FortiGate Azure dib-u-cusboonaysiin fure: soo-jeedinta peer SA kuma habboona siyaasadda maxalliga

Tunnel-ku wuu soo baxay, taraafikadu way qulqulatay, markii dambena log-ku wuxuu leeyahay peer SA proposal not match local policy. Dadka badankoodu sadarkaas waxay u akhriyaan caddayn in labada qaab-dhismeed midna marnaba iswaafajin. Badanaa waxay ka dhigan tahay wax cidhiidhi ah: waxay iswaafajin CHILD SA ugu horreysay oo waxay joojiyeen iswaafajinta cusboonaysiinta ugu horreysay, sababtoo ah ururka ugu horreeya marnaba uma uusan baahnayn is-dhaafsiga kuwa dambe sameeyaan. Farqigaas ayaa go'aamiya halka aad eegto.

CHILD SA ugu horreeya waxay dhaxashaa, kuwa dambe way gorgortamaan

IKEv2 gudaha CHILD SA bilowga ah waxaa la abuuraa inta lagu jiro IKE_AUTH, furayaasheeda waxaa laga soo saaraa maaddada furaha IKE SA. Waqtigaas ma jiro is-dhaafsi Diffie-Hellman gaar ah, sidaas darteed koox PFS oo peer mid ka mid ah uusan aqbali karin weli lama tijaabiyo. Tunnel-ku wuxuu u muuqdaa mid caafimaad qaba sababtoo ah shuruudda aad dambe ku guuldareysan doonto marnaba lama tijaabin.

Dib-u-cusboonaysiinta furaha CHILD_SA waa taxane farriimo kale. Marka PFS la habeeyo, peer-yadu waxay sameeyaan is-dhaafsi fure cusub oo waa inay ku heshiiyaan koox labada dhinacba aqbalaan, iyo sidoo kale soo-jeedinta ESP ee ururka cusub. Taasi waa daqiiqadda is-waafajin la'aantu muuqato, taasna waa sababta khaladku u magacaabo soo-jeedin halkii uu magacaabi lahaa waddo.

Marka “shalay way shaqeynaysay” wax kama sheegto soo-jeedinta. Waxay sheegaysaa in is-dhaafsiga bilowga ahi guulaystay, taas oo aad horey u ogayd.

Akhri is-dhaafsiga guuldareystay, ma aha ping-ga ugu horreeya

Ka hor inta aadan wax beddelin, labada dhinacba ka soo aruuri xaqiijinta IKE ee guulaysatay, CHILD SA bilowga ah iyo beddelka guuldareystay. Kadib si sax ah u magacow hawsha: dib-u-cusboonaysiinta furaha IKE SA, dib-u-xaqiijinta IKE iyo dib-u-cusboonaysiinta furaha CHILD SA waa saddex dhacdo oo kala duwan, “wajiga 2” na wuxuu daboolaa dhammaantood wada hadal caadi ah.

Isbarbardhig beeraha hoose ee xiriirka guuldareystay, ma aha tunnel-ka guud ahaan.

FortiGate gudaha, fur soo-jeedinta wajiga-2, habaynta PFS iyo kooxaha DH ee la aqbalay tunnel-kaas. Akhri qiimaha la raray halkii aad ka qiyaasi lahayd xiriir horey loo sameeyay. Sawirka shaashadda bogga GUI waa caddayn ka daciif ah qaab-dhismeedka socda, sababtoo ah labaduba way kala duwanaan karaan cusboonaysiin ka dib. Dhoofi qaybta aad beddeshay oo la kaydi tikitka.

Siyaasadda caadiga ah ee Azure wali waa siyaasad

In aan siyaasad gaar ah lagu lifaaqin xiriirka macnaheedu ma aha in Azure midna ma fulinayso. Xiriirku wuxuu ku laabtaa kooxda soo-jeedin ee caadiga ah ee gateway-ga, taas oo ka ballaaran ama ka cidhiidhi ah kartaa waxa FortiGate-kaaga bixiyo. Haddii labada kooxood ay is-dhaafaan IKE laakiin aanay is-dhaafin ESP oo leh PFS, waxaad heshaa si sax ah qaabka guuldareystadan.

Muuqaalkan akhris-kaliya wuxuu muujinayaa siyaasadda dhab ahaan ku lifaaqan, isagoo aan sirta daadin:

Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPolicies

Isticmaal magacyada dhabta ah ee kheyraadkaaga. Marka siyaasad cad loo baahdo, ku dhig kheyraadka xiriirka. Ma aha furaha gateway-ga oo dhan, mana si aamusnaan ah u khuseeyo tunnel-yada kale ee isla gateway-ga.

Bogga portal-ka, Configuration bogga xiriirkaas waa meesha siyaasadda IPsec/IKE gaarka ah ay gasho. Hagaha Microsoft ee siyaasadaha gaarka ah wuxuu taxayaa jaangooyooyinka la taageeray iyo shuruudaha SKU. Azure wuxuu qaataa hal isku-dhafan oo buuxa xiriir kasta, sidaas darteed waxaad sheegtaa beeraha IKE iyo beeraha IPsec si wadajir ah, ma aha mid mid.

PFS waa shuruud, ma aha furaha la rogrogo

Haddii saldhigga ammaankaagu uu u baahan yahay PFS, xalku waa koox labada peer ee labada dhinacba aqbalaan, oo lagu muujiyay siyaasad u dhiganta. Daminta PFS si khaladku u baxo waxay beddelaysaa hantida ammaanka ee aad isku dayaysay inaad haysato, oo badanaa waxay dib ugu soo noqotaa is-waafajin la'aan kale.

Hal dabinka u gaar ah Azure: markaad ESP u dooratid GCM, doorashooyinka sir-gelinta iyo daacadnimadu waa inay magacaabaan isla algorithm-ka GCM iyo isla dhererka furaha. Ku darista cipher GCM algorithm daacadnimo gaar ah waxay soo saartaa isku-dhafan ay adeeggu diido, taasna waxay u muuqataa is-waafajin la'aan peer ilaa aad si taxadar leh u akhrido siyaasadda.

Dooro isku-dhafka ugu xoogga badan ee labada daraf taageeraan oo shuruuddaadu ogolaato, kadib ku qor diiwaanka isbeddelka. Qofka xiga wuxuu isbarbardhigi doonaa diiwaankaas, ma aha xusuusta tunnel shaqeynayay. Ku dar kooxda PFS iyo soo-jeedinta ESP, ma aha oo kaliya magaca siyaasadda. Marka qof dambe weydiiyo sababta hubinta u guuldareysatay ama sababta dib-u-cusboonaysiintu u gaabis tahay, sadarkaas wuxuu ka jawaabaa labada su'aalood.

Xaqiiji is-dhaafsiga guuldareystay

Jadwal isbeddelka iyadoo la raacayo waddo soo kabasho, sababtoo ah tafatirka siyaasadda wuxuu carqaladayn karaa tunnel-ka aad isku dayayso inaad hagaajiso. Marka taraafikadu soo noqoto, sug ama kici cusboonaysiinta CHILD_SA oo xaqiiji in ururka cusubi ku dhismay kooxda PFS ee loogu talagalay. Kadib xaqiiji in taraafikada codsiyadu ay sii socoto iyada.

Laba tilmaameed khiyaano ah ayaa mudan in la magacaabo. Cimriga SA waa qeexitaanno maxalli ah, sidaas darteed qiimayaal aan isle'egayn waa caadi oo beddelkoodu wuxuu kaliya rarayaa marka dhibaatadu soo baxdo. DPD waxay ogaataa in peer uu nool yahay; kor u qaadista waqtigeeda kuma habboona doorashooyinka ESP ama PFS.

Diiwaangeli natiijada la gorgortamay iyo dhacdada xigta isbeddelka kadib. Haddii xiriirku hadda guuldareysto ka hor inta aan xaqiijinta IKE dhammaanin, waxaad eegaysaa habaynta IKE ee aad hadda tafatirtay, ma aha guuldareystada asalka ah ee cusboonaysiinta CHILD.