FortiGate Azure Rekey: peer SA-Virschlag passt net zu der lokaler Richtlinn

Den Tunnel ass eropkomm, den Traffic ass gelaf, an duerno steet am Log peer SA proposal not match local policy. Déi meescht Lieser huelen déi Linn als Beweis, datt déi zwee Konfiguratioune ni iwwerenee gestëmmt hunn. Meeschtens heescht et eppes méi Enges: si hunn fir déi éischt CHILD SA gestëmmt an hunn bei der éischter Erneierung opgehalen ze stëmmen, well déi éischt Associatioun deenen Austausch, deen déi spéider maachen, ni gebraucht huet. Genee deen Ënnerscheed entscheet, wou Dir nogitt.

Déi éischt CHILD SA ierft, déi spéider verhandelen

An IKEv2 gëtt déi éischt CHILD SA während IKE_AUTH erstallt, an hir Schlësselen ginn aus dem Schlësselmaterial vun der IKE SA ofgeleet. Zu deem Zäitpunkt gëtt et keen eegene Diffie-Hellman-Austausch, sou datt eng PFS-Grupp, déi ee Peer net akzeptéiere kann, just nach net getest gëtt. Den Tunnel gesäit gesond aus, well d'Ufuerderung, op déi Dir spéider wäert feelen, ni getest gouf.

En CHILD_SA-Rekey ass eng aner Noriichtensequenz. Wann PFS konfiguréiert ass, maachen d'Peeren en neien Schlësselaustausch a mussen sech op eng Grupp eenegen, déi béid Säiten akzeptéieren, plus de ESP-Virschlag fir déi nei Associatioun. Dat ass dee Moment, wou d'Onstëmmegkeet sichtbar gëtt, an dofir nennt de Feeler e Virschlag an net eng Route.

Also „gëschter huet et funktionéiert“ seet Iech näischt iwwer de Virschlag. Et seet Iech, datt den éischten Austausch gelungen ass, wat Dir schonn wousst.

Liest den feelgeschlagenen Austausch, net den éischte Ping

Sammelt vun béide Säiten déi gelungen IKE-Authentifikatioun, déi éischt CHILD SA an déi feelgeschloen Ersatz, ier Dir eppes ännert. Nennt dann d'Operatioun genau: IKE SA-Rekey, IKE-Reauthentifikatioun an CHILD SA-Rekey sinn dräi verschidden Evenementer, an „Phas 2“ deckt se all am normale Gespréich.

Vergläicht d'Felder hei drënner fir d'Verbindung, déi feelgeschloen ass, net fir den Tunnel am Allgemengen.

Op der FortiGate öffnet Dir de Phas-2-Virschlag, d'PFS-Astellung an déi akzeptéiert DH-Gruppe fir deen Tunnel. Liest déi geluede Wäerter, amplaz se aus enger Verbindung ofzeleeden, déi virdru bestanen huet. Eng Screenshot vun der GUI-Säit ass e méi schwaache Beweis wéi d'lafend Konfiguratioun, well déi zwee no engem Upgrade kënnen auserneegoe. Exportéiert de Sektioun, deen Dir geännert hutt, a behält en beim Ticket.

Dem Azure seng Standardrichtlinn ass ëmmer nach eng Richtlinn

Keng personaliséiert Richtlinn un d'Verbindung ugehaangen heescht net, datt Azure keng applizéiert. D'Verbindung fält op de Standardset vu Virschléi vum Gateway zréck, dee méi breet oder méi schmuel ka sinn wéi dat, wat Är FortiGate ubitt. Wann déi zwee Sätz sech fir IKE iwwerschneiden, awer net fir ESP mat PFS, kritt Dir genee dëst Feelbild.

Dës nëmme-Lies-Ansicht weist d'Richtlinn, déi tatsächlech ugehaangen ass, ouni Geheimnisser ze verroden:

Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPolicies

Benotzt Är richteg Ressourcennimm. Wann eng explizit Richtlinn noutwendeg ass, setzt se op der Verbindungsressource. Et ass keen ëmfaassende Schalter fir de ganze Gateway, an et gëllt net stëll fir aner Tunnelen um selwechte Gateway.

Am Portal ass d'Säit Configuration vun där Verbindung dee Plaz, wou eng personaliséiert IPsec/IKE-Richtlinn gehéiert. Dem Microsoft säi Guide fir personaliséiert Richtlinnen féiert déi ënnerstëtzt Parameteren an SKU-Ufuerderungen op. Azure hëlt eng komplett Kombinatioun pro Verbindung, dofir spezifizéiert Dir d'IKE-Felder an d'IPsec-Felder zesummen, net een nom aneren.

PFS ass eng Ufuerderung, keen ëmdréibaren Schalter

Wann Är Sécherheetsbasislinn PFS verlaangt, ass d'Léisung eng Grupp, déi béid Peeren op béide Säiten akzeptéieren, ausgedréckt duerch eng passend Richtlinn. PFS auszeschalten, fir datt de Feeler verschwënnt, ännert d'Sécherheetseigenschaft, déi Dir wëllt halen, an se kënnt meeschtens méi spéit als eng aner Onstëmmegkeet zréck.

Eng Azure-spezifesch Fal: wann Dir GCM fir ESP wielt, mussen d'Verschlësselungs- an Integritéitsauswahlen deen selwechten GCM-Algorithmus an déi selwecht Schlëssellängt nennen. En GCM-Chiffre mat engem separate Integritéitsalgorithmus ze mëschen ergëtt eng Kombinatioun, déi den Service refuséiert, an dat gesäit aus wéi eng Onstëmmegkeet tëscht Peeren, bis Dir d'Richtlinn suergfälteg liest.

Wielt déi stäerkst Kombinatioun, déi béid Enner ënnerstëtzen an Är Ufuerderung erlaabt, a schreift se dann an de Changementsrecord. Déi nächst Persoun wäert mat deem Record vergläichen, net mat der Erënnerung un en funktionéierenden Tunnel. Setzt d'PFS-Grupp an de ESP-Virschlag drop, net just den Numm vun der Richtlinn. Wann een spéider freet, firwat en Audit feelgeschloen ass oder firwat en Rekey lues ass, äntwert déi Linn op béid Froen.

Verifizéiert den Austausch, dee feelgeschloen ass

Plangt d'Ännerung mat engem Erhuelungswee, well d'Richtlinn z'änneren den Tunnel kann ënnerbriechen, deen Dir versicht ze fixen. Wann den Traffic zréckkënnt, waart op eng CHILD_SA-Erneierung oder léist se aus, a bestätegt, datt déi nei Associatioun mat der virgesinnener PFS-Grupp opgebaut gëtt. Bestätegt duerno, datt den Applikatiounstraffic weider driwwer leeft.

Zwou falsch Spuere verdéngen et, genannt ze ginn. SA-Liewensdaueren sinn lokal Spezifikatiounen, also sinn ongläich Wäerter normal, an se z'änneren verréckelt just, wéini de Problem erschéngt. DPD erkennt, ob en Peer lieft; seng Zäitlimit ze hiewen bréngt ESP- oder PFS-Auswahlen net an Iwwerenee.

Hält dat verhandelt Resultat an dat nächst Evenement no der Ännerung fest. Wann d'Verbindung elo feelt, ier d'IKE-Authentifikatioun fäerdeg ass, kuckt Dir op d'IKE-Astellungen, déi Dir just geännert hutt, net op den ursprénglechen CHILD-Erneierungsfeeler.