FortiGate Azure obnavljanje ključa: peer SA prijedlog se ne poklapa s lokalnom politikom

Tunel se podigao, saobraćaj je tekao, a kasnije u dnevniku piše peer SA proposal not match local policy. Većina ljudi taj red čita kao dokaz da se dvije konfiguracije nikada nisu poklapale. Obično to znači nešto uže: poklapale su se za prvi CHILD SA i prestale su se poklapati pri prvom obnavljanju, jer prva asocijacija nikada nije trebala razmjenu koju izvode kasnije. Ta razlika odlučuje gdje ćete tražiti.

Prvi CHILD SA nasljeđuje, kasniji pregovaraju

U IKEv2 početni CHILD SA nastaje tokom IKE_AUTH, a njegovi ključevi se izvode iz ključnog materijala IKE SA. U tom trenutku nema zasebne Diffie-Hellman razmjene, pa se PFS grupa koju jedan peer ne može prihvatiti jednostavno još ne provjerava. Tunel izgleda zdrav jer zahtjev na kojem ćete kasnije pasti nikada nije testiran.

Obnavljanje ključa CHILD_SA je drugačiji slijed poruka. Kada je PFS konfigurisan, peerovi izvode svježu razmjenu ključeva i moraju se dogovoriti o grupi koju obje strane prihvataju, plus ESP prijedlog za novu asocijaciju. To je trenutak kada nesklad postaje vidljiv i zato greška imenuje prijedlog, a ne rutu.

Dakle, “juče je radilo” ne govori vam ništa o prijedlogu. Govori vam da je početna razmjena uspjela, što ste već znali.

Čitajte neuspjelu razmjenu, a ne prvi ping

Prije nego što bilo šta promijenite, prikupite uspješnu IKE autentifikaciju, početni CHILD SA i neuspjelu zamjenu s obje strane. Zatim precizno imenujte operaciju: obnavljanje ključa IKE SA, ponovna autentifikacija IKE i obnavljanje ključa CHILD SA tri su različita događaja, a “faza 2” u običnom razgovoru pokriva sve njih.

Uporedite polja ispod za vezu koja je neuspjela, a ne za tunel općenito.

Na FortiGateu otvorite prijedlog faze-2, PFS postavku i prihvaćene DH grupe za taj tunel. Čitajte učitane vrijednosti umjesto da ih zaključujete iz veze koja je ranije uspostavljena. Snimak ekrana GUI stranice slabiji je dokaz od pokrenute konfiguracije, jer se njih dvoje mogu razlikovati nakon nadogradnje. Izvezite odjeljak koji ste promijenili i čuvajte ga uz tiket.

Azureova zadana politika je i dalje politika

Odsustvo prilagođene politike priključene na vezu ne znači da Azure ne primjenjuje nijednu. Veza se vraća na zadani skup prijedloga mrežnog prolaza, koji može biti širi ili uži od onoga što nudi vaš FortiGate. Ako se skupovi preklapaju za IKE, ali ne za ESP s PFS-om, dobijate upravo ovaj obrazac neuspjeha.

Ovaj prikaz samo za čitanje pokazuje politiku koja je zaista priključena, bez otkrivanja tajni:

Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPolicies

Koristite stvarna imena svojih resursa. Kada je potrebna izričita politika, postavite je na resurs veze. To nije prekidač na nivou prolaza i ne primjenjuje se tiho na druge tunele na istom prolazu.

Na portalu, stranica Configuration te veze je mjesto gdje ide prilagođena IPsec/IKE politika. Microsoftov vodič za prilagođene politike navodi podržane parametre i zahtjeve za SKU. Azure uzima jednu potpunu kombinaciju po vezi, pa IKE polja i IPsec polja navodite zajedno, a ne jedno po jedno.

PFS je zahtjev, a ne prekidač koji treba prebaciti

Ako vaša sigurnosna osnovica zahtijeva PFS, rješenje je grupa koju oba peera prihvataju s obje strane, izražena kroz odgovarajuću politiku. Isključivanje PFS-a da greška nestane mijenja sigurnosno svojstvo koje ste pokušavali zadržati i obično se kasnije vrati kao drugačiji nesklad.

Jedna zamka specifična za Azure: kada odaberete GCM za ESP, odabiri enkripcije i integriteta moraju imenovati isti GCM algoritam i istu dužinu ključa. Miješanje GCM šifre sa zasebnim algoritmom integriteta daje kombinaciju koju usluga odbija, a to izgleda kao nesklad među peerovima dok pažljivo ne pročitate politiku.

Odaberite najjaču kombinaciju koju oba kraja podržavaju i koju vaš zahtjev dopušta, pa je zapišite u zapis o promjenama. Sljedeća osoba će se porediti s tim zapisom, a ne sa sjećanjem na tunel koji je radio. U njega stavite PFS grupu i ESP prijedlog, ne samo naziv politike. Kada neko kasnije pita zašto je revizija pala ili zašto je obnavljanje sporo, taj red odgovara na oba pitanja.

Provjerite razmjenu koja je neuspjela

Zakažite promjenu s putem oporavka, jer uređivanje politike može prekinuti tunel koji pokušavate popraviti. Nakon što saobraćaj vrati, sačekajte ili pokrenite obnavljanje CHILD_SA i potvrdite da je nova asocijacija uspostavljena s predviđenom PFS grupom. Zatim potvrdite da se aplikacijski saobraćaj nastavlja kroz nju.

Dvije lažne staze vrijedi imenovati. Trajanja SA su lokalne specifikacije, pa su nejednake vrijednosti normalne i njihova promjena samo pomjera kada će se problem pojaviti. DPD otkriva da li je peer živ; podizanje njegovog vremenskog ograničenja ne usklađuje ESP ili PFS izbore.

Zabilježite dogovoreni rezultat i sljedeći događaj nakon promjene. Ako veza sada pada prije nego što se IKE autentifikacija završi, gledate IKE postavke koje ste upravo uredili, a ne prvobitni neuspjeh obnavljanja CHILD-a.