FortiGate Azure د کلید بیا رغونه: د peer SA وړاندیز له ځایي تګلارې سره سمون نه لري
یو فعال IKEv2 تونل لا هم کولای شي د بدلېدونکې CHILD SA منلو څخه انکار وکړي. هغه وړاندیز پرتله کړئ چې نوي کول یې په رښتیا خبرې وکړي، نه هغه چې لومړي ping کارولی و.
تونل پورته شو، ټرافیک وبهېد، او وروسته لاګ وايي peer SA proposal not match local policy. ډېری خلک دا کرښه د دې ثبوت په توګه لولي چې دواړه ترتیبات هیڅکله سره سمون نه درلود. معمولاً دا یو څه تنګتر معنی لري: دوی د لومړي CHILD SA لپاره سره سمون درلود او په لومړي نوي کولو کې یې سمون بند کړ، ځکه چې لومړي اړیکې هیڅکله د هغې تبادلې اړتیا نه لرله چې وروستي یې کوي. همدا توپیر ټاکي چې تاسو چېرته وګورئ.
لومړی CHILD SA میراث اخلي، وروستي خبرې کوي
په IKEv2 کې لومړنی CHILD SA د IKE_AUTH په جریان کې جوړېږي، او کلیدونه یې د IKE SA د کلیدي موادو څخه اخستل کیږي. په هغه وخت کې جلا Diffie-Hellman تبادله نشته، نو هغه PFS ګروپ چې یو peer یې منلی نه شي یوازې لا نه ازمویل کیږي. تونل روغ ښکاري ځکه چې هغه شرط چې تاسو به وروسته پکې پاتې راشئ هیڅکله نه دی ازمویل شوی.
د CHILD_SA کلید بیا رغونه بېله پیغامونو ترتیب دی. کله چې PFS ترتیب شوی وي، peerونه نوی کلیدي تبادله کوي او باید په دواړو خواوو منل شوي ګروپ، او همدارنګه د نوي اړیکې لپاره د ESP وړاندیز باندې توافق وکړي. هماغه شیبه ده چې ناسمونې ښکاره کیږي، او له همدې امله تېروتنه د لارې پرځای وړاندیز نوموي.
نو «پرون یې کار کاوه» تاسو ته د وړاندیز په اړه هیڅ نه وايي. دا وايي چې لومړنۍ تبادله بریالۍ وه، کوم چې تاسو دمخه پوهېدل.
نابریالۍ تبادله ولولئ، نه لومړی ping
د هر څه بدلولو دمخه له دواړو خواوو بریالۍ IKE تصدیق، لومړنی CHILD SA او نابریالۍ بدلون راټول کړئ. بیا عملیات په دقیق ډول ونوموئ: د IKE SA کلید بیا رغونه، د IKE بیا تصدیق او د CHILD SA کلید بیا رغونه درې بېلې پېښې دي، او «2 پړاو» په عادي خبرو کې ټولې رانغاړي.
لاندې ساحې د هغه اړیکې لپاره پرتله کړئ چې نابریالۍ شوه، نه د تونل لپاره په عمومي ډول.
| طبقه | د پرتلې وړ ارزښتونه |
|---|---|
| IKE | نسخه، کوډونه او بشپړتیا یا PRF ترتیب، DH ګروپ |
| IPsec / CHILD | د ESP کوډونه او بشپړتیا، په پام کې نیول شوی PFS یا کلیدي تبادلې ګروپ |
| ژغورل شوی ټرافیک | ځایي او لرې ټاکونکي، او همدارنګه هر هغه تګلاره چې پر تګلارې ولاړ وي |
په FortiGate کې د هغه تونل لپاره د 2 پړاو وړاندیز، PFS ترتیب او منل شوي DH ګروپونه پرانیزئ. د مخکې رامنځته شوې اړیکې څخه اټکل کولو پرځای بار شوي ارزښتونه ولولئ. د GUI پاڼې سکرینشاټ له روان ترتیب څخه کمزوری ثبوت دی، ځکه چې دواړه د لوړولو وروسته توپیر کولی شي. هغه برخه چې تاسو بدله کړې صادره کړئ او د ټیکټ سره یې وساتئ.
د Azure ډیفالټ تګلاره هم یوه تګلاره ده
د اړیکې سره د ځانګړې تګلارې نشتوالی پدې معنی نه دی چې Azure هېڅ نه پلي کوي. اړیکه د ګیټوې ډیفالټ وړاندیزونو ټولګې ته راګرځي، کومه چې کېدای شي پراخه یا تنګه وي له هغه څخه چې ستاسو FortiGate وړاندې کوي. که دواړه ټولګې د IKE لپاره یو بل پوښي خو د PFS سره ESP لپاره نه, نو تاسو په سمه توګه همدا د نابریالۍ بڼه ترلاسه کوئ.
دا یوازې لوستلو کتنه هغه تګلاره ښیي چې واقعاً نښلول شوې ده، پرته له دې چې رازونه افشا کړي:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesخپل ریښتیني سرچینې نومونه وکاروئ. کله چې روښانه تګلاره اړینه وي، هغه د اړیکې سرچینې باندې وټاکئ. دا د ټول ګیټوې سوئیچ نه دی، او په همدې ګیټوې کې نورو تونلونو باندې په خاموشۍ نه پلي کیږي.
په پورټال کې، د هغې اړیکې Configuration پاڼه هغه ځای دی چې ځانګړې IPsec/IKE تګلاره هلته ځي. د Microsoft د ځانګړو تګلارو لارښود ملاتړ شوي پارامیټرونه او SKU اړتیاوې لیستوي. Azure د هرې اړیکې لپاره یوه بشپړه ترکیب اخلي، نو تاسو د IKE ساحې او د IPsec ساحې یوځای ښیئ، نه یو په یو.
PFS یو شرط دی، نه د اوړولو سوئیچ
که ستاسو امنیتي بنسټیزه کرښه PFS غواړي، حل هغه ګروپ دی چې دواړه خواوې یې مني او د سمون خوړونکې تګلارې له لارې څرګندیږي. د تېروتنې د ورکېدو لپاره د PFS بندول هغه امنیتي ځانګړتیا بدلوي چې تاسو یې ساتل غوښتل، او معمولاً وروسته د بل ناسمونې په توګه بیرته راځي.
یوه Azure-ځانګړې څنډه: کله چې تاسو د ESP لپاره GCM غوره کوئ، د کوډونې او بشپړتیا غوراوي باید هماغه GCM الګوریتم او هماغه کلیدي اوږدوالی ونوموي. د GCM سایفر له جلا بشپړتیا الګوریتم سره ګډول داسې ترکیب جوړوي چې خدمت یې ردوي، او تر هغې چې تګلاره په دقت سره ولولئ دا د peer ناسمونې په څېر ښکاري.
هغه ترټولو پیاوړې ترکیب غوره کړئ چې دواړه پایونه یې ملاتړ کوي او ستاسو شرط یې اجازه ورکوي، بیا یې د بدلون ثبت کې ولیکئ. بل کس به د هماغه ثبت سره پرتله وکړي، نه د یو فعال تونل د یادونې سره. پکې د PFS ګروپ او د ESP وړاندیز واچوئ، نه یوازې د تګلارې نوم. کله چې وروسته څوک وپوښتي چې پوښتنځوی ولې نابریالی شو یا بیا رغونه ولې ورو ده، هغه کرښه دواړو پوښتنو ته ځواب ورکوي.
هغه تبادله تایید کړئ چې نابریالۍ شوه
بدلون د بیرته راګرځېدو لارې سره پلان کړئ، ځکه چې د تګلارې سمول کېدای شي هغه تونل پرې کړي چې تاسو یې سمول غواړئ. وروسته له دې چې ټرافیک بیرته راشي، د CHILD_SA نوي کولو ته انتظار وکړئ یا یې پیل کړئ او تایید کړئ چې نوې اړیکه د پام کې نیول شوي PFS ګروپ سره جوړه شوې. بیا تایید کړئ چې د اپلیکیشن ټرافیک د هغې له لارې دوام لري.
دوه ګمراه کوونکي نښې د نومولو وړ دي. د SA ژوند مودې ځایي مشخصات دي، نو نابرابر ارزښتونه نورمال دي او بدلول یې یوازې هغه وخت ښیښوي چې ستونزه څرګندیږي. DPD معلوموي چې peer ژوندی دی که نه؛ د هغې وخت حد لوړول د ESP یا PFS غوراوي سره سمون نه کوي.
د خبرو اترو پایله او د بدلون وروسته بله پېښه ثبت کړئ. که اړیکه اوس د IKE تصدیق له بشپړېدو مخکې نابریالۍ شي، تاسو هغه IKE ترتیبات ګورئ چې همدا اوس مو سمولي، نه اصلي د CHILD نوي کولو نابریالي.