FortiGate Azure àtúnsọ kọ́kọ́rọ́: ìdánimọ̀ peer SA kò bá ìlànà àdúgbò mu

Túnélì náà gòkè, ìrìnàjò náà ṣàn, lẹ́yìn náà lógì sọ pé peer SA proposal not match local policy. Ọ̀pọ̀ ènìyàn ka ìlà yẹn gẹ́gẹ́ bí ẹ̀rí pé àwọn ìṣètò méjèèjì kò bára wọn mu rí. Ní àsìkò púpọ̀ ó túmọ̀ sí nǹkan tó hẹ́rẹ́: wọ́n bára wọn mu fún CHILD SA àkọ́kọ́, wọ́n sì dá bíbára wọn mu dúró ní àtúndéṣe àkọ́kọ́, nítorí ẹgbẹ́ àkọ́kọ́ kò nílò pàṣípààrọ̀ tí àwọn tó ń bọ̀ ń ṣe rí. Ìyàtọ̀ yẹn ni ó ń pinnu ibi tí ìwọ yóò wo.

CHILD SA àkọ́kọ́ jogún, àwọn tó ń bọ̀ ń bá sọ̀rọ̀

Nínú IKEv2, a ń dá CHILD SA àkọ́kọ́ ní àkókò IKE_AUTH, a sì ń yọ àwọn kọ́kọ́rọ́ rẹ̀ láti inú ohun èlò kọ́kọ́rọ́ IKE SA. Ní àkókò yẹn kò sí pàṣípààrọ̀ Diffie-Hellman ọ̀tọ̀, nítorí náà ẹgbẹ́ PFS tí peer kan kò lè gbà kò tíì ṣe àyẹ̀wò. Túnélì náà dà bí aláfíà nítorí pé a kò ṣe àyẹ̀wò ìbéèrè tí ìwọ yóò kùnà ní rẹ̀ nígbà tó ń bọ̀ rí.

Àtúnsọ kọ́kọ́rọ́ CHILD_SA jẹ́ ọ̀nà ìfiránṣẹ́ mìíràn. Tí a bá ṣètò PFS, àwọn peer ń ṣe pàṣípààrọ̀ kọ́kọ́rọ́ tuntun, wọ́n sì gbọ́dọ̀ gbà lórí ẹgbẹ́ tí ẹ̀gbẹ́ méjèèjì gbà, pẹ̀lú ìdánimọ̀ ESP fún ẹgbẹ́ tuntun náà. Ìgbà yẹn ni àìbára mu yóò farahàn, ìdí nìyẹn tí àṣìṣe fi ń dárúkọ ìdánimọ̀ dípò ọ̀nà.

Nítorí náà “ó ṣiṣẹ́ lánàá” kò sọ nǹkan kan fún ọ nípa ìdánimọ̀ náà. Ó sọ pé pàṣípààrọ̀ àkọ́kọ́ ṣàṣeyọrí, èyí tí ìwọ ti mọ̀ tẹ́lẹ̀.

Ka pàṣípààrọ̀ tí ó kùnà, kì í ṣe ping àkọ́kọ́

Kí o tó yí nǹkan kan padà, kó jọ àwọn ẹ̀rí ìdánimọ̀ IKE tí ó ṣàṣeyọrí, CHILD SA àkọ́kọ́ àti àrọ́wọ́tó tí ó kùnà láti ẹ̀gbẹ́ méjèèjì. Lẹ́yìn náà pe iṣẹ́ náà ní orúkọ tó péye: àtúnsọ kọ́kọ́rọ́ IKE SA, àtúnjẹ́rìí IKE àti àtúnsọ kọ́kọ́rọ́ CHILD SA jẹ́ ìṣẹ̀lẹ̀ mẹ́ta ọ̀tọ̀, “ìpele 2” sì ń bo gbogbo wọn nínú ìjíròrò ojoojúmọ́.

Fi àwọn pápá tó wà nísàlẹ̀ wé fún ìsopọ̀ tí ó kùnà, kì í ṣe fún túnélì lápapọ̀.

Ní FortiGate, ṣí ìdánimọ̀ ìpele-2, ètò PFS àti àwọn ẹgbẹ́ DH tí a gbà fún túnélì yẹn. Ka àwọn iye tí a ti gbé wọlé dípò dídi wọ́n láti inú ìsopọ̀ tí a ti dá tẹ́lẹ̀. Àwòrán ojú-ìwé GUI jẹ́ ẹ̀rí tí kò lágbára tó ìṣètò tí ń ṣiṣẹ́, nítorí àwọn méjèèjì lè yàtọ̀ lẹ́yìn ìgbésókè. Ṣe àgbéjáde apá tí o yí padà, kí o sì tọ́jú rẹ̀ pẹ̀lú tikẹ́ẹ̀tì.

Ìlànà àkọ́kọ́ Azure ṣì jẹ́ ìlànà

Kíkùnà fún ìlànà àkànṣe tí a so mọ́ ìsopọ̀ kò túmọ̀ sí pé Azure kò fi èyíkéyìí sílò. Ìsopọ̀ náà padà sí àkójọ ìdánimọ̀ àkọ́kọ́ ti ẹnubodè, tí ó lè gbòòrò tàbí tó há mọ́ ju èyí tí FortiGate rẹ ń pèsè. Tí àwọn àkójọ méjèèjì bá parapọ̀ fún IKE ṣùgbọ́n kì í ṣe fún ESP pẹ̀lú PFS, ìwọ yóò rí ìlànà ìkùnà yìí gan-an.

Ìwòye kíkà-nìkan yìí ń fi ìlànà tí a so mọ́ gan-an hàn, láìfi àṣírí hàn:

Get-AzVirtualNetworkGatewayConnection -Name 'Branch' -ResourceGroupName 'NetworkRG' |
Select-Object Name, ConnectionStatus, IpsecPolicies

Lo àwọn orúkọ orísun gidi rẹ. Nígbà tí ìlànà tí ó ṣe kedere bá yẹ, gbé e sórí orísun ìsopọ̀ náà. Kì í ṣe yíyí gbogbo ẹnubodè, kò sì ní í lọ́nà ìdákẹ́jẹ́ lórí àwọn túnélì mìíràn ní ẹnubodè kan náà.

Nínú ojú-ìkàwé, ojú-ìwé Configuration ti ìsopọ̀ yẹn ni ibi tí ìlànà IPsec/IKE àkànṣe ń lọ. Ìtọ́nisọ́nà Microsoft lórí àwọn ìlànà àkànṣe ń ṣàkójọ àwọn àlẹ̀mọ́ tí a ṣètìlẹ́yìn fún àti àwọn ìbéèrè SKU. Azure ń gba àkópọ̀ pípé kan fún ìsopọ̀ kọ̀ọ̀kan, nítorí náà ìwọ ń tọ́ka àwọn pápá IKE àti àwọn pápá IPsec papọ̀, kì í ṣe ọ̀kọ̀ọ̀kan.

PFS jẹ́ ìbéèrè, kì í ṣe yíyí tí a máa yí

Tí ìpìlẹ̀ ààbò rẹ bá béèrè PFS, ojútùú ni ẹgbẹ́ tí àwọn peer méjèèjì gbà ní ẹ̀gbẹ́ méjèèjì, tí a fi ìlànà tí ó bá mu hàn. Pípa PFS fún kí àṣìṣe náà lọ jẹ́ yíyí ohun-ìní ààbò tí ìwọ ń gbìyànjú láti pa mọ́ padà, yóò sì máa padà wá nígbà tó ń bọ̀ gẹ́gẹ́ bí àìbára mu mìíràn.

Ìdẹkùn kan tí ó jẹ́ ti Azure pàtó: nígbà tí o bá yan GCM fún ESP, àwọn àyàn ìpamọ́ àti ìpéye gbọ́dọ̀ dárúkọ àlùmọ́nì GCM kan náà àti gígùn kọ́kọ́rọ́ kan náà. Dídàpọ̀ sáífà GCM pẹ̀lú àlùmọ́nì ìpéye ọ̀tọ̀ ń dá àkópọ̀ tí iṣẹ́ náà kọ̀, yóò sì dà bí àìbára mu peer títí tí ìwọ yóò fi ka ìlànà náà dáadáa.

Yan àkópọ̀ tí ó lágbára jù tí ẹ̀gbẹ́ méjèèjì ń ṣètìlẹ́yìn fún tí ìbéèrè rẹ sì gbà, lẹ́yìn náà kọ ọ sínú àkọsílẹ̀ àyípadà. Ẹni tó ń bọ̀ yóò fi wé àkọsílẹ̀ yẹn, kì í ṣe ìrántí túnélì tí ó ń ṣiṣẹ́. Fi ẹgbẹ́ PFS àti ìdánimọ̀ ESP sínú rẹ̀, kì í ṣe orúkọ ìlànà nìkan. Nígbà tí ẹnìkan bá béèrè lẹ́yìn náà ìdí tí àyẹ̀wò fi kùnà tàbí ìdí tí àtúnsọ kọ́kọ́rọ́ fi lọ́ra, ìlà yẹn ń dáhùn àwọn ìbéèrè méjèèjì.

Ṣe àyẹ̀wò pàṣípààrọ̀ tí ó kùnà

Ṣètò àyípadà náà pẹ̀lú ọ̀nà ìmúpadàbọ̀, nítorí ṣíṣe àtúnṣe ìlànà lè dá túnélì tí ìwọ ń gbìyànjú láti túnṣe dúró. Nígbà tí ìrìnàjò bá padà, dúró de àtúndéṣe CHILD_SA tàbí dá a sílẹ̀, kí o sì jẹ́rìí pé a ti dá ẹgbẹ́ tuntun náà pẹ̀lú ẹgbẹ́ PFS tí a ní lọ́kàn. Lẹ́yìn náà jẹ́rìí pé ìrìnàjò ohun-èlò ń tẹ̀síwájú lára rẹ̀.

Ó tọ́ láti dárúkọ àmì ẹ̀tàn méjì. Àwọn ọjọ́ ayé SA jẹ́ àwọn ìṣàpèjúwe àdúgbò, nítorí náà àwọn iye tí kò dọ́gba jẹ́ deede, yíyàn wọn padà sì ń gbé ìgbà tí ìṣòro yóò farahàn lọ. DPD ń ṣàwárí bóyá peer wà láàyè; gbígbé ààlà àkókò rẹ̀ sókè kò mú àwọn àyàn ESP tàbí PFS bára mu.

Ṣàkọsílẹ̀ èsì tí a ti gbà àti ìṣẹ̀lẹ̀ tó kàn lẹ́yìn àyípadà. Tí ìsopọ̀ bá kùnà ní báyìí kí ìjẹ́rìí IKE tó parí, ìwọ ń wo àwọn ètò IKE tí o ṣẹ̀ṣẹ̀ túnṣe, kì í ṣe ìkùnà àtúndéṣe CHILD ìpilẹ̀.