Windows மற்றும் FortiGate-இல் IKEv2: மக்கள் சேர்த்து விடும் மூன்று அமைப்புகள்
IKE விசைப் பரிமாற்றம், CHILD SA பாதுகாப்பு மற்றும் சக அங்கீகாரம் ஆகியவை மூன்று தனித்தனி வரிசைகள். இரு உரையாடல்களில் பொருந்தும் குழு எண்கள் அவற்றை ஒன்றாக்காது.
Windows கிளையண்டுக்கும் FortiGate கேட்வேக்கும் இடையிலான IKEv2 ஒப்பந்தம் தொடர்ந்து தோல்வியடைகிறது, பொருந்தாத எண்ணைத் தேடுவதோ நீண்ட எண் பட்டியலை உருவாக்குகிறது. அந்தப் பட்டியல் தனித்தனியாகத் தோல்வியடையும் மூன்று வரிசைகளாகப் பிரிக்கும்போதே நிர்வகிக்கக்கூடியதாகிறது: IKE-ஐப் பாதுகாக்கும் விசைப் பரிமாற்றம், CHILD SA-க்கு வழங்கப்படும் பாதுகாப்பு, ஒவ்வொரு பக்கமும் யார் என்பதை நிரூபிக்கும் அங்கீகாரம். குழு எண்கள் அவற்றில் இரண்டு வரிசைகளில் தோன்றி வெவ்வேறு பொருள் தருகின்றன.
தனித்தனியாகத் தோல்வியடையும் மூன்று வரிசைகள்
முதல் வரிசை IKE-க்குள்ளேயே நடக்கும் விசைப் பரிமாற்றம், அது பேச்சுவார்த்தையைப் பாதுகாக்கும் விசைகளை உருவாக்குகிறது. இரண்டாவது CHILD SA-க்கான முன்மொழிவு, அது சுரங்கப்பாதை சுமக்கும் போக்குவரத்தைப் பாதுகாக்கிறது. மூன்றாவது அங்கீகாரம், ஒவ்வொரு பக்கமும் எதை முன்வைக்கிறது, மறுபக்கம் அதை எப்படிச் சரிபார்க்கிறது என்பதை அது தீர்மானிக்கிறது.
தோல்விகள் வெவ்வேறு இடங்களில் விழுகின்றன. பரிமாற்றத் தோல்வி எந்தச் சுரங்கப்பாதையும் உருவாகும் முன்னே பேச்சுவார்த்தையை நிறுத்துகிறது. CHILD SA தோல்வி அங்கீகாரம் வெற்றியடைந்த பிறகு நடக்கிறது, சில சமயம் விசை மாற்றத்தின் போது மட்டுமே. முதல் பிழையை மட்டும் படித்தால், அங்கீகாரத் தோல்வி பதிவுகளில் பரிமாற்றத் தோல்வி போலவே தெரியும்.
வரிசைகளைப் பிரிப்பது கணக்கு வைப்பது அல்ல. எந்த அமைப்பை மாற்றுவது மதிப்புள்ளது என்பதை அது மாற்றுகிறது, மேலும் இந்தப் பகுதி முழுவதும் மிக விலை உயர்ந்த நடவடிக்கையைத் தடுக்கிறது, அதாவது முன்மொழிவுப் பொருந்தாமையைச் சரிசெய்ய வேலை செய்யும் சான்றிதழ்களை மீண்டும் உருவாக்குவது. ஒரு வரிசை மாறினால் மற்ற இரண்டும் அதனுடன் மாற வேண்டியதில்லை. அவற்றைத் தனித்தனியாக எழுதுவதன் நோக்கமே அந்தச் சுதந்திரம்தான்.
Windows-இன் இரு புலங்கள் எதைக் கட்டுப்படுத்துகின்றன
Windows இரு புலங்களைத் தனித்து வைக்கிறது: DHGroup IKE பரிமாற்றத்தையே அமைக்கிறது, PfsGroup சுரங்கப்பாதைப் போக்குவரத்தைப் பாதுகாக்கும் IPsec கொள்கையை அமைக்கிறது. அவை வெவ்வேறு கட்டங்களைச் சேர்ந்தவை. Windows IKE புலத்தை FortiGate phase-2 மதிப்புடன் ஒப்பிடுவது தவறான இணையைச் சோதிக்கிறது, எண்கள் பொருந்தினாலும் அடிப்படைப் பரிமாற்றம் இன்னும் தோல்வியடையலாம்.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAஇரண்டாவது, மூன்றாவது கட்டளைகள் உண்மையில் உள்ள பாதுகாப்புச் சங்கங்களைத் தெரிவிக்கின்றன, அதுவே கிளையண்ட் உங்களுக்குத் தரக்கூடிய பதிலுக்கு மிக நெருக்கமானது. quick-mode சங்கம் இல்லாத main-mode சங்கம் CHILD SA பிரச்சினை, அது சான்றிதழ்ப் பிரச்சினையல்ல, phase-2 பொருந்தாமையின் அடையாளம்.
ஒரு முயற்சியில் எது வழங்கப்பட்டது, எது தேர்ந்தெடுக்கப்பட்டது என்பதைப் பதிவு செய்யுங்கள். ஏற்கத்தக்க முன்மொழிவைக் கொண்ட வழங்கப்பட்ட பட்டியலும், கேட்வே கொள்கையுடன் பொருந்தாத தேர்ந்தெடுக்கப்பட்ட முன்மொழிவும் ஒரு கட்டமைப்பு வேறுபாடு, இயக்க ஒருங்கிணைப்பு மர்மம் அல்ல.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
நீள்வட்ட வளைவுக் குழு உங்கள் கையொப்ப விசையைத் தேர்ந்தெடுக்காது
இந்தப் பகுதியில் மிக நீடித்த தவறான ஊகம், நீள்வட்ட வளைவு DH குழுவைத் தேர்ந்தெடுப்பதற்கு நீள்வட்ட வளைவுச் சான்றிதழ் தேவை என்பதே. DH குழு விசைப் பரிமாற்றப் பொருளை வழங்குகிறது; கையொப்ப வழிமுறையை அங்கீகாரக் கட்டமைப்பு பேச்சுவார்த்தை செய்கிறது, IKEv2-இல் இவை இரண்டு தனித்தனி முடிவுகள்.
அந்த முடிவுகள் முன்பு பின்னிப் பிணைந்திருந்ததாலேயே RFC 7427 உள்ளது, கையொப்ப வழிமுறைகள் விசைப் பரிமாற்றத்திலிருந்து சுயாதீனமாக எப்படி அறிவிக்கப்பட்டுத் தேர்ந்தெடுக்கப்படுகின்றன என்பதை அது வரையறுக்கிறது. ஒரு கேட்வே ஒரு வளைவுக் குழுவையும் கையொப்பத் திட்டங்களின் தேர்வையும் ஒரே நேரத்தில் ஆதரிக்க முடியும்.
எனவே ஒரு குழு மாற்றத்திற்குப் பிறகு பேச்சுவார்த்தை தோல்வியடைந்தால், சான்றிதழின் விசை வகையைப் பார்ப்பதற்கு முன் அங்கீகார முறையைப் பாருங்கள். சான்றிதழை மாற்றுவது மெதுவான, ஆபத்தான செயல், அது அரிதாகவே பதில்; அதை முதலில் செய்வது எந்த மாற்றம் உண்மையில் உதவியது என்பதை அறியும் திறனை அழிக்கிறது. சான்றிதழ்க் கிடங்கைத் தொடுவதற்கு முன் அங்கீகார வரிசையைப் படியுங்கள்.
ஒப்பந்தத் தாளின் தனித்தனி வரிசைகளில் இரண்டையும் வைத்தால் அந்தத் தவறு கவர்ச்சியாக இருக்காது. ஒரு வரிசை குழுக்களைப் பட்டியலிடுகிறது, மற்றொன்று கையொப்பத் திட்டங்களையும் அடையாளங்களையும் பட்டியலிடுகிறது, எதுவும் மற்றதற்கு ஆதாரம் அல்ல.
ஒவ்வொரு தனிப்பட்ட விசையையும் அதன் உண்மையான உரிமையாளரிடம் வையுங்கள்
தன் சான்றிதழை முன்வைக்கும் கேட்வேக்கு அதற்குப் பொருந்தும் தனிப்பட்ட விசை தேவை. சங்கிலியைச் சரிபார்க்கும் சக முனைக்கு CA சான்றிதழ் தேவை, அதற்கு CA-இன் கையொப்ப விசை தேவையில்லை. அந்த மூன்று பொருட்களைக் குழப்புவதால்தான் மக்கள் ஒரு சான்றிதழ் வேறு வகையில் தெரிய வேண்டும் என்பதற்காக CA தனிப்பட்ட விசையை VPN சாதனத்தில் இறக்குமதி செய்கிறார்கள்.
FortiOS-இல் பங்குகள் வேறுபடுகின்றன: அதன் விசையுடன் கூடிய local சான்றிதழ், சக முனையை அடையாளம் காணப் பயன்படும் remote சான்றிதழ், அந்த CA கையொப்பமிட்ட சான்றிதழ்களில் நம்பிக்கையை நிறுவும் remote CA பதிவு. தனிப்பட்ட விசை இல்லாத remote CA பதிவு முழுமையற்றது அல்ல; அது தன் நோக்கத்திற்குச் சரியானது.
இறக்குமதி செய்யப்பட்ட CA கையொப்ப விசைகள் அந்தச் சாதனத்தைப் படிக்கக்கூடிய எவரின் அதிகாரத்தையும் விரிவாக்குகின்றன. அவை சாதாரண சக சரிபார்ப்பையும் தீர்க்காது, ஏனெனில் சரிபார்ப்புக்கு பொது சான்றிதழும் நம்பிக்கை முடிவும் தேவை, புதிய சான்றிதழ்களை உருவாக்கும் திறன் அல்ல.
CA கையொப்ப விசையை வழங்குபவரின் சொந்த செயல்முறையிடம் வையுங்கள், எந்தச் சாதனம் எந்த விசையை வைத்திருக்கிறது என்பதைப் பதிவு செய்யுங்கள். தணிக்கை யார் யாராக நடிக்கக்கூடும் என்று கேட்கும்போது உரிமையாளர்களின் சிறிய அட்டவணை வழிமுறைகளின் நீண்ட அட்டவணையை விட மதிப்புள்ளது. சரக்குப் பட்டியல் மட்டுமே என்று தெரிந்த விசையை யாரும் இறக்குமதி செய்யார். சரக்குப் பட்டியலைச் சம்பவத்திற்கு முன் எழுதுங்கள், பின் அல்ல.