FortiGate Azure rekey: il-proposta peer SA ma taqbilx mal-politika lokali
Tunnel IKEv2 li jaħdem xorta jista’ jirrifjuta s-CHILD SA sostitut. Qabbel il-proposta li r-rinnovament verament jinnegozja, mhux dik li użat l-ewwel ping.
It-tunnel tela’, it-traffiku għadda, u aktar tard il-log jgħid peer SA proposal not match local policy. Ħafna nies jaqraw dik il-linja bħala prova li ż-żewġ konfigurazzjonijiet qatt ma qablu. Normalment tfisser xi ħaġa eqreb: qablu għall-ewwel CHILD SA u waqfu jaqblu fl-ewwel rinnovament, għax l-ewwel assoċjazzjoni qatt ma kellha bżonn l-iskambju li jagħmlu dawk ta’ wara. Dik id-differenza tiddetermina fejn tfittex.
L-ewwel CHILD SA tirret, dawk ta’ wara jinnegozjaw
F’IKEv2 l-CHILD SA inizjali tinħoloq waqt IKE_AUTH, u ċ-ċwievet tagħha jiġu derivati mill-materjal taċ-ċwievet tal-IKE SA. F’dak il-mument m’hemmx skambju Diffie-Hellman separat, għalhekk grupp PFS li peer wieħed ma jistax jaċċetta sempliċement għadu ma jiġix ittestjat. It-tunnel jidher b’saħħtu għax ir-rekwiżit li se tfalli fih aktar tard qatt ma ġie ttestjat.
Ir-rekey tal-CHILD_SA hija sekwenza ta’ messaġġi differenti. Meta PFS ikun ikkonfigurat, il-peers iwettqu skambju ġdid taċ-ċwievet u jridu jaqblu fuq grupp li jaċċettaw iż-żewġ naħat, flimkien mal-proposta ESP għall-assoċjazzjoni l-ġdida. Dak huwa l-mument li fih id-diskrepanza ssir viżibbli, u għalhekk l-iżball isemmi proposta u mhux rotta.
Allura “ħadem ilbieraħ” ma jgħidlek xejn dwar il-proposta. Jgħidlek li l-iskambju inizjali rnexxa, li diġà kont taf.
Aqra l-iskambju li falla, mhux l-ewwel ping
Iġbor l-awtentikazzjoni IKE li rnexxiet, l-CHILD SA inizjali u s-sostituzzjoni li falliet miż-żewġ trufijiet qabel ma tbiddel xejn. Imbagħad semmi l-operazzjoni b’mod preċiż: ir-rekey tal-IKE SA, l-awtentikazzjoni mill-ġdid tal-IKE u r-rekey tal-CHILD SA huma tliet avvenimenti differenti, u “fażi 2” tkopri kollha f’konversazzjoni ta’ kuljum.
Qabbel l-oqsma hawn taħt għall-konnessjoni li falliet, mhux għat-tunnel b’mod ġenerali.
| Saff | Valuri x’jiġu mqabbla |
|---|---|
| IKE | Verżjoni, encryption u integrità jew arranġament PRF, grupp DH |
| IPsec / CHILD | Encryption u integrità tal-ESP, grupp PFS jew skambju taċ-ċwievet maħsub |
| Traffiku protett | Seletturi lokali u remoto, flimkien ma’ kwalunkwe setting tas-selettur ibbażat fuq il-politika |
Fuq FortiGate, iftaħ il-proposta tal-fażi-2, is-setting tal-PFS u l-gruppi DH aċċettati għal dak it-tunnel. Aqra l-valuri mgħobbija minflok tiddeduċihom minn konnessjoni li saret qabel. Skrinshot tal-paġna tal-GUI hija prova aktar dgħajfa mill-konfigurazzjoni li taħdem, għax it-tnejn jistgħu ma jaqblux wara aġġornament. Esporta s-sezzjoni li biddilt u żommha mat-ticket.
Il-politika awtomatika ta’ Azure għadha politika
L-assenza ta’ politika personalizzata mehmuża mal-konnessjoni ma tfissirx li Azure ma tapplika ebda waħda. Il-konnessjoni taqa’ lura għas-sett ta’ proposti awtomatiku tal-gateway, li jista’ jkun usa’ jew idjaq minn dak li toffri l-FortiGate tiegħek. Jekk iż-żewġ settijiet jikkoinċidu għall-IKE imma mhux għall-ESP bi PFS, tikseb eżatt dan il-mudell ta’ falliment.
Din il-veduta biss-qari turi l-politika fil-fatt mehmuża, mingħajr ma tiżvela sigrieti:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesUża l-ismijiet veri tar-riżorsi tiegħek. Meta tkun meħtieġa politika espliċita, issetjaha fuq ir-riżors tal-konnessjoni. Mhix swiċċ tal-gateway kollu, u ma tapplikax bil-kwiet għal tunnels oħra fuq l-istess gateway.
Fil-portal, il-paġna Configuration ta’ dik il-konnessjoni hija l-post fejn tmur politika IPsec/IKE personalizzata. Il-gwida ta’ Microsoft dwar politiki personalizzati telenka l-parametri appoġġjati u r-rekwiżiti tal-SKU. Azure tieħu kombinazzjoni sħiħa waħda għal kull konnessjoni, għalhekk tispeċifika l-oqsma tal-IKE u l-oqsma tal-IPsec flimkien, mhux wieħed wieħed.
PFS hija rekwiżit, mhux swiċċ li jinqaleb
Jekk il-linja bażi tas-sigurtà tiegħek tirrikjedi PFS, is-soluzzjoni hija grupp li jaċċettaw iż-żewġ peers fuq iż-żewġ naħat, espress permezz ta’ politika li taqbel. Li titfi l-PFS biex l-iżball jgħib ibiddel il-proprjetà tas-sigurtà li kont qed tipprova żżomm, u normalment terġa’ tidher aktar tard bħala diskrepanza oħra.
Nassa waħda speċifika għal Azure: meta tagħżel GCM għall-ESP, l-għażliet tal-encryption u tal-integrità jridu jsemmu l-istess algoritmu GCM u l-istess tul taċ-ċavetta. Li tħallat cipher GCM ma’ algoritmu tal-integrità separat jipproduċi kombinazzjoni li s-servizz jirrifjuta, u dan jidher bħal diskrepanza bejn il-peers sakemm taqra l-politika bir-reqqa.
Agħżel l-aktar kombinazzjoni b’saħħitha li ż-żewġ trufijiet jappoġġjaw u li r-rekwiżit tiegħek jippermetti, imbagħad iktebha fir-rekord tal-bidliet. Il-persuna li jmiss se tqabbel ma’ dak ir-rekord, mhux ma’ tifkira ta’ tunnel li kien jaħdem. Daħħal il-grupp PFS u l-proposta ESP fih, mhux biss l-isem tal-politika. Meta xi ħadd aktar tard jistaqsi għaliex falla awdit jew għaliex rekey huwa bil-mod, dik il-linja twieġeb iż-żewġ mistoqsijiet.
Ivverifika l-iskambju li falla
Ippjana l-bidla b’passaġġ ta’ rkupru, għax l-editjar tal-politika jista’ jinterrompi t-tunnel li qed tipprova ssewwi. Wara li t-traffiku jerġa’ lura, stenna jew iġġenera rinnovament tal-CHILD_SA u kkonferma li l-assoċjazzjoni l-ġdida tiġi stabbilita bil-grupp PFS maħsub. Imbagħad ikkonferma li t-traffiku tal-applikazzjonijiet ikompli minnha.
Żewġ ħjiel foloz jixirqilhom jiġu msemmija. Il-ħajja tal-SA huma speċifikazzjonijiet lokali, għalhekk valuri mhux ugwali huma normali u li tbiddilhom iċċaqlaq biss meta jidher il-problema. DPD jiskopri jekk peer huwiex ħaj; li tgħolli l-limitu taż-żmien tiegħu ma tallinja l-għażliet tal-ESP jew tal-PFS.
Irreġistra r-riżultat innegozjat u l-avveniment li jmiss wara l-bidla. Jekk il-konnessjoni issa tfalli qabel ma titlesta l-awtentikazzjoni IKE, qed tħares lejn is-settings tal-IKE li għadek kemm editjajt, mhux lejn il-falliment oriġinali tar-rinnovament tal-CHILD.