IKEv2 په Windows او FortiGate کې: هغه درې تنظیمات چې خلک یې یوځای کوي
د IKE کیلي تبادله، د CHILD SA ساتنه او د سیال تصدیق درې جلا کرښې دي۔ په دوو خبرو اترو کې د ګروپ شمېرو سره سمون دوی نه یوځای کوي۔
د Windows کلینټ او FortiGate لارښوونکي ترمنځ د IKEv2 تړون په ناکامۍ کې دوام لري، او د ناسمې شمېرې لټون لا اوږد شمېرو لیست جوړوي۔ لیست یوازې هغه وخت د مدیریت وړ کیږي چې په درې کرښو ووېشل شي چې په خپلواکه توګه ناکام شي: هغه کیلي تبادله چې IKE ساتي، هغه ساتنه چې په CHILD SA پلي کیږي، او هغه تصدیق چې ثابتوي هر لوری څوک دی۔ د ګروپ شمېرې په هغو کرښو کې دوه کې ښکاري او بېلابېل معناوې لري۔
درې کرښې چې په خپلواکه توګه ناکام شي
لومړۍ کرښه د IKE په داخل کې د کیلي تبادله ده، چې هغه کیلي جوړوي چې خبرې اترې ساتي۔ دوهمه د CHILD SA لپاره وړاندیز دی، چې هغه ټرافیک ساتي چې تونل یې وړي۔ دریمه تصدیق دی، چې ټاکي هر لوری څه وړاندې کوي او بل لوری یې څنګه تصدیقوي۔
ناکامۍ په بېلو ځایونو کې پېښیږي۔ د تبادلې ناکامي خبرې اترې له هغې مخکې دروي چې کوم تونل موجود وي۔ د CHILD SA ناکامي وروسته له دې پېښیږي چې تصدیق بریالی شي، کله ناکله یوازې د کیلي نوي کولو پر مهال۔ د تصدیق ناکامي په لاګونو کې د تبادلې ناکامۍ په څېر ښکاري کېدای شي، که یوازې لومړنۍ تېروتنه ولولئ۔
د کرښو جلا کول حسابي کار نه دی۔ دا بدلوي چې کوم تنظیم د بدلولو وړ دی، او په دې ټول برخه کې ترټولو ګرانښتې اقدام مخه نیسي، یعنې د وړاندیز ناسازګارۍ سمولو لپاره د کار کوونکو تصدیق پاڼو بیا تولید۔ د یوې کرښې بدلون باید هېڅکله نورې دوه اړ کړي چې له هغې سره بدلې شي۔ همدا خپلواکي د دوی جلا لیکلو ټول هدف دی۔
د Windows دوه ساحې څه کنټرولوي
Windows دوه ساحې جلا ساتي: DHGroup پخپله د IKE تبادله تنظیموي، په داسې حال کې چې PfsGroup هغه IPsec پالیسي تنظیموي چې د تونل دننه ټرافیک ساتي۔ دوی بېلو پړاوونو پورې اړه لري۔ د Windows د IKE ساحې د FortiGate د پړاو 2 ارزښت سره پرتله کول غلطه جوړه ازمويي، او شمېرې سره سمون خوري کېدای شي په داسې حال کې چې اساسي تبادله لا هم ناکامه شي۔
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAدوهم او دریم حکم هغه امنیتي اتحادیې راپور کوي چې واقعاً شته، او دا هغه څه دي چې د کلینټ له خوا ورکول کېدونکي ځواب ترټولو نږدې دي۔ د اصلي حالت اتحادیه پرته د چټک حالت اتحادیې د CHILD SA ستونزه ده، او دا د تصدیق پاڼې ستونزې نه بلکې د پړاو 2 ناسازګارۍ نښه ده۔
یاد کړئ چې په یوه هڅه کې څه وړاندیز او څه غوره شول۔ هغه وړاندیز لیست چې منل کېدونکی وړاندیز لري او غوره شوی وړاندیز چې د لارښوونکي له پالیسۍ سره سمون نه خوري، د ترتیباتو اختلاف دی، د متقابل عمل راز نه۔
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
د بیضوي منحني ګروپ ستاسو د لاسلیک کیلي نه ټاکي
په دې برخه کې ترټولو ټینګ غلط انګېرنه دا ده چې د بیضوي منحني DH ګروپ غوره کول د بیضوي منحني تصدیق پاڼې ته اړتیا لري۔ DH ګروپ د کیلي تبادلې مواد برابروي؛ د لاسلیک الګوریتم د تصدیق چوکاټ لخوا خبرې اترې کیږي، او دا په IKEv2 کې دوه جلا پرېکړې دي۔
RFC 7427 په دې دلیل شته چې هغه پرېکړې مخکې تړلې وې، او دا تعریفوي چې د لاسلیک الګوریتمونه له کیلي تبادلې څخه خپلواکه څنګه اعلانیږي او غوره کیږي۔ لارښوونکی کولی شي په یو وخت کې هم منحني ګروپ او هم د لاسلیک سکیمونو غوره توب ملاتړ وکړي۔
نو کله چې له ګروپ بدلون وروسته خبرې اترې ناکامې شي، د تصدیق پاڼې د کیلي ډول ته له کتلو مخکې د تصدیق طریقه وګورئ۔ د تصدیق پاڼې بدلول ورو او خطرناک عمل دی چې نادراً ځواب وي، او لومړی یې کول ستاسو هغه وړتیا له منځه وړي چې پوه شئ کوم بدلون واقعاً مرسته وکړه۔ د تصدیق پاڼو زېرمې ته له لاس وهلو مخکې د تصدیق کرښه ولولئ۔
دواړه د تړون پاڼې په جلا کرښو کې وساتئ او تېروتنه به نوره زړه راښکونکې نه وي۔ یوه کرښه ګروپونه لیستوي، بله د لاسلیک سکیمونه او هویتونه، او هېڅ یوه د بل په اړه شاهد نه ده۔
هره شخصي کیلي د هغې د ریښتیني مالک سره کېږدئ
هغه لارښوونکی چې خپله تصدیق پاڼه وړاندې کوي هغه شخصي کیلي ته اړتیا لري چې ورسره سمون خوري۔ هغه سیال چې لړۍ تصدیقوي د CA تصدیق پاڼې ته اړتیا لري، او په ځانګړې توګه د CA د لاسلیک کیلي ته اړتیا نه لري۔ د دې درې عناصرو ګډول هغه لار ده چې خلک د تصدیق پاڼې په بله کټګورۍ کې د ښکارېدو لپاره د VPN وسیلې ته د CA شخصي کیلي واردوي۔
په FortiOS کې رولونه جلا دي: سیمه ایزه تصدیق پاڼه د خپلې کیلي سره، لرې تصدیق پاڼه چې د سیال پېژندنې لپاره کارول کیږي، او د لرې CA ننوتنه چې د هغه CA لخوا لاسلیک شوو تصدیق پاڼو کې باور ټینګوي۔ پرته له شخصي کیلي د لرې CA ننوتنه نیمګړې نه ده؛ دا د خپل هدف لپاره سمه ده۔
وارد شوې د CA لاسلیک کیلي د هغه وسیلې د لوستلو وړ هر چا واک پراخوي۔ دوی همدارنګه عادي سیال تصدیق حل نه کوي، ځکه تصدیق ته عامه تصدیق پاڼه او د باور پرېکړه غواړي، نه د نویو تصدیق پاڼو جوړولو وړتیا۔
د CA د لاسلیک کیلي د صادروونکي په خپل بهیر کې وساتئ، او یاد کړئ چې کومه وسیله کومه کیلي لري۔ کله چې پوښتنې څېړنه وپوښتي چې څوک د چا بڼه غوره کولی شو، د مالکانو لنډه جدول د الګوریتمونو اوږدې جدول څخه ډېر ارزښت لري۔ هیڅوک هغه کیلي نه واردوي چې پوهیږي یوازې د موجودي لپاره ده۔ موجودي له پېښې مخکې ولیکئ، نه وروسته۔