FortiGate Azure ачкычты жаңыртуу: peer SA сунушу жергиликтүү саясатка туура келбейт
Иштеп турган IKEv2 туннели да алмаштыруучу CHILD SAны четке кага алат. Жаңыртуу чындап сүйлөшкөн сунушту салыштырыңыз, биринчи ping колдонгонун эмес.
Туннель көтөрүлдү, трафик өттү, кийин журнал мындай дейт: peer SA proposal not match local policy. Көпчүлүк бул сапты эки конфигурация эч качан дал келбегенин далили деп окушат. Адатта бул тар маанини билдирет: алар биринчи CHILD SA үчүн дал келишкен жана биринчи жаңыртууда дал келүүнү токтотушкан, анткени биринчи ассоциацияга кийинкилер жасаган алмашуу эч качан керек болгон эмес. Ушул айырма кайда кароону аныктайт.
Биринчи CHILD SA мурастайт, кийинкилер сүйлөшөт
IKEv2де баштапкы CHILD SA IKE_AUTH учурунда түзүлөт жана анын ачкычтары IKE SAнын ачкыч материалынан алынат. Ошол учурда өзүнчө Diffie-Hellman алмашуусу жок, ошондуктан бир peer кабыл ала албаган PFS тобу азырынча сыналбайт. Туннель ден соолуктуу көрүнөт, анткени кийин сиз ийгиликсиз боло турган талап эч качан текшерилген эмес.
CHILD_SA ачкычын жаңыртуу башка билдирүүлөр ырааттуулугу. PFS конфигурацияланганда, peerлер жаңы ачкыч алмашуусун жүргүзүшөт жана эки тарап тең кабыл алган топ, ошондой эле жаңы ассоциация үчүн ESP сунушу боюнча макулдашышат. Дал ушул учурда шайкешсиздик көрүнөт, ошондуктан ката маршрутту эмес, сунушту атайт.
Демек «кечээ иштеген» сунуш тууралуу сизге эч нерсе айтпайт. Ал баштапкы алмашуу ийгиликтүү болгонун айтат, муну сиз мурун эле билчүсүз.
Ийгиликсиз алмашууну окуңуз, биринчи pingди эмес
Бир нерсени өзгөртүүдөн мурун эки тараптан тең ийгиликтүү IKE аутентификациясын, баштапкы CHILD SAны жана ийгиликсиз алмаштырууну чогултуңуз. Андан кийин операцияны так атаңыз: IKE SA ачкычын жаңыртуу, IKE кайра аутентификациясы жана CHILD SA ачкычын жаңыртуу — үч башка окуя, ал эми «2-фаза» күнүмдүк сүйлөшүүдө алардын баарын камтыйт.
Төмөнкү талааларды ийгиликсиз болгон туташуу үчүн салыштырыңыз, туннель үчүн жалпы эмес.
| Катмар | Салыштырылуучу баалуулуктар |
|---|---|
| IKE | Версия, шифрлөө жана бүтүндүк же PRF жайгашуусу, DH тобу |
| IPsec / CHILD | ESP шифрлөө жана бүтүндүк, көздөлгөн PFS же ачкыч алмашуу тобу |
| Корголгон трафик | Жергиликтүү жана алыскы селекторлор, ошондой эле саясатка негизделген ар кандай селектор жөндөөсү |
FortiGateте ошол туннелдин 2-фаза сунушун, PFS жөндөөсүн жана кабыл алынган DH топторун ачыңыз. Мурун түзүлгөн туташуудан божомолдоонун ордуна жүктөлгөн баалуулуктарды окуңуз. GUI бетинин скриншоту иштеп турган конфигурациядан алсызыраак далил, анткени экөө жаңыртуудан кийин айырмаланышы мүмкүн. Өзгөрткөн бөлүмүңүздү экспорттоп, аны тикет менен бирге сактаңыз.
Azureдын демейки саясаты да саясат
Туташууга ыңгайлаштырылган саясаттын тиркелбеши Azure эч кандай саясатты колдонбойт дегенди билдирбейт. Туташуу шлюздун демейки сунуштар топтомуна кайтат, ал сиздин FortiGate сунуштаганынан кененирээк же тарыраак болушу мүмкүн. Эгер эки топтом IKE үчүн капталса, бирок PFS менен ESP үчүн капталбаса, так ушул ийгиликсиздик үлгүсүн аласыз.
Бул окуу үчүн гана көрүнүш чындап тиркелген саясатты сырларды ачпастан көрсөтөт:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesРеалдуу ресурс аттарыңызды колдонуңуз. Ачык саясат керек болгондо, аны туташуу ресурсуна коюңуз. Бул бүт шлюздун которгучу эмес жана ошол эле шлюздеги башка туннелдерге үнсүз колдонулбайт.
Порталда Configuration бети ошол туташуунун ыңгайлаштырылган IPsec/IKE саясаты жайгашкан жер. Microsoftтун ыңгайлаштырылган саясаттар боюнча колдонмосу колдоого алынган параметрлерди жана SKU талаптарын тизмелейт. Azure туташууга бир толук айкалышты алат, ошондуктан IKE талааларын жана IPsec талааларын чогуу көрсөтөсүз, бир-бирден эмес.
PFS — талап, оодарып коюучу которгуч эмес
Эгер коопсуздук базалык сызыгыңыз PFSти талап кылса, чечим — эки тараптагы эки peer кабыл алган жана дал келген саясат менен туюнтулган топ. Катаны жоготуу үчүн PFSти өчүрүү сактагыңыз келген коопсуздук касиетин өзгөртөт жана ал адатта кийин башка шайкешсиздик катары кайтат.
Azureга таандык бир тузак: ESP үчүн GCM тандаганда, шифрлөө жана бүтүндүк тандоолору бирдей GCM алгоритмин жана бирдей ачкыч узундугун аташы керек. GCM шифрин өзүнчө бүтүндүк алгоритми менен аралаштыруу кызмат четке каккан айкалышты пайда кылат жана саясатты кунт коюп окуганга чейин бул peerлер ортосундагы шайкешсиздикке окшош.
Эки уч тең колдогон жана талабыңыз уруксат берген эң күчтүү айкалышты тандап, аны өзгөрүүлөр жазуусуна жазыңыз. Кийинки адам ошол жазуу менен салыштырат, иштеген туннелдин эстелиги менен эмес. Ага PFS тобун жана ESP сунушун киргизиңиз, саясаттын атын гана эмес. Кийин бирөө аудит эмне үчүн ийгиликсиз болду же жаңыртуу эмне үчүн жай деп сураса, ошол сап эки суроого тең жооп берет.
Ийгиликсиз болгон алмашууну текшериңиз
Өзгөртүүнү калыбына келтирүү жолу менен пландаштырыңыз, анткени саясатты оңдоо түзөтүүгө аракет кылып жаткан туннелди үзүшү мүмкүн. Трафик кайткандан кийин CHILD_SA жаңыртуусун күтүңүз же аны иштетиңиз жана жаңы ассоциация көздөлгөн PFS тобу менен орнотулганын ырастаңыз. Андан кийин колдонмо трафигинин анын аркылуу уланганын ырастаңыз.
Эки жалган изди атап кетүү зарыл. SA өмүрү жергиликтүү спецификациялар, ошондуктан тең эмес баалуулуктар кадимки жана аларды өзгөртүү маселенин качан пайда болорун гана жылдырат. DPD peer тирүүбү же жокпу аныктайт; анын убакыт чегин көтөрүү ESP же PFS тандоолорун теңдештирбейт.
Келишилген натыйжаны жана өзгөртүүдөн кийинки окуяны жазып коюңуз. Эгер туташуу азыр IKE аутентификациясы бүтө электе ийгиликсиз болсо, сиз жаңы эле оңдогон IKE жөндөөлөрүн карап жатасыз, баштапкы CHILD жаңыртуу ийгиликсиздигин эмес.