FortiGate Azure obnova kľúča: návrh peer SA nezodpovedá miestnej politike
Funkčný tunel IKEv2 môže napriek tomu odmietnuť náhradnú CHILD SA. Porovnajte návrh, o ktorom obnova skutočne vyjednáva, nie ten, ktorý použil prvý ping.
Tunel sa zdvihol, prevádzka tiekla a neskôr v logu stojí peer SA proposal not match local policy. Väčšina ľudí číta tento riadok ako dôkaz, že sa obe konfigurácie nikdy nezhodovali. Zvyčajne znamená niečo užšie: zhodovali sa pre prvú CHILD SA a pri prvej obnove sa zhodovať prestali, pretože prvá asociácia nikdy nepotrebovala výmenu, ktorú vykonávajú tie nasledujúce. Práve tento rozdiel určuje, kam sa pozerať.
Prvá CHILD SA dedí, ďalšie vyjednávajú
V IKEv2 sa počiatočná CHILD SA vytvára počas IKE_AUTH a jej kľúče sa odvodzujú z kľúčového materiálu IKE SA. V tom okamihu neprebieha samostatná výmena Diffie-Hellman, takže skupina PFS, ktorú jeden peer nemôže prijať, sa zatiaľ jednoducho netestuje. Tunel vyzerá zdravo, pretože požiadavka, na ktorej neskôr zlyháte, nebola nikdy otestovaná.
Obnova kľúča CHILD_SA je iná postupnosť správ. Keď je nakonfigurovaný PFS, peery vykonajú novú výmenu kľúčov a musia sa dohodnúť na skupine, ktorú prijmú obe strany, plus na návrhu ESP pre novú asociáciu. To je okamih, keď sa nezhoda stane viditeľnou, a preto chyba pomenúva návrh, nie trasu.
Takže „včera to fungovalo“ vám o návrhu nič nehovorí. Hovorí vám, že počiatočná výmena uspela, čo ste už vedeli.
Čítajte neúspešnú výmenu, nie prvý ping
Predtým, než čokoľvek zmeníte, zhromaždite z oboch strán úspešnú autentizáciu IKE, počiatočnú CHILD SA a neúspešnú náhradu. Potom operáciu pomenujte presne: obnova kľúča IKE SA, opakovaná autentizácia IKE a obnova kľúča CHILD SA sú tri rôzne udalosti a „fáza 2“ v bežnej reči zahŕňa všetky.
Porovnajte polia nižšie pre spojenie, ktoré zlyhalo, nie pre tunel všeobecne.
| Vrstva | Hodnoty na porovnanie |
|---|---|
| IKE | Verzia, šifrovanie a integrita alebo usporiadanie PRF, skupina DH |
| IPsec / CHILD | Šifrovanie a integrita ESP, zamýšľaná skupina PFS alebo výmeny kľúčov |
| Chránená prevádzka | Miestne a vzdialené selektory plus akékoľvek nastavenie selektora založené na politike |
Na FortiGate otvorte návrh fázy-2, nastavenie PFS a prijaté skupiny DH pre daný tunel. Čítajte načítané hodnoty namiesto toho, aby ste ich odvodzovali zo spojenia, ktoré sa nadviazalo skôr. Snímka obrazovky stránky GUI je slabší dôkaz než bežiaca konfigurácia, pretože tie dve sa po aktualizácii môžu rozísť. Exportujte sekciu, ktorú ste zmenili, a uložte ju k tiketu.
Predvolená politika Azure je stále politika
To, že k spojeniu nie je pripojená žiadna vlastná politika, neznamená, že Azure žiadnu neuplatňuje. Spojenie sa vracia k predvolenej sade návrhov brány, ktorá môže byť širšia alebo užšia než to, čo ponúka váš FortiGate. Ak sa obe sady prekrývajú pre IKE, ale nie pre ESP s PFS, dostanete presne tento vzorec zlyhania.
Tento náhľad len na čítanie zobrazuje skutočne pripojenú politiku bez prezrádzania tajomstiev:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesPoužite skutočné názvy svojich prostriedkov. Keď je potrebná výslovná politika, nastavte ju na prostriedku spojenia. Nie je to prepínač pre celú bránu a potichu sa nevzťahuje na iné tunely na tej istej bráne.
Na portáli je stránka Configuration tohto spojenia miestom, kam patrí vlastná politika IPsec/IKE. Príručka Microsoftu pre vlastné politiky uvádza podporované parametre a požiadavky na SKU. Azure berie jednu úplnú kombináciu na spojenie, takže polia IKE a polia IPsec zadávate spolu, nie jedno po druhom.
PFS je požiadavka, nie prepínač na prepnutie
Ak vaša bezpečnostná základná línia vyžaduje PFS, riešením je skupina, ktorú prijmú oba peery na oboch stranách, vyjadrená zodpovedajúcou politikou. Vypnutie PFS, aby chyba zmizla, mení bezpečnostnú vlastnosť, ktorú ste sa snažili zachovať, a zvyčajne sa neskôr vráti ako iná nezhoda.
Jedna pasca špecifická pre Azure: keď pre ESP zvolíte GCM, voľby šifrovania a integrity musia uvádzať rovnaký algoritmus GCM a rovnakú dĺžku kľúča. Miešanie šifry GCM so samostatným algoritmom integrity vytvára kombináciu, ktorú služba odmieta, a to vyzerá ako nezhoda peerov, kým politiku pozorne neprečítate.
Zvoľte najsilnejšiu kombináciu, ktorú oba konce podporujú a ktorú vaša požiadavka dovoľuje, a zapíšte ju do záznamu o zmenách. Ďalší človek ju bude porovnávať s týmto záznamom, nie so spomienkou na funkčný tunel. Uveďte v ňom skupinu PFS a návrh ESP, nielen názov politiky. Keď sa niekto neskôr spýta, prečo audit zlyhal alebo prečo je obnova pomalá, ten riadok odpovie na obe otázky.
Overte výmenu, ktorá zlyhala
Naplánujte zmenu s cestou obnovy, pretože úprava politiky môže prerušiť tunel, ktorý sa snažíte opraviť. Keď sa prevádzka vráti, počkajte na obnovu CHILD_SA alebo ju vyvolajte a potvrďte, že nová asociácia je nadviazaná so zamýšľanou skupinou PFS. Potom potvrďte, že cez ňu pokračuje prevádzka aplikácií.
Dve falošné stopy stoja za pomenovanie. Životnosti SA sú miestne špecifikácie, takže nerovnaké hodnoty sú normálne a ich zmena len posúva, kedy sa problém objaví. DPD zisťuje, či je peer živý; zvýšenie jeho časového limitu nevyrovnáva voľby ESP ani PFS.
Zaznamenajte vyjednaný výsledok a ďalšiu udalosť po zmene. Ak teraz spojenie zlyháva pred dokončením autentizácie IKE, pozeráte sa na nastavenia IKE, ktoré ste práve upravili, nie na pôvodné zlyhanie obnovy CHILD.