IKEv2 lórí Windows àti FortiGate: ètò mẹ́ta tí àwọn ènìyàn ń so pọ̀
Ìpàṣípàrọ̀ kọ́kọ́rọ́ IKE, ààbò CHILD SA àti ìjẹ́rìí ẹlẹgbẹ́ jẹ́ ìlà mẹ́ta ọ̀tọ̀ọ̀tọ̀. Àwọn nọ́mbà ẹgbẹ́ tí ó bára mu nínú fèrèsé méjì kò so wọ́n pọ̀.
Májẹ̀mú IKEv2 láàárín ẹ̀rọ alákóso Windows àti ẹnubodè FortiGate ń kùnà leralera, wíwa nọ́mbà tí kò bára mu ń mú àkójọ nọ́mbà gígùn jáde. Àkójọ náà kì í ṣe ìṣàkóso rọ̀rùn àyàfi tí a bá pín ìn sí ìlà mẹ́ta tí ń kùnà lọ́nà ọ̀tọ̀ọ̀tọ̀: ìpàṣípàrọ̀ kọ́kọ́rọ́ tí ń dáàbò bo IKE, ààbò tí a fi ń ṣe CHILD SA, àti ìjẹ́rìí tí ń fi hàn ẹni tí ẹ̀gbẹ́ kọ̀ọ̀kan jẹ́. Àwọn nọ́mbà ẹgbẹ́ ń farahàn nínú ìlà méjì nínú wọn, wọ́n sì ní ìtumọ̀ ọ̀tọ̀ọ̀tọ̀.
Ìlà mẹ́ta tí ń kùnà lọ́nà ọ̀tọ̀ọ̀tọ̀
Ìlà àkọ́kọ́ ni ìpàṣípàrọ̀ kọ́kọ́rọ́ nínú IKE fúnra rẹ̀, èyí tí ń mú àwọn kọ́kọ́rọ́ tí ń dáàbò bo ìfọ̀rọ̀wánilẹ́nuwò jáde. Èkejì ni àbá fún CHILD SA, èyí tí ń dáàbò bo ìjáwọ́ tí ọ̀nà ìsọ̀ ń gbé. Ẹ̀kẹta ni ìjẹ́rìí, èyí tí ń pinnu ohun tí ẹ̀gbẹ́ kọ̀ọ̀kan ń gbé jáde àti bí èkejì ṣe ń ṣàyẹ̀wò rẹ̀.
Àwọn ìkùnà ń ṣẹlẹ̀ ní ibi ọ̀tọ̀ọ̀tọ̀. Ìkùnà ìpàṣípàrọ̀ ń dá ìfọ̀rọ̀wánilẹ́nuwò dúró kí ọ̀nà ìsọ̀ kankan tó wà. Ìkùnà CHILD SA ń ṣẹlẹ̀ lẹ́yìn tí ìjẹ́rìí bá yege, nígbà mìíràn ní àsìkò yíyí kọ́kọ́rọ́ nìkan. Ìkùnà ìjẹ́rìí lè dàbí ìkùnà ìpàṣípàrọ̀ nínú àwọn ìwé àkọsílẹ̀ bí o bá kà àṣìṣe àkọ́kọ́ nìkan.
Pípín àwọn ìlà kì í ṣe ṣíṣe ìṣirò. Ó ń yí i padà ètò wo ni ó tọ́ láti yí, ó sì ń dènà ìgbésẹ̀ tí ó gbówó lórí jù nínú gbogbo àgbègbè yìí, ìyẹn síṣe àwọn ẹ̀rí tí ń ṣiṣẹ́ padà láti tún àìbáramu àbá ṣe. Ìlà kan tí ó yí padà kò gbọdọ̀ fipá mú àwọn méjì yòókù láti yí padà pẹ̀lú rẹ̀. Ìyèná yẹn ni gbogbo ìdí fífi wọ́n kọ lọ́tọ̀ọ̀tọ̀.
Kí ni àwọn pápá méjì Windows ń ṣàkóso
Windows ń pa pápá méjì mọ́ lọ́tọ̀ọ̀tọ̀: DHGroup ń ṣètò ìpàṣípàrọ̀ IKE fúnra rẹ̀, nígbà tí PfsGroup ń ṣètò ìlànà IPsec tí ń dáàbò bo ìjáwọ́ inú ọ̀nà ìsọ̀. Wọ́n jẹ́ ti àwọn ìpele ọ̀tọ̀ọ̀tọ̀. Fífi pápá IKE Windows wé iye phase-2 ti FortiGate ń dán ìsopọ̀ tí kò tọ́ wò, àwọn nọ́mbà sì lè bára mu nígbà tí ìpàṣípàrọ̀ ìpìlẹ̀ ṣì ń kùnà.
Get-VpnConnection -Name "Corp-IKEv2"
Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSAÀṣẹ kejì àti ẹ̀kẹta ń ròyìn àwọn ẹgbẹ́ ààbò tí ó wà ní tòótọ́, èyí sì ni ohun tí ó súnmọ́ ìdáhùn tí ẹ̀rọ alákóso lè fún ọ jù. Ẹgbẹ́ main-mode tí kò ní ẹgbẹ́ quick-mode jẹ́ ìṣòro CHILD SA, ó sì jẹ́ àmì àìbáramu phase-2 dípò ìṣòro ẹ̀rí.
Kọ ohun tí a gbé jáde àti ohun tí a yàn nínú ìgbìyànjú kan. Àkójọ tí a gbé jáde tí ó ní àbá tí a lè gbà àti àbá tí a yàn tí kò bá ìlànà ẹnubodè mu jẹ́ àìfọwọ́sowọ́pọ̀ ètò, kì í ṣe àdììtú ìbáṣepọ̀.
| Agreement row | Where it is configured in Windows | What it does not decide |
|---|---|---|
| IKE key exchange | DHGroup on the VPN connection IPsec settings | The protection used for tunneled traffic |
| CHILD SA protection | PfsGroup in the same policy object | Which certificate the peer presents |
| Peer authentication | Machine or user certificate, or a supported EAP method | Any group number used for key exchange |
| Certificate validation | Trusted CA store on the validating side | The private key of the certificate being presented |
Ẹgbẹ́ ìtẹ̀gùn yípo kì í yan kọ́kọ́rọ́ ìbùwọ́ rẹ
Ìdánilẹ́nuwò tí ó tẹ̀síwájú jù nínú àgbègbè yìí ni pé yíyan ẹgbẹ́ DH ìtẹ̀gùn yípo nílò ẹ̀rí ìtẹ̀gùn yípo. Ẹgbẹ́ DH ń pèsè ohun èlò ìpàṣípàrọ̀ kọ́kọ́rọ́; ètò ìbùwọ́ ni ààtò ìjẹ́rìí ń ṣe ìfọ̀rọ̀wánilẹ́nuwò fún, wọ́n sì jẹ́ ìpinnu méjì ọ̀tọ̀ọ̀tọ̀ nínú IKEv2.
RFC 7427 wà ní pàtàkì nítorí àwọn ìpinnu yẹn ti wà ní ìdìpọ̀ tẹ́lẹ̀, ó ń ṣàlàyé bí a ṣe ń kéde àwọn ààtò ìbùwọ́ tí a sì ń yàn wọ́n láìsí ìbáṣepọ̀ pẹ̀lú ìpàṣípàrọ̀ kọ́kọ́rọ́. Ẹnubodè kan lè ṣe àtìlẹ́yìn ẹgbẹ́ ìtẹ̀gùn àti yíyan àwọn ètò ìbùwọ́ lẹ́ẹ̀kan náà.
Nítorí náà bí ìfọ̀rọ̀wánilẹ́nuwò bá kùnà lẹ́yìn ìyípadà ẹgbẹ́, wo ọ̀nà ìjẹ́rìí kí o tó wo irú kọ́kọ́rọ́ ẹ̀rí. Yíyí ẹ̀rí padà jẹ́ ìgbésẹ̀ lọ́ra, eléwu tí kì í sábà jẹ́ ìdáhùn, fífi í ṣe àkọ́kọ́ yóò sì ba agbára rẹ láti mọ ìyípadà wo ni ó ràn ọ lọ́wọ́ ní tòótọ́ jẹ́. Ka ìlà ìjẹ́rìí kí o tó fi ọwọ́ kan ibi ìkópamọ́ ẹ̀rí.
Pa àwọn méjèèjì mọ́ ní ìlà ọ̀tọ̀ọ̀tọ̀ nínú bébà májẹ̀mú, àṣìṣe náà yóò sì dáwọ́ dídùn mọ́ni. Ìlà kan ń ṣe àkójọ àwọn ẹgbẹ́, èkejì ń ṣe àkójọ àwọn ètò ìbùwọ́ àti ìdánimọ̀, kò sì sí èyí tí ó jẹ́ ẹ̀rí nípa èkejì.
Fi kọ́kọ́rọ́ àdáni kọ̀ọ̀kan sí ọ̀dọ̀ olówó rẹ̀ gidi
Ẹnubodè tí ń gbé ẹ̀rí rẹ̀ jáde nílò kọ́kọ́rọ́ àdáni tí ó bá a mu. Ẹlẹgbẹ́ tí ń ṣàyẹ̀wò ẹ̀wọ̀n nílò ẹ̀rí CA, kò sì nílò kọ́kọ́rọ́ ìbùwọ́ CA ní pàtàkì. Dídà àwọn ohun mẹ́ta yẹn pọ̀ ni ọ̀nà tí àwọn ènìyàn fi ń kó kọ́kọ́rọ́ àdáni CA sínú ẹ̀rọ VPN láti jẹ́ kí ẹ̀rí kan farahàn ní ẹ̀ka mìíràn.
Lórí FortiOS àwọn ipa yàtọ̀: ẹ̀rí local pẹ̀lú kọ́kọ́rọ́ rẹ̀, ẹ̀rí remote tí a ń lò láti dà ẹlẹgbẹ́ mọ̀, àti àkọsílẹ̀ CA remote tí ń fi ìgbẹ́kẹ̀lé múlẹ̀ nínú àwọn ẹ̀rí tí CA yẹn bùwọ́. Àkọsílẹ̀ CA remote tí kò ní kọ́kọ́rọ́ àdáni kì í ṣe aláìpé; ó tọ́ fún ète rẹ̀.
Àwọn kọ́kọ́rọ́ ìbùwọ́ CA tí a kó wọlé ń gbòòrò àṣẹ ẹnikẹ́ni tí ó lè ka ẹ̀rọ yẹn. Wọn kò tún yanjú ṣíṣàyẹ̀wò ẹlẹgbẹ́ lasan, nítorí ìṣàyẹ̀wò nílò ẹ̀rí gbogbogbò àti ìpinnu ìgbẹ́kẹ̀lé, kì í ṣe agbára ṣíṣe àwọn ẹ̀rí tuntun.
Fi kọ́kọ́rọ́ ìbùwọ́ CA sí ilé-iṣẹ́ olùgbéjáde fúnra rẹ̀, kí o sì kọ ẹ̀rọ wo ni ó di kọ́kọ́rọ́ wo mú. Tábìlì kúkúrú ti àwọn olówó níye lórí ju tábìlì gígùn ti àwọn ààtò lọ nígbà tí ìṣàyẹ̀wò bá béèrè ẹni tí ó lè ṣe bíi ẹlòmíràn. Kò sí ẹni tí ó kó kọ́kọ́rọ́ tí ó mọ̀ pé àkójọ nìkan ni wọlé. Kọ àkójọ náà kí ìṣẹ̀lẹ̀ tó ṣẹlẹ̀, kì í ṣe lẹ́yìn rẹ̀.