FortiGate Azure නැවත යතුර: peer SA යෝජනාව දේශීය ප්‍රතිපත්තියට නොගැලපේ
ක්‍රියාත්මක IKEv2 උමගකට පවා ප්‍රතිස්ථාපන CHILD SA ප්‍රතික්ෂේප කළ හැක. නවීකරණය සැබවින්ම සාකච්ඡා කරන යෝජනාව සසඳන්න, පළමු ping භාවිත කළ එක නොවේ.
උමග ඉහළට ආවා, ගමනාගමනය ගැලුවා, පසුව ලොගය කියයි peer SA proposal not match local policy. බොහෝ දෙනා එම පේළිය කියවන්නේ වින්‍යාස දෙක කිසිදා නොගැලපුණු බවට සාක්ෂියක් ලෙසය. සාමාන්‍යයෙන් එයින් අදහස් වන්නේ වඩාත් පටු දෙයකි: ඒවා පළමු CHILD SA සඳහා ගැලපුණා, පළමු නවීකරණයේදී ගැලපීම නතර කළා, මන්ද පළමු සම්බන්ධතාවයට පසුව ඒවා කරන හුවමාරුව කිසිදා අවශ්ය නොවූ බැවිනි. ඔබ කොහේ බැලිය යුතුද යන්න තීරණය කරන්නේ එම වෙනසයි.
පළමු CHILD SA උරුම වේ, පසුව ඒවා සාකච්ඡා කරයි
IKEv2 තුළ ආරම්භක CHILD SA IKE_AUTH අතරතුර නිර්මාණය වන අතර එහි යතුරු IKE SA හි යතුරු ද්‍රව්‍යයෙන් ව්‍යුත්පන්න වේ. එම මොහොතේ වෙනම Diffie-Hellman හුවමාරුවක් නොමැති බැවින් එක් peer එකකට පිළිගත නොහැකි PFS කණ්ඩායමක් තවම පරීක්ෂා නොවේ. උමග නිරෝගී ලෙස පෙනෙන්නේ ඔබ පසුව අසාර්ථක වන අවශ්‍යතාව කිසිදා පරීක්ෂා නොකළ බැවිනි.
CHILD_SA නැවත යතුරක් වෙනස් පණිවිඩ අනුපිළිවෙලකි. PFS වින්‍යාසගත වූ විට, peer දෙක නව යතුරු හුවමාරුවක් සිදු කරන අතර දෙපැත්තම පිළිගන්නා කණ්ඩායමක් සහ නව සම්බන්ධතාවය සඳහා ESP යෝජනාව පිළිබඳව එකඟ විය යුතුය. නොගැලපීම දෘශ්‍යමාන වන මොහොත එයයි, එබැවින් දෝෂය මාර්ගයක් නොව යෝජනාවක් නම් කරයි.
එබැවින් “ඊයේ එය ක්‍රියා කළා” යන ප්‍රකාශය යෝජනාව ගැන ඔබට කිසිවක් නොකියයි. ආරම්භක හුවමාරුව සාර්ථක වූ බව එය කියයි, එය ඔබ දැනටමත් දැන සිටියා.
අසාර්ථක හුවමාරුව කියවන්න, පළමු ping නොවේ
කිසිවක් වෙනස් කිරීමට පෙර දෙපැත්තෙන්ම සාර්ථක IKE සත්‍යාපනය, ආරම්භක CHILD SA සහ අසාර්ථක ප්‍රතිස්ථාපනය එක්රැස් කරන්න. ඉන්පසු ක්‍රියාව නිවැරදිව නම් කරන්න: IKE SA නැවත යතුර, IKE නැවත සත්‍යාපනය සහ CHILD SA නැවත යතුර වෙනස් සිදුවීම් තුනකි, සහ “අදියර 2” සාමාන්‍ය කතාබහේදී ඒ සියල්ල ආවරණය කරයි.
පහත ක්ෂේත්‍ර අසාර්ථක වූ සම්බන්ධතාවය සඳහා සසඳන්න, උමග සඳහා සාමාන්‍ය ලෙස නොවේ.
| ස්ථරය | සැසඳිය යුතු අගයන් |
|---|---|
| IKE | අනුවාදය, සංකේතනය සහ අඛණ්ඩතාව හෝ PRF සැකැස්ම, DH කණ්ඩායම |
| IPsec / CHILD | ESP සංකේතනය සහ අඛණ්ඩතාව, අපේක්ෂිත PFS හෝ යතුරු හුවමාරු කණ්ඩායම |
| ආරක්ෂිත ගමනාගමනය | දේශීය සහ දුරස්ථ තේරීම්කරුවන්, එසේම ප්‍රතිපත්ති පාදක ඕනෑම තේරීම්කරු සැකසුමක් |
FortiGate හි එම උමග සඳහා අදියර-2 යෝජනාව, PFS සැකසුම සහ පිළිගත් DH කණ්ඩායම් විවෘත කරන්න. පෙර ස්ථාපිත සම්බන්ධතාවයකින් අනුමාන කිරීම වෙනුවට පූරණය කළ අගයන් කියවන්න. GUI පිටුවේ තිර රුවක් ක්‍රියාත්මක වින්‍යාසයට වඩා දුර්වල සාක්ෂියකි, මන්ද යාවත්කාලීනයකින් පසු දෙකම වෙනස් විය හැකිය. ඔබ වෙනස් කළ කොටස නිර්යාත කර ටිකට් සමඟ තබා ගන්න.
Azure හි පෙරනිමි ප්‍රතිපත්තියද ප්‍රතිපත්තියකි
සම්බන්ධතාවයට අභිරුචි ප්‍රතිපත්තියක් අමුණා නොමැති වීමෙන් අදහස් නොවන්නේ Azure කිසිවක් යොදන්නේ නැති බවය. සම්බන්ධතාවය ගේට්වේයේ පෙරනිමි යෝජනා කට්ටලයට පසුබසී, එය ඔබේ FortiGate ලබා දෙන දෙයට වඩා පුළුල් හෝ පටු විය හැකිය. කට්ටල දෙක IKE සඳහා අතිච්ඡාදනය වුවත් PFS සමඟ ESP සඳහා නොවේ නම්, ඔබට හරියටම මෙම අසාර්ථක රටාව ලැබේ.
මෙම කියවීම්-පමණ දර්ශනය සැබවින්ම අමුණා ඇති ප්‍රතිපත්තිය රහස් හෙළි නොකර පෙන්වයි:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesඔබේ සැබෑ සම්පත් නාම භාවිත කරන්න. පැහැදිලි ප්‍රතිපත්තියක් අවශ්ය විට එය සම්බන්ධතා සම්පත මත සකසන්න. එය මුළු ගේට්වේයේම ස්විචයක් නොවන අතර එම ගේට්වේයේ අනෙක් උමගවලට නිශ්ශබ්දව යෙදෙන්නේ නැත.
පෝටලයේ, එම සම්බන්ධතාවයේ Configuration පිටුව අභිරුචි IPsec/IKE ප්‍රතිපත්තිය යන ස්ථානයයි. Microsoft හි අභිරුචි ප්‍රතිපත්ති මාර්ගෝපදේශය ආධාරක පරාමිතීන් සහ SKU අවශ්‍යතා ලැයිස්තුගත කරයි. Azure සම්බන්ධතාවයකට එක් සම්පූර්ණ සංයෝජනයක් ගනී, එබැවින් ඔබ IKE ක්ෂේත්‍ර සහ IPsec ක්ෂේත්‍ර එකට සඳහන් කරයි, එකින් එක නොවේ.
PFS යනු අවශ්‍යතාවකි, හරවන ස්විචයක් නොවේ
ඔබේ ආරක්ෂක පාදක රේඛාව PFS ඉල්ලා සිටී නම්, විසඳුම වන්නේ දෙපැත්තේම peer දෙක පිළිගන්නා කණ්ඩායමක්, ගැලපෙන ප්‍රතිපත්තියක් මගින් ප්‍රකාශ කරයි. දෝෂය අතුරුදහන් වීමට PFS අක්‍රීය කිරීම ඔබ රැක ගැනීමට උත්සාහ කළ ආරක්ෂක ගුණාංගය වෙනස් කරයි, සහ එය සාමාන්‍යයෙන් පසුව තවත් නොගැලපීමක් ලෙස නැවත පැමිණේ.
Azure-විශේෂිත එක් උගුලක්: ESP සඳහා GCM තෝරාගන්නා විට, සංකේතන සහ අඛණ්ඩතා තේරීම් එකම GCM ඇල්ගොරිතමය සහ එකම යතුරු දිග නම් කළ යුතුය. GCM සයිෆරයක් වෙනම අඛණ්ඩතා ඇල්ගොරිතමයක් සමඟ මිශ්‍ර කිරීමෙන් සේවාව ප්‍රතික්ෂේප කරන සංයෝජනයක් සෑදේ, සහ ප්‍රතිපත්තිය හොඳින් කියවන තෙක් එය peer නොගැලපීමක් ලෙස පෙනේ.
දෙකෙළවරම ආධාරක වන සහ ඔබේ අවශ්‍යතාව අනුමත කරන ශක්තිමත්ම සංයෝජනය තෝරා, පසුව එය වෙනස්කම් වාර්තාවේ ලියන්න. ඊළඟ පුද්ගලයා එම වාර්තාව සමඟ සසඳනු ඇත, ක්‍රියාත්මක වූ උමගක මතකය සමඟ නොවේ. එහි PFS කණ්ඩායම සහ ESP යෝජනාව ඇතුළත් කරන්න, ප්‍රතිපත්තියේ නම පමණක් නොවේ. පසුව යමෙකු විමසන විට විගණනය ඇයි අසාර්ථක වූයේ හෝ නැවත යතුර ඇයි මන්දගාමී යැයි, එම පේළිය ප්‍රශ්න දෙකටම පිළිතුරු දෙයි.
අසාර්ථක වූ හුවමාරුව සත්‍යාපනය කරන්න
ප්‍රතිපත්තිය සංස්කරණය කිරීම ඔබ නිවැරදි කිරීමට උත්සාහ කරන උමග බාධා කළ හැකි බැවින්, වෙනස ප්‍රතිසාධන මාර්ගයක් සමඟ සැලසුම් කරන්න. ගමනාගමනය ආපසු පැමිණි පසු CHILD_SA නවීකරණයක් එනතුරු බලා සිටින්න හෝ එය අවුලුවන්න, සහ නව සම්බන්ධතාවය අපේක්ෂිත PFS කණ්ඩායම සමඟ ස්ථාපිත වූ බව තහවුරු කරන්න. ඉන්පසු යෙදුම් ගමනාගමනය එය හරහා පවතින බව තහවුරු කරන්න.
වැරදි ඉඟි දෙකක් නම් කිරීම වටී. SA ආයු කාල දේශීය පිරිවිතර වන බැවින් අසමාන අගයන් සාමාන්‍ය වන අතර ඒවා වෙනස් කිරීම ගැටලුව පෙනෙන වේලාව පමණක් මාරු කරයි. DPD peer ජීවීද යන්න හඳුනා ගනී; එහි කාල සීමාව ඉහළ දැමීම ESP හෝ PFS තේරීම් පෙළගස්වන්නේ නැත.
වෙනසට පසු සාකච්ඡා කළ ප්‍රතිඵලය සහ ඊළඟ සිදුවීම වාර්තා කරන්න. IKE සත්‍යාපනය සම්පූර්ණ වීමට පෙර සම්බන්ධතාවය දැන් අසාර්ථක වේ නම්, ඔබ දැන් සංස්කරණය කළ IKE සැකසුම් දෙස බලමින් සිටී, මුල් CHILD-නවීකරණ අසාර්ථකත්වය දෙස නොවේ.