配置多个PSK的连接用户IPsec阶段一
2020-06-16 01:06:00 作者: Administrator 来源:互联网,版权归作者所有 浏览次数: 390 文字大小:【大】【中】【小】
说明:本文档针对FortiGate在主模式下配置多个预共享(PSK)模式连接用户模式IPSec 阶段一。
描述:
如果在主模式下同一接口下配置多个拨号阶段一,那么相同的阶段一将总被所有的拨号客户端匹配,主模式交换认证的第三阶段会显示该错误,日志信息如下:
2009-11-04 16:00:00 device_id=FGTxxx log_id=0101023003 type=event subtype=ipsec pri=error loc_ip=aa.bb.cc.dd loc_port=500 rem_ip=ee.ff.gg.hh rem_port=500 out_if="wan1" vpn_tunnel="branchOffice" cookies=asd2345sdf4sdf345 action=negotiate status=negotiate_error msg="Negotiate SA Error: probable pre-shared secret mismatch"
当多个拨号主模式预共享阶段一存在时,IKE无法判断哪个阶段一用来匹配收到的第一个主模式包:
-源地址(拨号端)不能被用于区分(任何源地址都被允许使用阶段一);
-目的地址(Fortigate)不能被用于区分(已经假定所有的阶段一绑定至该接口);
-第一主模式包中没有任何额外的payload来标注如何选择阶段一。
所以,IKE的第一个阶段一总是被所有拨号端匹配。
解决方案:
为了在主模式PSK下多个拨号连接正常工作,建议使用如下方法:
-使用带对等体ID的Aggressive 模式
-使用带RSA签名的主模式
主模式RSA 签名不受该限制并能提供ID保护。
服务原则及地区范围
宜兴通达团队,在企业网络维护和企业信息化建设与咨询方面,有10多年经验。
我团队愿与客户一道,力求彻底解决客户问题!
我们不是在给企业提供“头痛医头、脚痛医脚”的暂时解决方案,而是在部署根本性安全与稳定服务!!
我们愿携手客户,建立企业IT规划;杜绝随意安装系统、软件等操作;力求共同维护有序、安全、稳定的网络办公环境!!!
IT服务,服务是根本,客户是上帝;我们提供快速响应、快速上门、快速排查,提供优质高效的服务!!!!
通达团队提供全国范围内的服务,服务形式包括远程协助、电话咨询、电子邮件咨询、传真咨询、问答平台的问题解决等。
宜兴地区提供上门服务:
- 市区服务:宜城街道、城北街道(屺亭街道)、新街街道、新庄街道、环科园、渚桥开发区
- 市郊服务:张渚镇、西渚镇、太华镇、徐舍镇、官林镇、杨巷镇、新建镇、和桥镇、高塍镇、万石镇、周铁镇、芳桥镇、丁蜀镇、湖父镇。