IKEv2 fuq Windows u FortiGate: tliet settings li n-nies jgħaqqdu
L-iskambju ta' ċwievet IKE, il-protezzjoni tal-CHILD SA u l-awtentikazzjoni tal-pari huma tliet ringieli separati. L-istess numri tal-grupp f'żewġ dialogi ma jgħaqqduhomx.
Ftehim IKEv2 bejn klijent Windows u gateway FortiGate jibqa' jonqos, u t-tfittxija għal numru li ma jaqbilx tipproduċi lista itwal ta' numri. Il-lista issir ġestibbli biss meta tinqasam fi tliet ringieli li jonqsu b'mod indipendenti: l-iskambju ta' ċwievet li jipproteġi IKE, il-protezzjoni applikata fuq il-CHILD SA, u l-awtentikazzjoni li tipprova min hu kull naħa. In-numri tal-grupp jidhru f'żewġ minn dawk ir-ringieli u jfissru affarijiet differenti.
Tliet ringieli li jonqsu b'mod indipendenti
L-ewwel ringiela huwa l-iskambju ta' ċwievet ġewwa IKE stess, li jiġġenera ċ-ċwievet li jipproteġu n-negozjar. It-tieni huwa l-proposta għall-CHILD SA, li tipproteġi t-traffiku li ġġorr il-mina. It-tielet hija l-awtentikazzjoni, li tiddeċiedi x'jippreżenta kull naħa u kif in-naħa l-oħra tivvalida dan.
Il-fallimenti jaqgħu f'postijiet differenti. Falliment fl-iskambju jwaqqaf in-negozjar qabel ma teżisti xi mina. Falliment tal-CHILD SA jiġri wara li l-awtentikazzjoni tirnexxi, xi drabi biss waqt tiġdid ta' ċwievet. Falliment fl-awtentikazzjoni jista' jidher fil-logs bħal falliment fl-iskambju jekk taqra biss l-ewwel żball.
Li tifred ir-ringieli mhuwiex kontabilità. Ibiddel liema setting jistħoqqlu jinbidel, u jipprevjeni l-aktar mossa għalja f'dan il-qasam kollu, jiġifieri li terġa' tiġġenera ċertifikati li jaħdmu biex tissewwa nuqqas ta' qbil fil-proposta. Bidla f'ringiela waħda qatt m'għandha ġġiegħel liż-żewġ l-oħra jinbidlu magħha. Dik l-indipendenza hija l-iskop kollu li jinkitbu separatament.
X'jikkontrollaw iż-żewġ fields ta' Windows
Windows iżomm żewġ fields separati: DHGroup jikkonfigura l-iskambju IKE nnifsu, filwaqt li PfsGroup jikkonfigura l-politika IPsec li tipproteġi t-traffiku fil-mina. Huma jappartjenu għal fażijiet differenti. Li tqabbel field IKE ta' Windows ma' valur ta' fażi 2 ta' FortiGate jittestja l-par żbaljat, u n-numri jistgħu jaqblu waqt li l-iskambju ta' taħt xorta jonqos.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAIt-tieni u t-tielet kmand jirrappurtaw l-assoċjazzjonijiet tas-sigurtà li tassew jeżistu, u dan hija l-eqreb ħaġa għal tweġiba li klijent jista' jagħtik. Assoċjazzjoni ta' modalità prinċipali mingħajr assoċjazzjoni ta' modalità rapida hija problema tal-CHILD SA, u hija s-sinjal ta' nuqqas ta' qbil fil-fażi 2 u mhux ta' problema taċ-ċertifikat.
Innota x'ġie offrut u x'ġie magħżul f'attent wieħed. Lista offruta li fiha proposta aċċettabbli u proposta magħżula li ma taqbilx mal-politika tal-gateway hija nuqqas ta' qbil fil-konfigurazzjoni, mhux misteru ta' interoperabbiltà.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Grupp ta' kurva ellittika ma jagħżilx il-key tal-firma tiegħek
L-aktar konklużjoni żbaljata persistenti f'dan il-qasam hija li l-għażla ta' grupp DH ta' kurva ellittika teħtieġ ċertifikat ta' kurva ellittika. Grupp DH jipprovdi materjal għall-iskambju ta' ċwievet; l-algoritmu tal-firma jiġi nnegozjat mill-qafas tal-awtentikazzjoni, u dawn huma żewġ deċiżjonijiet separati f'IKEv2.
RFC 7427 jeżisti proprju għax dawk id-deċiżjonijiet qabel kienu mħabbla, u jiddefinixxi kif l-algoritmi tal-firma jiġu reklamati u magħżula indipendentement mill-iskambju ta' ċwievet. Gateway jista' jappoġġja fl-istess ħin kemm grupp ta' kurva kif ukoll għażla ta' skemi ta' firma.
Għalhekk meta negozjar jonqos wara bidla fil-grupp, ħares lejn il-metodu tal-awtentikazzjoni qabel ma tħares lejn it-tip ta' key taċ-ċertifikat. Li tbiddel ċertifikat hija operazzjoni bil-mod u riskjuża li rari tkun it-tweġiba, u li tagħmilha l-ewwel teqred il-ħila tiegħek li taf liema bidla tassew għenet. Aqra r-ringiela tal-awtentikazzjoni qabel ma tmiss il-maħżen taċ-ċertifikati.
Żomm it-tnejn f'ringieli separati tal-folja tal-ftehim u l-iżball jieqaf ikun attraenti. Ringiela waħda telenka l-gruppi, l-oħra telenka l-iskemi tal-firma u l-identitajiet, u lanqas waħda mhija prova dwar l-oħra.
Qiegħed kull key privata mal-proprjetarju reali tagħha
Gateway li jippreżenta ċ-ċertifikat tiegħu stess jeħtieġ il-key privata li taqbel miegħu. Pari li jivvalida katina jeħtieġ iċ-ċertifikat tas-CA, u b'mod speċifiku m'għandux bżonn il-key tal-firma tas-CA. Li tħawwad dawn it-tliet artefatti huwa kif in-nies jispiċċaw jimportaw key privata tas-CA f'apparat VPN biex ċertifikat jidher f'kategorija oħra.
Fuq FortiOS ir-rwoli huma distinti: ċertifikat lokali bil-key tiegħu, ċertifikat remot użat biex jidentifika pari, u entrata CA remota li tistabbilixxi fiduċja f'ċertifikati li dak is-CA ffirma. Entrata CA remota mingħajr key privata mhijiex nieqsa; hija korretta għall-iskop tagħha.
Il-keys tal-firma tas-CA importati jwessgħu l-awtorità ta' kull min jista' jaqra dak l-apparat. Lanqas ma jsolvu l-validazzjoni ordinarja tal-pari, għax il-validazzjoni teħtieġ iċ-ċertifikat pubbliku u d-deċiżjoni tal-fiduċja, mhux il-ħila li toħroġ ċertifikati ġodda.
Żomm il-key tal-firma tas-CA mal-proċess tal-emittent innifsu, u nnota liema apparat iżomm liema key. Tabella qasira ta' proprjetarji tiswa aktar minn tabella itwal ta' algoritmi meta awdit jistaqsi min seta' jippersona lil min. Ħadd ma jimporta key li jaf li hija biss għall-inventarju. Ikteb l-inventarju qabel l-inċident, mhux warajh.