертификаттың кілт түрін қараудың алдында аутентификация әдісін қараңыз. Сертификатты ауыстыру — баяу және қауіпті операция, ол сирек жауап болады, және оны бірінші жасау қай өзгеріс шынымен көмектескенін білу қабілетіңізді жояды. Сертификат қоймасына тимес бұрын аутентификация жолын оқыңыз.
Екеуін де келісім парағының бөлек жолдарында ұстаңыз, сонда қате азғырарлық болудан қалады. Бір жол топтарды, екіншісі қолтаңба схемалары мен сәйкестіктерді тізімдейді, және ешқайсысы екіншісі туралы дәлел емес.
Әр жеке кілтті оның нақты иесімен бірге қойыңыз
Өз сертификатын ұсынатын шлюзге оған сәйкес жеке кілт қажет. Тізбекті тексеретін серіктеске CA сертификаты қажет, және оған CA-ның қолтаңба кілті қажет емес. Осы үш элементті шатастыру — адамдардың сертификат басқа санатта көрінуі үшін VPN құрылғысына CA-ның жеке кілтін импорттауының себебі.
FortiOS-те рөлдер бөлек: кілтімен бірге жергілікті сертификат, серіктесті сәйкестендіру үшін пайдаланылатын қашықтағы сертификат және сол CA қол қойған сертификаттарға сенім орнататын қашықтағы CA жазбасы. Жеке кілтсіз қашықтағы CA жазбасы толық емес емес; ол өз мақсаты үшін дұрыс.
Импортталған CA қолтаңба кілттері сол құрылғыны оқи алатын кез келген адамның өкілеттігін кеңейтеді. Олар қарапайым серіктес тексеруін де шешпейді, өйткені тексеруге жария сертификат пен сенім шешімі қажет, жаңа сертификаттар шығару қабілеті емес.
CA қолтаңба кілтін шығарушының өз процесінде ұстаңыз және қай құрылғы қай кілтті ұстайтынын жазыңыз. Аудит кім кімге еліктей алатынын сұрағанда, иелердің қысқа кестесі алгоритмдердің ұзағырақ кестесінен құнды. Ешкім тек түгендеу үшін екенін білетін кілтті импорттамайды. Түгендеуді оқиғадан кейін емес, бұрын жазыңыз.