Windows болон FortiGate дээрх IKEv2: хүмүүсийн нэгтгэдэг гурван тохиргоо
IKE түлхүүр солилцоо, CHILD SA хамгаалалт, нөхдийн баталгаажуулалт нь гурван тусдаа мөр юм. Хоёр харилцах цонхонд бүлгийн дугаарууд таарсан ч тэдгээрийг нэгтгэхгүй.
Windows клиент болон FortiGate гарц хоорондын IKEv2 гэрээ байнга бүтэлгүйтэж байна, тохирохгүй дугаар хайх нь дугааруудын улам урт жагсаалт үүсгэдэг. Жагсаалт нь бие даан бүтэлгүйтдэг гурван мөр болгон хуваагдсан үед л удирдагдах боломжтой болно: IKE-г хамгаалдаг түлхүүр солилцоо, CHILD SA-д хэрэглэгдэх хамгаалалт, аль тал нь хэн болохыг нотолдог баталгаажуулалт. Бүлгийн дугаарууд эдгээр мөрүүдийн хоёрт гарч, өөр өөр утгатай.
Бие даан бүтэлгүйтдэг гурван мөр
Эхний мөр нь IKE-ийн дотоод түлхүүр солилцоо бөгөөд хэлэлцээрийг хамгаалах түлхүүрүүдийг үүсгэдэг. Хоёр дахь нь CHILD SA-ийн санал бөгөөд туннелийн зөөвөрлөх урсгалыг хамгаалдаг. Гурав дахь нь баталгаажуулалт бөгөөд тал бүр юу танилцуулах, нөгөө тал үүнийг хэрхэн баталгаажуулахыг шийддэг.
Алдаа өөр өөр газарт гардаг. Солилцооны алдаа нь ямар ч туннель үүсэхээс өмнө хэлэлцээрийг зогсоодог. CHILD SA-ийн алдаа нь баталгаажуулалт амжилттай болсны дараа гардаг, заримдаа зөвхөн түлхүүр шинэчлэх үед. Баталгаажуулалтын алдаа нь зөвхөн эхний алдааг уншвал лог дотор солилцооны алдаа мэт харагдаж болно.
Мөрүүдийг тусгаарлах нь нягтлан бодох бүртгэл биш. Энэ нь алийг нь өөрчлөх нь үнэ цэнэтэйг өөрчилдөг бөгөөд энэ салбарын хамгийн үнэтэй алхмыг, өөрөөр хэлбэл саналын зөрүүг засахын тулд ажиллаж буй гэрчилгээг дахин үүсгэхийг сэргийлдэг. Нэг мөрийн өөрчлөлт нь бусад хоёрыг өөртэйгөө хамт өөрчлөхийг хэзээ ч шаардах ёсгүй. Тэр бие даасан байдал нь тэдгээрийг тусад нь бичих бүх утга юм.
Windows-ийн хоёр талбар юуг удирддаг
Windows хоёр талбарыг тусад нь хадгалдаг: DHGroup нь IKE солилцоог өөрөө тохируулдаг бол PfsGroup нь туннель доторх урсгалыг хамгаалах IPsec бодлогыг тохируулдаг. Тэд өөр өөр үе шатанд хамаарна. Windows-ийн IKE талбарыг FortiGate-ийн 2-р үе шатын утгатай харьцуулах нь буруу хосыг шалгадаг, дугаарууд таарч болох ч үндсэн солилцоо бүтэлгүйтсээр байна.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAХоёр, гурав дахь командууд бодитоор байгаа аюулгүй байдлын холбоог мэдээлдэг бөгөөд энэ нь клиент танд өгч болох хариултад хамгийн ойр зүйл юм. Үндсэн горимын холбоо байгаа ч хурдан горимын холбоо байхгүй нь CHILD SA-ийн асуудал бөгөөд энэ нь гэрчилгээний асуудал биш, 2-р үе шатын зөрүүний шинж юм.
Нэг оролдлогод юу санал болгож, юу сонгосныг тэмдэглэ. Хүлээн зөвшөөрөхүйц санал агуулсан саналын жагсаалт болон гарцын бодлогод тохирохгүй сонгосон санал нь тохиргооны зөрүү бөгөөд харилцан ажиллагааны нууц биш.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Эллипс муруй бүлэг таны гарын үсгийн түлхүүрийг сонгохгүй
Энэ салбарын хамгийн бат бөх буруу дүгнэлт нь эллипс муруйн DH бүлгийг сонгоход эллипс муруйн гэрчилгээ шаардлагатай гэсэн ойлголт юм. DH бүлэг түлхүүр солилцооны материал өгдөг; гарын үсгийн алгоритмыг баталгаажуулалтын хүрээ хэлэлцдэг бөгөөд эдгээр нь IKEv2-д хоёр тусдаа шийдвэр юм.
RFC 7427 нь эдгээр шийдвэрүүд өмнө нь холбогдсон байсан учраас оршин байгаа бөгөөд гарын үсгийн алгоритмуудыг түлхүүр солилцооноос үл хамааран хэрхэн зарлаж, сонгохыг тодорхойлдог. Гарц нь нэгэн зэрэг муруйн бүлэг болон гарын үсгийн схемүүдийн сонголтыг дэмжиж чадна.
Тиймээс бүлэг өөрчлөгдсөний дараа хэлэлцээр бүтэлгүйтвэл гэрчилгээний түлхүүрийн төрлийг харахаасаа өмнө баталгаажуулалтын аргыг хараарай. Гэрчилгээ солих нь удаан, эрсдэлтэй үйлдэл бөгөөд хариулт нь болох нь ховор, үүнийг хамгийн түрүүнд хийх нь аль өөрчлөлт үнэхээр тусалсныг мэдэх чадварыг тань устгадаг. Гэрчилгээний сан хөмрөгт хүрэхээс өмнө баталгаажуулалтын мөрийг уншаарай.
Хоёуланг нь гэрээний хуудасны тусдаа мөрөнд хадгаарай, тэгвэл алдаа уруу татахгүй болно. Нэг мөр бүлгүүдийг жагсаадаг, нөгөө нь гарын үсгийн схемүүд болон таних мэдээллийг жагсаадаг бөгөөд аль нь ч нөгөөгийнхөө талаар нотолгоо биш.
Тус бүр хувийн түлхүүрийг жинхэнэ эзэнтэй нь хамт байрлуул
Өөрийн гэрчилгээг танилцуулдаг гарцад түүнд тохирох хувийн түлхүүр хэрэгтэй. Гижигийг баталгаажуулдаг нөхөрт CA гэрчилгээ хэрэгтэй бөгөөд CA-ийн гарын үсгийн түлхүүр түүнд ялангуяа хэрэггүй. Эдгээр гурван зүйлийг хольж хутгах нь хүмүүс гэрчилгээг өөр ангилалд харагдуулахын тулд VPN төхөөрөмжид CA-ийн хувийн түлхүүрийг оруулдаг шалтгаан юм.
FortiOS дээр үүргүүд ялгаатай: түлхүүртэй нь орон нутгийн гэрчилгээ, нөхрийг танихад ашигладаг алсын гэрчилгээ, тухайн CA-ийн гарын үсэг зурсан гэрчилгээнд итгэл тогтоодог алсын CA бичлэг. Хувийн түлхүүргүй алсын CA бичлэг нь дутуу биш; энэ нь зорилгодоо тохирсон.
Оруулсан CA-ийн гарын үсгийн түлхүүрүүд тухайн төхөөрөмжийг уншиж чадах хэн бүхний эрх мэдлийг өргөжүүлдэг. Тэд мөн энгийн нөхрийн баталгаажуулалтыг шийддэггүй, учир нь баталгаажуулалтад нийтийн гэрчилгээ болон итгэлийн шийдвэр хэрэгтэй, шинэ гэрчилгээ гаргах чадвар биш.
CA-ийн гарын үсгийн түлхүүрийг олгогчийн өөрийн процесст хадгалж, аль төхөөрөмж аль түлхүүрийг хадгалж байгааг тэмдэглэ. Аудит хэн хэнийг дүрслэх боломжтой байсан гэж асуухад эздийн богино хүснэгт алгоритмуудын урт хүснэгтээс илүү үнэ цэнэтэй. Хүн бүр зөвхөн бүртгэлд зориулагдсан гэдгийг мэддэг түлхүүрийг оруулдаггүй. Бүртгэлийг хэргийн дараа биш, өмнө нь бичээрэй.