Windows සහ FortiGate හි IKEv2: මිනිසුන් එකට එකතු කරන අංග තුනක්
IKE යතුරු හුවමාරුව, CHILD SA ආරක්ෂණය සහ සමකයාගේ සත්‍යාපනය එකිනෙකට වෙනස් පේළි තුනකි. සංවාද දෙකක එකම කණ්ඩායම් අංක ගැළපුණත් ඒවා එකට එකතු නොවේ.
Windows සේවාලාභියා සහ FortiGate ද්වාරය අතර IKEv2 ගිවිසුම දිගටම අසාර්ථක වේ, සහ නොගැළපෙන අංකයක් සොයන විට තවත් දිගු අංක ලැයිස්තුවක් ඇති වේ. ලැයිස්තුව කළමනාකරණය කළ හැක්කේ එය ස්වාධීනව අසාර්ථක වන පේළි තුනකට බෙදූ විට පමණි: IKE ආරක්ෂා කරන යතුරු හුවමාරුව, CHILD SA සඳහා යොදන ආරක්ෂණය, සහ එක් එක් පාර්ශවය කවුද යන්න ඔප්පු කරන සත්‍යාපනය. කණ්ඩායම් අංක එම පේළි දෙකක පමණක් දිස්වන අතර වෙනස් අර්ථ දක්වයි.
ස්වාධීනව අසාර්ථක වන පේළි තුන
පළමු පේළිය IKE හි ඇතුළත යතුරු හුවමාරුව වන අතර එය සාකච්ඡාව ආරක්ෂා කරන යතුරු නිපදවයි. දෙවැන්න CHILD SA සඳහා වන යෝජනාව වන අතර එය උමං මාර්ගය ගෙන යන ගමන් ආරක්ෂා කරයි. තෙවැන්න සත්‍යාපනය වන අතර එය එක් එක් පාර්ශවය ඉදිරිපත් කරන දේ සහ අනෙක් පාර්ශවය එය සත්‍යාපනය කරන ආකාරය තීරණය කරයි.
අසාර්ථකතා වෙනස් තැන්වල සිදු වේ. හුවමාරුවේ අසාර්ථකත්වය උමං මාර්ගයක් නොපවතින විටම සාකච්ඡාව නවත්වයි. CHILD SA හි අසාර්ථකත්වය සත්‍යාපනය සාර්ථක වූ පසු සිදු වේ, සමහර විට යතුරු අලුත් කිරීමේදී පමණි. සත්‍යාපනයේ අසාර්ථකත්වය ලොගවල හුවමාරුවේ අසාර්ථකත්වයක් ලෙස පෙනිය හැක, ඔබ පළමු දෝෂය පමණක් කියවන්නේ නම්.
පේළි වෙන් කිරීම ගණන් බැලීමක් නොවේ. එය වෙනස් කිරීම වටිනා සැකසුම කුමක්ද යන්න වෙනස් කරයි, සහ මෙම මුළු ක්ෂේත්‍රයේම වඩාත් මිල අධික පියවර වන යෝජනාවේ නොගැළපීම නිවැරදි කිරීමට ක්‍රියාකාරී සහතික නැවත ජනනය කිරීම වළක්වයි. එක් පේළියක් වෙනස් වීම අනෙක් දෙකට එය සමඟ වෙනස් වීමට බල නොකළ යුතුය. එම ස්වාධීනත්වයම ඒවා වෙන් වෙන්ව ලිවීමේ මුළු අරමුණයි.
Windows හි ක්ෂේත්‍ර දෙක පාලනය කරන්නේ කුමක්ද
Windows ක්ෂේත්‍ර දෙක වෙන් වෙන්ව තබා ගනී: DHGroup IKE හුවමාරුවම වින්‍යාස කරයි, PfsGroup උමං මාර්ගය තුළ ගමන් ආරක්ෂා කරන IPsec ප්‍රතිපත්තිය වින්‍යාස කරයි. ඒවා වෙනස් අවස්ථාවලට අයත් වේ. Windows හි IKE ක්ෂේත්‍රය FortiGate හි අදියර 2 අගයක් සමඟ සංසන්දනය කිරීම වැරදි යුගලය පරීක්ෂා කරයි, සහ අංක ගැළපිය හැකි නමුත් යටින් පවතින හුවමාරුව තවමත් අසාර්ථක වේ.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAදෙවන සහ තෙවන විධානය සැබවින්ම පවතින ආරක්ෂක සම්බන්ධතා වාර්තා කරයි, සහ එය සේවාලාභියෙකුට ඔබට දිය හැකි පිළිතුරට වඩාත් සමීපතම දෙයයි. ප්‍රධාන මාදිලි සම්බන්ධතාවක් ඇතිව ඉක්මන් මාදිලි සම්බන්ධතාවක් නොමැති වීම CHILD SA ගැටලුවක් වන අතර එය සහතික ගැටලුවක් නොව අදියර 2 නොගැළපීමේ සලකුණකි.
එක් උත්සාහයකදී යෝජනා කළ දේ සහ තෝරා ගත් දේ සටහන් කරන්න. පිළිගත හැකි යෝජනාවක් අඩංගු යෝජනා ලැයිස්තුවක් සහ ද්වාරයේ ප්‍රතිපත්තියට නොගැළපෙන තෝරාගත් යෝජනාවක් වින්‍යාස එකඟතාවකි, අන්තර් ක්‍රියාකාරීත්ව අභිරහසක් නොවේ.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
ඉලිප්සීය වක්‍ර කණ්ඩායම ඔබේ අත්සන් යතුර තෝරන්නේ නැත
මෙම ක්ෂේත්‍රයේ වඩාත්ම දැඩි වැරදි අනුමානය වන්නේ ඉලිප්සීය වක්‍ර DH කණ්ඩායමක් තෝරා ගැනීමට ඉලිප්සීය වක්‍ර සහතිකයක් අවශ්‍ය බවයි. DH කණ්ඩායමක් යතුරු හුවමාරු ද්‍රව්‍ය සපයයි; අත්සන් ඇල්ගොරිතම සත්‍යාපන රාමුව විසින් සාකච්ඡා කරයි, සහ IKEv2 හි ඒවා වෙනස් තීරණ දෙකකි.
RFC 7427 පවතින්නේ එම තීරණ කලින් එකට ගොතා තිබූ නිසාම ය, සහ අත්සන් ඇල්ගොරිතම යතුරු හුවමාරුවෙන් ස්වාධීනව ප්‍රකාශ කර තෝරා ගන්නා ආකාරය එය අර්ථ දක්වයි. ද්වාරයකට එකම වේලාවක වක්‍ර කණ්ඩායමක් සහ අත්සන් ක්‍රමවල තේරීමක් යන දෙකම ආධාර කළ හැක.
එබැවින් කණ්ඩායම් වෙනසකින් පසු සාකච්ඡාව අසාර්ථක වූ විට, සහතිකයේ යතුරු වර්ගය දෙස බැලීමට පෙර සත්‍යාපන ක්‍රමය දෙස බලන්න. සහතිකයක් වෙනස් කිරීම සෙමින් හා අවදානම් සහිත මෙහෙයුමක් වන අතර එය කලාතුරකින් පිළිතුර වේ, සහ එය මුලින්ම කිරීමෙන් කුමන වෙනසක් ඇත්තෙන්ම උදව් කළාද යන්න දැන ගැනීමේ ඔබේ හැකියාව විනාශ වේ. සහතික ගබඩාව ස්පර්ශ කිරීමට පෙර සත්‍යාපන පේළිය කියවන්න.
දෙකම ගිවිසුම් පත්‍රයේ වෙනස් පේළිවල තබන්න, එවිට වැරැද්ද පෙළඹවීමක් නොවනු ඇත. එක් පේළියක් කණ්ඩායම් ලැයිස්තුගත කරයි, අනෙක අත්සන් ක්‍රම සහ අනන්‍යතා, සහ කිසිවක් අනෙක ගැන සාක්ෂියක් නොවේ.
සෑම පුද්ගලික යතුරක්ම එහි සැබෑ හිමිකරු සමඟ තබන්න
තමන්ගේම සහතිකයක් ඉදිරිපත් කරන ද්වාරයකට එයට ගැළපෙන පුද්ගලික යතුර අවශ්‍ය වේ. දාමයක් සත්‍යාපනය කරන සමකයාට CA සහතිකය අවශ්‍ය වන අතර විශේෂයෙන්ම CA හි අත්සන් යතුර අවශ්‍ය නොවේ. මෙම අංග තුන මිශ්‍ර කිරීම නිසාම මිනිසුන් සහතිකය වෙනත් කාණ්ඩයක පෙන්වීමට VPN උපාංගයකට CA හි පුද්ගලික යතුර ආයාත කරති.
FortiOS හි භූමිකා වෙනස් ය: එහි යතුර සමඟ දේශීය සහතිකය, සමකයා හඳුනා ගැනීමට භාවිත කරන දුරස්ථ සහතිකය, සහ එම CA විසින් අත්සන් කළ සහතිකවල විශ්වාසය තහවුරු කරන දුරස්ථ CA සටහන. පුද්ගලික යතුරක් නොමැති දුරස්ථ CA සටහනක් අසම්පූර්ණ නොවේ; එය එහි අරමුණට නිවැරදි ය.
ආයාත කළ CA අත්සන් යතුරු එම උපාංගය කියවිය හැකි ඕනෑම අයෙකුගේ අධිකාරිය පුළුල් කරයි. ඒවා සාමාන්‍ය සමක සත්‍යාපනය ද නොවිසඳයි, මන්ද සත්‍යාපනයට පොදු සහතිකය සහ විශ්වාස තීරණය අවශ්‍ය වන අතර නව සහතික නිකුත් කිරීමේ හැකියාව නොවේ.
CA හි අත්සන් යතුර නිකුත් කරන්නාගේම ක්‍රියාවලිය අසල තබන්න, සහ කුමන උපාංගය කුමන යතුර දරයිද සටහන් කරන්න. විගණනයක් කවුරුන් කාගේ පෙනුම ගත හැකි වූයේදැයි අසන විට, හිමිකරුවන්ගේ කෙටි වගුවක් ඇල්ගොරිතමවල දිගු වගුවකට වඩා වටිනා ය. කිසිවෙකු තමා දන්නා ආකාරයට අටවා ගබඩාව සඳහා පමණක් යැයි යතුරක් ආයාත නොකරයි. සිදුවීමට පසුව නොව පෙර අටවා ගබඩාව ලියන්න.