Windows жана FortiGate'те IKEv2: адамдар бириктирген үч параметр
IKE ачкыч алмашуусу, CHILD SA коргоосу жана шериктештин аутентификациясы үч өзүнчө сап. Эки диалогдо топ номурлары дал келгени аларды бириктирбейт.
Windows кардары менен FortiGate дарбазасынын ортосундагы IKEv2 келишими ишке ашпай жатат, ал эми дал келбеген номерди издөө номерлердин дагы узун тизмесин жаратат. Тизме гана үч сапка бөлүнгөндө башкарылуучу болот, алар көз карандысыз ишке ашпайт: IKE коргогон ачкыч алмашуу, CHILD SA'га колдонулган коргоо жана ар бир тарап ким экенин далилдеген аутентификация. Топ номурлары ошол саптардын экөөндө кездешет жана ар башка маанини билдирет.
Көз карандысыз ишке ашпаган үч сап
Биринчи сап — IKE'нин ичиндеги ачкыч алмашуу, ал сүйлөшүүлөрдү коргогон ачкычтарды жаратат. Экинчиси — CHILD SA үчүн сунуш, ал туннель ташыган трафикти коргойт. Үчүнчүсү — аутентификация, ал ар бир тарап эмнени сунуштай турганын жана экинчи тарап аны кантип текшерерин аныктайт.
Ишке ашпоолор ар башка жерлерде болот. Алмашуунун ишке ашпоосу туннель пайда боло электе эле сүйлөшүүлөрдү токтотот. CHILD SA'нын ишке ашпоосу аутентификация ийгиликтүү болгондон кийин болот, кээде ачкычтарды жаңыртууда гана. Аутентификациянын ишке ашпоосу журналдарда алмашуунун ишке ашпоосуна окшош болушу мүмкүн, эгер сиз биринчи катаны гана окусаңыз.
Саптарды бөлүү — бухгалтерия эмес. Ал кайсы параметрди өзгөртүүгө татыктуу экенин өзгөртөт жана ушул тармактын эң кымбат кадамын болтурбайт, башкача айтканда сунуштун дал келбестигин оңдоо үчүн иштеп жаткан сертификаттарды кайра жаратуу. Бир саптын өзгөрүшү калган экөөнү өзү менен өзгөрүүгө мажбурлабашы керек. Ушул көз карандысыздык аларды өзүнчө жазуунун бүткүл мааниси.
Windows'тун эки талаасы эмнени көзөмөлдөйт
Windows эки талааны өзүнчө кармайт: DHGroup IKE алмашуусун өзүн конфигурациялайт, ал эми PfsGroup туннелдин ичиндеги трафикти коргогон IPsec саясатын конфигурациялайт. Алар ар башка фазаларга таандык. Windows'тун IKE талаасын FortiGate'тин 2-фазасынын мааниси менен салыштыруу туура эмес жупту текшерет, жана номерлер дал келиши мүмкүн, бирок негизги алмашуу дагы эле ишке ашпайт.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAЭкинчи жана үчүнчү буйруктар чындыгында бар коопсуздук ассоциацияларын билдирет, жана бул клиент сизге бере алган жоопко эң жакын нерсе. Негизги режим ассоциациясы болуп, тез режим ассоциациясы болбосо — CHILD SA маселеси, жана бул сертификат маселеси эмес, 2-фазанын дал келбестигинин белгиси.
Бир аракетте эмне сунушталганын жана эмне тандалганын жазыңыз. Кабыл алынуучу сунушту камтыган сунушталган тизме жана дарбазанын саясатына туура келбеген тандалган сунуш — конфигурация келишпестиги, өз ара аракеттешүү сыры эмес.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Эллипстик ийри сызыктын тобу сиздин кол тамга ачкычыңызды тандабайт
Бул тармактагы эң туруктуу туура эмес тыянак — эллипстик ийри сызыктын DH тобун тандоо эллипстик ийри сызыктын сертификатын талап кылат деген ой. DH тобу ачкыч алмашуу материалын берет; кол тамга алгоритми аутентификация алкагы менен сүйлөшүлөт, жана бул IKEv2'де эки өзүнчө чечим.
RFC 7427 дал ушул чечимдер мурда чаташкандыктан бар жана кол тамга алгоритмдеринин ачкыч алмашуудан көз карандысыз түрдө кантип жарыяланып, тандаларын аныктайт. Дарбаза бир убакта ийри сызык тобун да, кол тамга схемаларынын тандоосун да колдой алат.
Ошондуктан топ өзгөргөндөн кийин сүйлөшүүлөр ишке ашпаса, сертификаттын ачкыч түрүн кароодон мурун аутентификация ыкмасын караңыз. Сертификатты алмаштыруу — жай жана кооптуу операция, ал сейрек жооп болот, жана аны биринчи жасоо кайсы өзгөрүү чындап жардам бергенин билүү жөндөмүңүздү жок кылат. Сертификат кампасына тийүүдөн мурун аутентификация сабын окуңуз.
Экөөнү тең келишим баракчасынын өзүнчө саптарында кармаңыз, ошондо ката азгырыктуу болуудан калат. Бир сап топторду, экинчиси кол тамга схемаларын жана инсандыктарды тизмелейт, жана экөөнүн бири да экинчиси жөнүндө далил эмес.
Ар бир жеке ачкычты анын чыныгы ээсинин жанына коюңуз
Өз сертификатын сунуштаган дарбазага ага дал келген жеке ачкыч керек. Чынжырды текшерген шериктешке CA сертификаты керек, жана ага CA'нын кол тамга ачкычы такыр керек эмес. Ушул үч элементти аралаштыруу — адамдар сертификат башка категорияда көрүнүшү үчүн VPN түзмөгүнө CA'нын жеке ачкычын импорттошунун себеби.
FortiOS'те ролдор өзүнчө: ачкычы менен жергиликтүү сертификат, шериктешти идентификациялоо үчүн колдонулган алыскы сертификат жана ошол CA кол койгон сертификаттарга ишеним орноткон алыскы CA жазуусу. Жеке ачкычы жок алыскы CA жазуусу толук эмес эмес; ал өз максаты үчүн туура.
Импорттолгон CA кол тамга ачкычтары ошол түзмөктү окуй алган ар кимдин ыйгарым укугун кеңейтет. Алар кадимки шериктеш текшерүүсүн да чечпейт, анткени текшерүүгө ачык сертификат жана ишеним чечими керек, жаңы сертификаттарды чыгаруу жөндөмү эмес.
CA'нын кол тамга ачкычын чыгаруучунун өз процессинде кармаңыз жана кайсы түзмөк кайсы ачкычты кармай турганын жазыңыз. Аудит ким кимге окшошо алганын сураганда, ээлердин кыска таблицасы алгоритмдердин узунураак таблицасынан кымбат. Эч ким өзү билген инвентарга гана арналган ачкычты импорттобойт. Инвентарды окуядан кийин эмес, мурун жазыңыз.