IKEv2 ënner Windows an FortiGate: dräi Astellungen, déi Leit zesummeleeën
IKE-Schlësselaustausch, CHILD SA-Schutz an d'Authentifikatioun vum Peer sinn dräi getrennt Zeilen. Déi selwecht Gruppennummeren an zwou Dialogen leeë se net zesummen.
En IKEv2-Ofkommes tëschent engem Windows-Client an engem FortiGate-Gateway schléit weider fehl, an d'Sich no enger Nummer déi net passt bréngt eng nach méi laang Lëscht vun Nummeren. D'Lëscht gëtt eréischt handhabbar, wann een se an dräi Zeilen deelt, déi onofhängeg fehlschloen: den Schlësselaustausch, deen IKE schützt, de Schutz, deen op d'CHILD SA ugewannt gëtt, an d'Authentifikatioun, déi beweist, wien all Säit ass. Gruppennummeren erschéngen an zwou vun dësen Zeilen a bedeiten ënnerschiddlech Saachen.
Dräi Zeilen, déi onofhängeg fehlschloen
Déi éischt Zeil ass den Schlësselaustausch bannent IKE selwer, deen d'Schlësselen erzeugt, déi d'Verhandlunge schützen. Déi zweet ass de Virschlag fir d'CHILD SA, deen den Trafik schützt, deen den Tunnel dréit. Déi drëtt ass d'Authentifikatioun, déi entscheet, wat all Säit presentéiert a wéi déi aner et validéiert.
Feeler landen op verschiddene Plazen. E Feeler beim Austausch stoppt d'Verhandlunge virun all Tunnel. E CHILD SA-Feeler geschitt, nodeems d'Authentifikatioun gelongen ass, heiansdo nëmmen op enger Schlëssel Erneierung. En Authentifikatiounsfeeler kann an de Loggen wéi en Austauschfeeler ausgesinn, wann een nëmmen den éischte Feeler liest.
D'Zeilen ze trennen ass keng Buchhaltung. Et ännert, wéi eng Astellung et wäert ass ze änneren, an et verhënnert dee deiersten Schrëtt an dësem ganze Beräich, nämlech funktionéierend Zertifikater nei ze generéieren, fir eng Virschlags-Onstëmmegkeet ze behiewen. Eng Zeil, déi sech ännert, sollt ni déi aner zwou zwéngen, sech mat ze änneren. Déi Onofhängegkeet ass de ganzen Zweck, se getrennt ze schreiwen.
Wat déi zwou Windows-Felder kontrolléieren
Windows hält zwee Felder getrennt: DHGroup konfiguréiert den IKE-Austausch selwer, während PfsGroup d'IPsec-Politik konfiguréiert, déi den Trafik am Tunnel schützt. Si gehéieren zu verschiddene Phasen. En Windows IKE-Feld mat engem FortiGate-Phase-2-Wäert ze vergläichen, testt déi falsch Koppel, an d'Nummeren kënnen iwwereneen stëmmen, während den ënnerluegende Austausch weider fehlschléit.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSADen zweeten an den drëtten Kommando mellen d'Sécherheetsassociatiounen, déi tatsächlech existéieren, an dat ass dat Nächst un enger Äntwert, déi e Client Iech ka ginn. Eng Main-Mode-Associatioun ouni enger Quick-Mode-Associatioun ass e CHILD SA-Problem, an et ass d'Signatur vun enger Phase-2-Onstëmmegkeet an net vun engem Zertifikatsproblem.
Notéiert, wat ugebueden a wat an engem Versuch ausgewielt gouf. Eng ugebueden Lëscht, déi en akzeptablen Virschlag enthält, an en ausgewielte Virschlag, deen net mat der Politik vum Gateway entsprécht, ass eng Konfiguratiouns-Onstëmmegkeet, keen Interoperabilitéits-Rätsel.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Eng Elliptesch-Kurve-Grupp wielt Ären Ënnerschrëftsschlëssel net
Déi hartnäckegst falsch Schlussfolgerung an dësem Beräich ass, datt d'Auswiel vun enger DH-Grupp op enger elliptescher Kurve en Zertifikat op enger elliptescher Kurve erfuerdert. Eng DH-Grupp liwwert Material fir den Schlësselaustausch; den Ënnerschrëftsalgorithmus gëtt vum Authentifikatiouns-Kader verhandelt, an dat sinn zwou getrennt Entscheedungen an IKEv2.
RFC 7427 existéiert genee well dës Entscheedungen virdru verflunn waren, an et definéiert, wéi Ënnerschrëftsalgorithmen onofhängeg vum Schlësselaustausch annoncéiert an ausgewielt ginn. En Gateway kann gläichzäiteg eng Kurvegrupp an eng Auswiel vu Ënnerschrëftsschemaen ënnerstëtzen.
Wann eng Verhandlung no enger Gruppännerung fehlschléit, kuckt dofir op d'Authentifikatiounsmethod, ier Dir op den Schlësseltyp vum Zertifikat kuckt. En Zertifikat ze wiesselen ass eng lues a riskant Operatioun, déi seelen d'Äntwert ass, an se als éischt ze maachen zerstéiert Är Fähegkeet ze gesinn, wéi eng Ännerung tatsächlech gehollef huet. Liest d'Authentifikatiounszeil, ier Dir de Zertifikatsspäicher beréiert.
Hält béides an getrennte Zeilen vum Ofkommesblat, an de Feeler hält op verlockend ze sinn. Eng Zeil lëscht Gruppen, déi aner lëscht Ënnerschrëftsschemaen an Identitéiten, an keng ass e Beweis iwwer déi aner.
Setzt all privaten Schlëssel bei säin tatsächlechen Eegentemer
En Gateway, deen säin eegent Zertifikat presentéiert, brauch de privaten Schlëssel, deen dozou passt. E Peer, deen eng Kette validéiert, brauch den CA-Zertifikat an ausdrécklech net de Signaturschlëssel vun der CA. Dës dräi Artefakte ze verwiesselen ass de Wee, op deem Leit en private CA-Schlëssel an en VPN-Apparat importéieren, fir datt en Zertifikat an enger anerer Kategorie erschéngt.
Op FortiOS sinn d'Rollen ënnerschiddlech: en lokalen Zertifikat mat sengem Schlëssel, en entfernten Zertifikat fir e Peer z'identifizéieren, an en entfernten CA-Andrag, deen Vertrauen an d'Zertifikater setzt, déi déi CA ënnerschriwwen huet. En entfernten CA-Andrag ouni privaten Schlëssel ass net onkomplett; en ass richteg fir säin Zweck.
Importéiert CA-Signaturschlëssel erweideren d'Autoritéit vun all deem, deen dësen Apparat liese kann. Si léisen och net déi gewéinlech Peer-Validatioun, well d'Validatioun den ëffentlechen Zertifikat an d'Vertrauensentscheedung brauch, net d'Fähegkeet, nei Zertifikater auszestellen.
Hält den CA-Signaturschlëssel beim Prozess vum Aussteller selwer, a notéiert, wéi en Apparat wéi ee Schlëssel hält. Eng kuerz Tabell vun den Eegentemer ass méi wäert wéi eng méi laang Tabell vun Algorithmen, wann en Audit freet, wien wien konnt imitéieren. Keen importéiert e Schlëssel, vun deem hien weess, datt en nëmmen fir den Inventaire ass. Schreift den Inventaire virum Tëschefall, net duerno.