IKEv2 kwenye Windows na FortiGate: mipangilio mitatu ambayo watu huiunganisha
Ubadilishanaji wa funguo wa IKE, ulinzi wa CHILD SA na uthibitishaji wa rika ni safu tatu tofauti. Nambari za kikundi zinazolingana katika madirisha mawili haziziunganishi.
Makubaliano ya IKEv2 kati ya mteja wa Windows na lango la FortiGate yanaendelea kushindikana, na kutafuta nambari isiyolingana kunatoa orodha ndefu zaidi ya nambari. Orodha inakuwa rahisi tu inapogawanywa katika safu tatu zinazoshindikana kwa kujitegemea: ubadilishanaji wa funguo unaolinda IKE, ulinzi unaotumika kwa CHILD SA, na uthibitishaji unaothibitisha kila upande ni nani. Nambari za vikundi zinaonekana katika safu mbili kati ya hizo na zinamaanisha mambo tofauti.
Safu tatu zinazoshindikana kwa kujitegemea
Safu ya kwanza ni ubadilishanaji wa funguo ndani ya IKE yenyewe, ambao huzalisha funguo zinazolinda majadiliano. Ya pili ni pendekezo la CHILD SA, linalolinda trafiki ambayo handaki hubeba. Ya tatu ni uthibitishaji, unaoamua kila upande unawasilisha nini na jinsi upande mwingine unavyothibitisha.
Kushindikana hutokea sehemu tofauti. Kushindikana kwa ubadilishanaji kunasimamisha majadiliano kabla handaki yoyote haijapatikana. Kushindikana kwa CHILD SA hutokea baada ya uthibitishaji kufanikiwa, wakati mwingine tu wakati wa kubadilisha funguo. Kushindikana kwa uthibitishaji kunaweza kuonekana kama kushindikana kwa ubadilishanaji kwenye kumbukumbu ikiwa unasoma hitilafu ya kwanza pekee.
Kugawanya safu si ukaguzi wa hesabu. Kunabadilisha ni mpangilio upi unaostahili kubadilishwa, na kunazuia hatua ghali zaidi katika eneo hili lote, ambayo ni kuzalisha upya vyeti vinavyofanya kazi ili kurekebisha kutokulingana kwa pendekezo. Safu moja inayobadilika haipaswi kulazimisha zile mbili nyingine kubadilika pamoja nayo. Uhuru huo ndio lengo lote la kuziandika tofauti.
Mipangilio miwili ya Windows inadhibiti nini
Windows huweka sehemu mbili tofauti: DHGroup inadhibiti ubadilishanaji wa IKE wenyewe, wakati PfsGroup inadhibiti sera ya IPsec inayolinda trafiki ya handaki. Zinahusiana na awamu tofauti. Kulinganisha sehemu ya IKE ya Windows na thamani ya phase-2 ya FortiGate hujaribu jozi isiyo sahihi, na nambari zinaweza kulingana wakati ubadilishanaji wa msingi bado unashindikana.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAAmri ya pili na ya tatu huripoti vyama vya usalama ambavyo vipo kweli, ambayo ni kitu cha karibu zaidi na jibu ambacho mteja anaweza kukupa. Chama cha main-mode kisicho na chama cha quick-mode ni tatizo la CHILD SA, na ni alama ya kutokulingana kwa phase-2 badala ya tatizo la cheti.
Rekodi kilichotolewa na kilichochaguliwa katika jaribio moja. Orodha iliyotolewa inayo na pendekezo linalokubalika na pendekezo lililochaguliwa lisilolingana na sera ya lango ni kutokubaliana kwa usanidi, si fumbo la mwingiliano.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Kikundi cha mkunjo wa duara hakichagui ufunguo wako wa sahihi
Dhana potofu inayodumu zaidi katika eneo hili ni kwamba kuchagua kikundi cha DH cha mkunjo wa duara kunahitaji cheti cha mkunjo wa duara. Kikundi cha DH hutoa nyenzo za ubadilishanaji wa funguo; algoriti ya sahihi hujadiliwa na mfumo wa uthibitishaji, na hizi ni maamuzi mawili tofauti katika IKEv2.
RFC 7427 ipo hasa kwa sababu maamuzi hayo zamani yalikuwa yamefungamana, ikifafanua jinsi algoriti za sahihi zinavyotangazwa na kuchaguliwa bila kutegemea ubadilishanaji wa funguo. Lango linaweza kuunga mkono kikundi cha mkunjo na uchaguzi wa mifumo ya sahihi kwa wakati mmoja.
Kwa hivyo majadiliano yanaposhindikana baada ya kubadilisha kikundi, angalia mbinu ya uthibitishaji kabla ya kuangalia aina ya ufunguo wa cheti. Kubadilisha cheti ni operesheni ya polepole na hatarishi ambayo mara chache ni jibu, na kuifanya kwanza huharibu uwezo wako wa kujua ni mabadiliko gani yalisaidia kweli. Soma safu ya uthibitishaji kabla ya kugusa hifadhi ya vyeti.
Weka hizi mbili katika safu tofauti za karatasi ya makubaliano na kosa hilo litaacha kushawishi. Safu moja huorodhesha vikundi, nyingine huorodhesha mifumo ya sahihi na utambulisho, na hakuna hata moja ambayo ni ushahidi kuhusu nyingine.
Weka kila ufunguo wa faragha kwa mmiliki wake halisi
Lango linalowasilisha cheti chake mwenyewe linahitaji ufunguo wa faragha unaolingana na hilo. Rika linalothibitisha mnyororo linahitaji cheti cha CA, na hasa halihitaji ufunguo wa kutia sahihi wa CA. Kuchanganya vitu hivyo vitatu ndio jinsi watu huishia kuagiza ufunguo wa faragha wa CA kwenye kifaa cha VPN ili cheti kionekane katika kundi lingine.
Kwenye FortiOS majukumu ni tofauti: cheti cha ndani pamoja na ufunguo wake, cheti cha mbali kinachotumiwa kutambua rika, na ingizo la CA ya mbali linaloweka imani kwa vyeti ambavyo CA hiyo ilitia sahihi. Ingizo la CA ya mbali lisilo na ufunguo wa faragha si pungufu; ni sahihi kwa kusudi lake.
Funguo za kutia sahihi za CA zilizoagizwa hupanua mamlaka ya yeyote anayeweza kusoma kifaa hicho. Pia hazitatui uthibitishaji wa kawaida wa rika, kwa sababu uthibitishaji unahitaji cheti cha umma na uamuzi wa imani, si uwezo wa kutengeneza vyeti vipya.
Weka ufunguo wa kutia sahihi wa CA kwenye mchakato wa mtoaji mwenyewe, na rekodi ni kifaa gani kinashikilia ufunguo upi. Jedwali fupi la wamiliki lina thamani zaidi kuliko jedwali refu la algoriti wakati ukaguzi unauliza nani angeweza kujifanya nani. Hakuna anayeagiza ufunguo anaoujua ni wa orodha tu. Andika orodha kabla ya tukio, si baada.