FortiGate Azure ufunguo upya: pendekezo la peer SA haliendani na sera ya ndani
Nafasi ya IKEv2 inayofanya kazi bado inaweza kukataa CHILD SA mbadala. Linganisha pendekezo ambalo uhuishaji hujadili kwa kweli, si lile ambalo ping ya kwanza ilitumia.
Nafasi ilipanda, trafiki ilitiririka, na baadaye kumbukumbu inasema peer SA proposal not match local policy. Watu wengi wanasoma mstari huo kama uthibitisho kwamba usanidi mbili hazikuwahi kupatana. Kwa kawaida inamaanisha kitu chembamba zaidi: zilipatana kwa CHILD SA ya kwanza na zikaacha kupatana katika uhuishaji wa kwanza, kwa sababu muungano wa kwanza haukuhitaji kamwe ubadilishanaji ambao wa baadaye hufanya. Tofauti hiyo huamua wapi uangalie.
CHILD SA ya kwanza hurithi, za baadaye hujadili
Katika IKEv2 CHILD SA ya awali huundwa wakati wa IKE_AUTH, na funguo zake hutolewa kutoka nyenzo za ufunguo za IKE SA. Wakati huo hakuna ubadilishanaji wa Diffie-Hellman tofauti, kwa hivyo kundi la PFS ambalo peer mmoja hawezi kulikubali bado halijajaribiwa. Nafasi inaonekana mzima kwa sababu sharti ambalo utashindwa baadaye halijajaribiwa kamwe.
Ufunguo upya wa CHILD_SA ni mfuatano mwingine wa ujumbe. PFS ikiwa imesanidiwa, peer hufanya ubadilishanaji mpya wa funguo na lazima wakubaliane kuhusu kundi linalokubaliwa na pande zote mbili, pamoja na pendekezo la ESP kwa muungano mpya. Huo ndio wakati tofauti inaonekana, na ndiyo sababu hitilafu inataja pendekezo badala ya njia.
Kwa hivyo “jana ilifanya kazi” haikwambii chochote kuhusu pendekezo. Inakuambia ubadilishanaji wa awali ulifanikiwa, jambo ambalo ulijua tayari.
Soma ubadilishanaji ulioshindwa, si ping ya kwanza
Kabla ya kubadilisha chochote, kusanya kutoka pande zote mbili uthibitishaji wa IKE uliofanikiwa, CHILD SA ya awali na uingizwaji ulioshindwa. Kisha taja operesheni kwa usahihi: ufunguo upya wa IKE SA, uthibitishaji upya wa IKE na ufunguo upya wa CHILD SA ni matukio matatu tofauti, na “awamu 2” huyashughulikia yote katika mazungumzo ya kawaida.
Linganisha sehemu zilizo hapa chini kwa muunganisho ulioshindwa, si kwa nafasi kwa ujumla.
| Tabaka | Thamani za kulinganisha |
|---|---|
| IKE | Toleo, usimbaji fiche na uadilifu au mpangilio wa PRF, kundi la DH |
| IPsec / CHILD | Usimbaji fiche na uadilifu wa ESP, kundi la PFS au ubadilishanaji wa funguo linalokusudiwa |
| Trafiki iliyolindwa | Vichaguzi vya ndani na vya mbali, pamoja na mpangilio wowote wa kichaguzi unaotegemea sera |
Kwenye FortiGate, fungua pendekezo la awamu-2, mpangilio wa PFS na makundi ya DH yaliyokubaliwa kwa nafasi hiyo. Soma thamani zilizopakiwa badala ya kuzikisia kutoka muunganisho ulioanzishwa awali. Picha ya skrini ya ukurasa wa GUI ni uthibitisho hafifu kuliko usanidi unaoendesha, kwa sababu zote mbili zinaweza kutofautiana baada ya uboreshaji. Hamisha sehemu uliyobadilisha na uihifadhi pamoja na tiketi.
Sera chaguo-msingi ya Azure bado ni sera
Kutokuwa na sera maalum iliyoambatishwa kwenye muunganisho haimaanishi kwamba Azure haitumii yoyote. Muunganisho hurudi kwenye seti chaguo-msingi ya mapendekezo ya lango, ambayo inaweza kuwa pana au nyembamba kuliko ile ambayo FortiGate yako inatoa. Ikiwa seti mbili zinaingiliana kwa IKE lakini si kwa ESP pamoja na PFS, unapata muundo huu wa kushindwa kwa usahihi.
Mwonekano huu wa kusoma-tu unaonyesha sera iliyoambatishwa kwa kweli, bila kufichua siri:
Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPoliciesTumia majina halisi ya rasilimali zako. Panapohitajika sera ya wazi, iweke kwenye rasilimali ya muunganisho. Si swichi ya lango zima, na haitumiki kwa kimya kwa nafasi nyingine kwenye lango hilo hilo.
Kwenye lango la wavuti, ukurasa wa Configuration wa muunganisho huo ni mahali ambapo sera maalum ya IPsec/IKE huenda. Mwongozo wa Microsoft kuhusu sera maalum unaorodhesha vigezo vinavyotumika na mahitaji ya SKU. Azure huchukua mchanganyiko mmoja kamili kwa kila muunganisho, kwa hivyo unataja sehemu za IKE na sehemu za IPsec pamoja, si moja baada ya nyingine.
PFS ni sharti, si swichi ya kugeuza
Ikiwa msingi wako wa usalama unahitaji PFS, suluhisho ni kundi linalokubaliwa na peer wote wawili pande zote mbili, lililoonyeshwa kupitia sera inayolingana. Kuzima PFS ili hitilafu itoweke hubadilisha sifa ya usalama uliyokuwa ukijaribu kudumisha, na kwa kawaida huibuka tena baadaye kama tofauti nyingine.
Mtego mmoja maalum wa Azure: unapochagua GCM kwa ESP, chaguo za usimbaji fiche na uadilifu lazima zitaje algoriti hiyo hiyo ya GCM na urefu huo huo wa ufunguo. Kuchanganya cipher ya GCM na algoriti tofauti ya uadilifu huzalisha mchanganyiko ambao huduma inakataa, na hilo linaonekana kama tofauti kati ya peer hadi usome sera kwa makini.
Chagua mchanganyiko wenye nguvu zaidi unaoungwa mkono na pande zote mbili na unaoruhusiwa na sharti lako, kisha uandike kwenye kumbukumbu ya mabadiliko. Mtu anayefuata atalinganisha na kumbukumbu hiyo, si na kumbukumbu ya nafasi iliyofanya kazi. Weka kundi la PFS na pendekezo la ESP ndani yake, si jina la sera pekee. Mtu akija kuuliza baadaye kwa nini ukaguzi ulishindwa au kwa nini ufunguo upya ni wa polepole, mstari huo hujibu maswali yote mawili.
Thibitisha ubadilishanaji ulioshindwa
Panga mabadiliko pamoja na njia ya kurejesha, kwa sababu kuhariri sera kunaweza kukatiza nafasi unayojaribu kurekebisha. Trafiki ikirudi, subiri au anzisha uhuishaji wa CHILD_SA na uthibitishe kwamba muungano mpya umeanzishwa na kundi la PFS linalokusudiwa. Kisha uthibitishe kwamba trafiki ya programu inaendelea kupitia hiyo.
Dokezo mbili za uongo zinafaa kutajwa. Muda wa maisha wa SA ni vipimo vya ndani, kwa hivyo thamani zisizolingana ni kawaida na kuzibadilisha huhamisha tu wakati tatizo linapotokea. DPD hutambua kama peer yuko hai; kuongeza kikomo chake cha muda hakuoanishi chaguo za ESP au PFS.
Rekodi matokeo yaliyojadiliwa na tukio linalofuata baada ya mabadiliko. Ikiwa muunganisho sasa unashindwa kabla uthibitishaji wa IKE haujakamilika, unaangalia mipangilio ya IKE uliyohariri hivi punde, si kushindwa kwa awali kwa uhuishaji wa CHILD.