FortiGate Azure rekey: hindi tugma ang panukalang peer SA sa lokal na patakaran

Bumangon ang tunnel, dumaloy ang trapiko, at mamaya sinasabi ng log peer SA proposal not match local policy. Karamihan sa mga tao ay binabasa ang linyang iyon bilang patunay na kailanman ay hindi nagtugma ang dalawang configuration. Karaniwan itong nangangahulugan ng mas makitid na bagay: nagtugma sila para sa unang CHILD SA at tumigil sa pagtugma sa unang pag-renew, dahil ang unang asosasyon ay kailanman ay hindi nangailangan ng palitan na ginagawa ng mga sumunod. Ang pagkakaibang iyon ang nagtatakda kung saan ka titingin.

Nagmamana ang unang CHILD SA, nakikipag-usap ang mga sumunod

Sa IKEv2 ang paunang CHILD SA ay nililikha habang IKE_AUTH, at ang mga susi nito ay hinahango mula sa keying material ng IKE SA. Wala pang hiwalay na palitang Diffie-Hellman sa puntong iyon, kaya ang PFS group na hindi matanggap ng isang peer ay hindi pa sinusubok. Mukhang malusog ang tunnel dahil ang pangangailangang mabibigo ka mamaya ay kailanman ay hindi nasubok.

Ang rekey ng CHILD_SA ay ibang pagkakasunod-sunod ng mensahe. Kapag naka-configure ang PFS, nagsasagawa ang mga peer ng bagong palitan ng susi at kailangan nilang magkasundo sa isang group na tinatanggap ng dalawang panig, kasama ang panukalang ESP para sa bagong asosasyon. Iyon ang sandaling lumilitaw ang pagkakaiba, at iyon ang dahilan kung bakit pinapangalanan ng error ang isang panukala at hindi isang ruta.

Kaya ang “gumana ito kahapon” ay walang sinasabi sa iyo tungkol sa panukala. Sinasabi nitong nagtagumpay ang paunang palitan, na alam mo na.

Basahin ang nabigong palitan, hindi ang unang ping

Bago ka magbago ng anuman, tipunin mula sa dalawang dulo ang matagumpay na pagpapatotoo ng IKE, ang paunang CHILD SA at ang nabigong kapalit. Pagkatapos pangalanan ang operasyon nang tumpak: ang rekey ng IKE SA, ang muling pagpapatotoo ng IKE at ang rekey ng CHILD SA ay tatlong magkakaibang pangyayari, at sinasaklaw ng “yugto 2” ang lahat ng iyon sa karaniwang usapan.

Ihambing ang mga field sa ibaba para sa koneksiyong nabigo, hindi para sa tunnel sa pangkalahatan.

Sa FortiGate, buksan ang panukala ng yugto-2, ang setting ng PFS at ang mga tinanggap na DH group para sa tunnel na iyon. Basahin ang mga na-load na halaga sa halip na hanguin ang mga ito mula sa koneksiyong itinatag nang mas maaga. Ang screenshot ng pahina ng GUI ay mas mahinang ebidensiya kaysa sa tumatakbong configuration, dahil maaaring magkaiba ang dalawa pagkatapos ng upgrade. I-export ang seksiyong binago mo at itago ito kasama ng ticket.

Ang default na patakaran ng Azure ay patakaran pa rin

Ang kawalan ng custom na patakarang nakakabit sa koneksiyon ay hindi nangangahulugang wala ring inilalapat ang Azure. Bumabalik ang koneksiyon sa default na set ng panukala ng gateway, na maaaring mas malawak o mas makitid kaysa sa inaalok ng iyong FortiGate. Kung nag-o-overlap ang dalawang set para sa IKE ngunit hindi para sa ESP na may PFS, makukuha mo ang eksaktong pattern ng kabiguan na ito.

Ipinapakita ng read-only na view na ito ang patakarang talagang nakakabit, nang hindi naglalantad ng mga sikreto:

Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPolicies

Gamitin ang tunay na pangalan ng iyong mga resource. Kapag kailangan ang tahasang patakaran, itakda ito sa resource ng koneksiyon. Hindi ito switch ng buong gateway, at hindi ito tahimik na nalalapat sa ibang tunnel sa parehong gateway.

Sa portal, ang pahina ng Configuration ng koneksiyong iyon ang lugar kung saan napupunta ang custom na patakarang IPsec/IKE. Inililista ng gabay ng Microsoft sa mga custom na patakaran ang mga sinusuportahang parameter at kinakailangan ng SKU. Kumukuha ang Azure ng isang kumpletong kombinasyon kada koneksiyon, kaya tinutukoy mo nang sabay ang mga field ng IKE at ang mga field ng IPsec, hindi isa-isa.

Ang PFS ay pangangailangan, hindi switch na iikot

Kung hinihingi ng iyong baseline ng seguridad ang PFS, ang solusyon ay isang group na tinatanggap ng dalawang peer sa dalawang panig, na ipinahahayag sa pamamagitan ng tugmang patakaran. Ang pagpatay sa PFS upang mawala ang error ay nagbabago sa katangiang pangseguridad na sinusubukan mong panatilihin, at karaniwang bumabalik ito mamaya bilang ibang pagkakaiba.

Isang bitag na espesipiko sa Azure: kapag pinili mo ang GCM para sa ESP, kailangang pangalanan ng mga piniling encryption at integridad ang parehong algorithm ng GCM at parehong haba ng susi. Ang paghahalo ng GCM cipher sa hiwalay na algorithm ng integridad ay gumagawa ng kombinasyong tinatanggihan ng serbisyo, at mukha itong pagkakaiba ng peer hanggang mabasa mo nang mabuti ang patakaran.

Piliin ang pinakamalakas na kombinasyong sinusuportahan ng dalawang dulo at pinapayagan ng iyong pangangailangan, pagkatapos itala ito sa talaan ng pagbabago. Ihahambing ito ng susunod na tao sa talaang iyon, hindi sa alaala ng gumaganang tunnel. Isama ang PFS group at ang panukalang ESP, hindi lang ang pangalan ng patakaran. Kapag may nagtanong mamaya kung bakit nabigo ang audit o bakit mabagal ang rekey, sinasagot ng linyang iyon ang dalawang tanong.

Beripikahin ang nabigong palitan

Planuhin ang pagbabago kasama ang daan ng pagbawi, dahil maaaring putulin ng pag-edit ng patakaran ang tunnel na sinusubukan mong ayusin. Kapag bumalik ang trapiko, hintayin o pukawin ang pag-renew ng CHILD_SA at kumpirmahing naitatag ang bagong asosasyon gamit ang sinadyang PFS group. Pagkatapos kumpirmahing nagpapatuloy ang trapiko ng aplikasyon dito.

Dalawang bulaang bakas ang dapat pangalanan. Ang mga haba ng buhay ng SA ay lokal na spesipikasyon, kaya normal ang hindi pantay na halaga at ang pagbabago sa mga ito ay naglilipat lang kung kailan lumilitaw ang problema. Tinutukoy ng DPD kung buhay ang isang peer; ang pagtaas ng time limit nito ay hindi nagtutugma ng mga piniling ESP o PFS.

Itala ang napag-usapang resulta at ang susunod na pangyayari pagkatapos ng pagbabago. Kung nabibigo na ngayon ang koneksiyon bago matapos ang pagpapatotoo ng IKE, tinitingnan mo ang mga setting ng IKE na kae-edit mo lang, hindi ang orihinal na kabiguan ng pag-renew ng CHILD.