Windows va FortiGate'da IKEv2: odamlar birlashtirib yuboradigan uchta sozlama
IKE kalit almashinuvi, CHILD SA himoyasi va sherik autentifikatsiyasi uchta alohida qatordir. Ikki oynada mos keladigan guruh raqamlari ularni birlashtirmaydi.
Windows mijozi va FortiGate shlyuzi o‘rtasidagi IKEv2 kelishuvi muntazam muvaffaqiyatsizlikka uchraydi va mos kelmaydigan raqamni izlash yanada uzun raqamlar ro‘yxatini beradi. Ro‘yxat faqat mustaqil ravishda muvaffaqiyatsizlikka uchraydigan uchta qatorga bo‘linganda boshqariladigan bo‘ladi: IKEni himoya qiluvchi kalit almashinuvi, CHILD SAga qo‘llanadigan himoya va har bir tomon kimligini isbotlovchi autentifikatsiya. Guruh raqamlari shu qatorlarning ikkitasida uchraydi va turlicha ma'no bildiradi.
Mustaqil ravishda muvaffaqiyatsizlikka uchraydigan uchta qator
Birinchi qator — IKE ichidagi kalit almashinuvi, u muzokarani himoya qiluvchi kalitlarni hosil qiladi. Ikkinchisi — CHILD SA uchun taklif, u tunnel tashiyotgan trafikni himoya qiladi. Uchinchisi — autentifikatsiya, u har bir tomon nima taqdim etishini va boshqasi buni qanday tekshirishini hal qiladi.
Muvaffaqiyatsizliklar turli joylarga tushadi. Almashinuv muvaffaqiyatsizligi har qanday tunnel paydo bo‘lishidan oldin muzokarani to‘xtatadi. CHILD SA muvaffaqiyatsizligi autentifikatsiya muvaffaqiyatli bo‘lgandan keyin, ba'zan faqat kalit yangilanganda yuz beradi. Faqat birinchi xatoni o‘qisangiz, autentifikatsiya muvaffaqiyatsizligi jurnallarda almashinuv muvaffaqiyatsizligidek ko‘rinishi mumkin.
Qatorlarni bo‘lish hisob-kitob emas. U qaysi sozlamani o‘zgartirish arziydiganini o‘zgartiradi va bu butun sohada eng qimmat qadamni, ya'ni taklif nomuvofiqligini tuzatish uchun ishlaydigan sertifikatlarni qaytadan yaratishni oldini oladi. Bir qatorning o‘zgarishi qolgan ikkitasini u bilan birga o‘zgartirishga majbur qilmasligi kerak. Ularni alohida yozishning butun maqsadi shu mustaqillikdir.
Windowsdagi ikkita maydon nimani boshqaradi
Windows ikkita maydonni alohida tutadi: DHGroup IKE almashinuvining o‘zini sozlaydi, PfsGroup esa tunnel ichidagi trafikni himoya qiluvchi IPsec siyosatini sozlaydi. Ular turli fazalarga tegishli. Windows IKE maydonini FortiGate phase-2 qiymati bilan solishtirish noto‘g‘ri juftlikni sinaydi, va raqamlar mos kelishi mumkin, ammo asosiy almashinuv baribir muvaffaqiyatsizlikka uchraydi.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAIkkinchi va uchinchi buyruqlar haqiqatan mavjud xavfsizlik assotsiatsiyalarini xabar qiladi, va bu mijoz sizga bera oladigan javobga eng yaqin narsa. quick-mode assotsiatsiyasiz main-mode assotsiatsiyasi CHILD SA muammosi, va bu sertifikat muammosi emas, phase-2 nomuvofiqligining belgisi.
Bitta urinishda nima taklif qilinganini va nima tanlanganini yozib qo‘ying. Maqbul taklifni o‘z ichiga olgan taklif ro‘yxati va shlyuz siyosatiga mos kelmaydigan tanlangan taklif — bu konfiguratsiya kelishmovchiligi, interoperabillik siri emas.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Elliptik egri guruh sizning imzo kalitingizni tanlamaydi
Bu sohadagi eng turg‘un noto‘g‘ri xulosa — elliptik egri DH guruhini tanlash elliptik egri sertifikatini talab qiladi, degan fikr. DH guruhi kalit almashinuvi materialini beradi; imzo algoritmi autentifikatsiya ramkasi tomonidan kelishiladi va IKEv2da bu ikkisi alohida qarorlar.
RFC 7427 aynan shu qarorlar ilgari chigallashgani uchun mavjud va imzo algoritmlari kalit almashinuvidan mustaqil ravishda qanday e'lon qilinishi va tanlanishini belgilaydi. Bitta shlyuz bir vaqtda egri guruhini va imzo sxemalari tanlovini qo‘llab-quvvatlashi mumkin.
Shuning uchun guruh o‘zgarganidan keyin muzokara muvaffaqiyatsizlikka uchrasa, sertifikat kalitining turiga qarashdan oldin autentifikatsiya usuliga qarang. Sertifikatni almashtirish sekin va xavfli amal bo‘lib, kamdan-kam javob bo‘ladi, va uni birinchi navbatda qilish qaysi o‘zgarish haqiqatan yordam berganini bilish qobiliyatingizni yo‘q qiladi. Sertifikat omboriga tegishdan oldin autentifikatsiya qatorini o‘qing.
Ikkalasini kelishuv varag‘ining alohida qatorlarida saqlang, shunda xato jozibador bo‘lishdan to‘xtaydi. Bir qator guruhlarni sanaydi, ikkinchisi imzo sxemalari va shaxslarni sanaydi, va hech biri boshqasi haqida dalil emas.
Har bir maxfiy kalitni haqiqiy egasi bilan birga saqlang
O‘z sertifikatini taqdim etadigan shlyuzga unga mos maxfiy kalit kerak. Zanjirni tekshiradigan sherikka CA sertifikati kerak va unga ayniqsa CA imzo kaliti kerak emas. Shu uchta narsani chalkashtirish — odamlar sertifikat boshqa kategoriyada ko‘rinishi uchun CA maxfiy kalitini VPN qurilmasiga import qilishining sababi.
FortiOSda rollar alohida: kaliti bilan mahalliy sertifikat, sherikni aniqlash uchun ishlatiladigan masofaviy sertifikat va shu CA imzolagan sertifikatlarga ishonchni o‘rnatuvchi masofaviy CA yozuvi. Maxfiy kaliti yo‘q masofaviy CA yozuvi to‘liq emas emas; u o‘z maqsadi uchun to‘g‘ri.
Import qilingan CA imzo kalitlari o‘sha qurilmani o‘qiy oladigan har kimning vakolatini kengaytiradi. Ular oddiy sherik tekshiruvini ham hal qilmaydi, chunki tekshiruv ommaviy sertifikat va ishonch qarorini talab qiladi, yangi sertifikatlar yaratish qobiliyatini emas.
CA imzo kalitini beruvchining o‘z jarayonida saqlang va qaysi qurilma qaysi kalitni tutishini yozib qo‘ying. Audit kim kimni taqlid qila olganini so‘raganda egalar haqidagi qisqa jadval algoritmlar haqidagi uzun jadvaldan qimmatroq. Hech kim faqat inventar ekanini bilgan kalitni import qilmaydi. Inventarni voqeadan oldin yozing, keyin emas.