FortiGate Azure obnova ključa: predlog peer SA se ne ujema z lokalno politiko

Tunel se je dvignil, promet je tekel, pozneje pa v dnevniku piše peer SA proposal not match local policy. Večina ljudi to vrstico bere kot dokaz, da se konfiguraciji nikoli nista ujemali. Običajno pomeni nekaj ožjega: ujemali sta se za prvi CHILD SA in se prenehali ujemati pri prvi obnovitvi, ker prva asociacija nikoli ni potrebovala izmenjave, ki jo izvajajo naslednje. Prav ta razlika odloči, kam pogledati.

Prvi CHILD SA podeduje, naslednji se pogajajo

V IKEv2 se začetni CHILD SA ustvari med IKE_AUTH, njegovi ključi pa se izpeljejo iz ključnega gradiva IKE SA. Takrat ni ločene izmenjave Diffie-Hellman, zato se skupina PFS, ki je en peer ne more sprejeti, preprosto še ne preizkusi. Tunel je videti zdrav, ker zahteva, na kateri boste pozneje padli, ni bila nikoli preizkušena.

Obnova ključa CHILD_SA je drugo zaporedje sporočil. Ko je PFS konfiguriran, peeri izvedejo novo izmenjavo ključev in se morajo dogovoriti o skupini, ki jo sprejmeta obe strani, ter o predlogu ESP za novo asociacijo. To je trenutek, ko nesklad postane viden, in zato napaka imenuje predlog, ne poti.

Torej »včeraj je delovalo« ne pove ničesar o predlogu. Pove, da je začetna izmenjava uspela, kar ste že vedeli.

Preberite neuspešno izmenjavo, ne prvega pinga

Preden karkoli spremenite, zberite z obeh strani uspešno avtentikacijo IKE, začetni CHILD SA in neuspešno zamenjavo. Nato operacijo natančno poimenujte: obnova ključa IKE SA, ponovna avtentikacija IKE in obnova ključa CHILD SA so trije različni dogodki, »faza 2« pa jih v vsakdanjem pogovoru zajema vse.

Primerjajte spodnja polja za povezavo, ki je spodletela, ne za tunel na splošno.

Na FortiGate odprite predlog faze-2, nastavitev PFS in sprejete skupine DH za ta tunel. Berite naložene vrednosti, namesto da jih sklepate iz povezave, vzpostavljene prej. Posnetek zaslona strani GUI je šibkejši dokaz kot delujoča konfiguracija, ker se lahko po nadgradnji razideta. Izvozite razdelek, ki ste ga spremenili, in ga shranite s tiketom.

Privzeta politika Azure je še vedno politika

To, da povezavi ni priložena nobena politika po meri, ne pomeni, da Azure ne uporablja nobene. Povezava se vrne na privzeti nabor predlogov prehoda, ki je lahko širši ali ožji od tega, kar ponuja vaš FortiGate. Če se nabora prekrivata za IKE, ne pa za ESP s PFS, dobite natanko ta vzorec odpovedi.

Ta pogled samo za branje prikazuje dejansko priloženo politiko, ne da bi razkril skrivnosti:

Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPolicies

Uporabite resnična imena svojih virov. Ko je potrebna izrecna politika, jo nastavite na viru povezave. To ni stikalo za celoten prehod in se ne uporablja tiho za druge tunele na istem prehodu.

Na portalu je stran Configuration te povezave mesto, kamor sodi politika IPsec/IKE po meri. Microsoftov vodnik za politike po meri navaja podprte parametre in zahteve SKU. Azure sprejme eno popolno kombinacijo na povezavo, zato polja IKE in polja IPsec navedete skupaj, ne eno za drugim.

PFS je zahteva, ne stikalo, ki bi ga obrnili

Če vaša varnostna osnovnica zahteva PFS, je rešitev skupina, ki jo sprejmeta oba peera na obeh straneh, izražena z ustrezno politiko. Izklop PFS, da bi napaka izginila, spremeni varnostno lastnost, ki ste jo skušali ohraniti, in se običajno pozneje vrne kot drug nesklad.

Ena past, značilna za Azure: ko za ESP izberete GCM, morata izbiri šifriranja in celovitosti navesti isti algoritem GCM in isto dolžino ključa. Mešanje šifre GCM z ločenim algoritmom celovitosti ustvari kombinacijo, ki jo storitev zavrne, in to je videti kot nesklad med peeri, dokler politike pozorno ne preberete.

Izberite najmočnejšo kombinacijo, ki jo podpirata oba konca in jo vaša zahteva dovoljuje, nato jo zapišite v dnevnik sprememb. Naslednja oseba jo bo primerjala s tem dnevnikom, ne s spominom na delujoč tunel. Vanj vnesite skupino PFS in predlog ESP, ne le imena politike. Ko se nekdo pozneje vpraša, zakaj je revizija spodletela ali zakaj je obnova ključa počasna, ta vrstica odgovori na obe vprašanji.

Preverite izmenjavo, ki je spodletela

Spremembo načrtujte s potjo za obnovitev, ker lahko urejanje politike prekine tunel, ki ga poskušate popraviti. Ko se promet vrne, počakajte na obnovitev CHILD_SA ali jo sprožite in potrdite, da je nova asociacija vzpostavljena s predvideno skupino PFS. Nato potrdite, da se promet aplikacij nadaljuje skozi njo.

Dve lažni sledi velja imenovati. Življenjske dobe SA so lokalne specifikacije, zato so neenake vrednosti običajne in njihova sprememba le premakne, kdaj se težava pokaže. DPD zazna, ali je peer živ; zvišanje njegove časovne omejitve ne uskladi izbir ESP ali PFS.

Zabeležite izpogajani rezultat in naslednji dogodek po spremembi. Če povezava zdaj spodleti, preden se avtentikacija IKE zaključi, gledate nastavitve IKE, ki ste jih pravkar uredili, ne prvotne odpovedi obnove CHILD.