Waar MODP3072 in 'n AWS Site-to-Site VPN hoort
MODP3072 is IANA-groep 15, maar die groep hoort by 'n fase. Karteer die vereiste na Phase 1- of Phase 2-DH-lyste voordat jy 'n tonnel wysig.
Iemand stuur vir jou 'n vereiste wat IKEv2, ESP en MODP3072 noem, en die konsole het geen veld met daardie naam nie. Die fout is om na so 'n veld te gaan soek. IKEv2 is 'n onderhandelingsweergawe, ESP is die protokol wat jou beskermde verkeer dra, en MODP3072 is 'n sleuteluitruilgroep, naamlik IANA-groep 15. Daardie drie feite woon op drie verskillende plekke, en die groep verskyn twee keer.
Die frase is nie 'n enkele instelling nie
Vertaal die vereiste in opsiellyste voordat jy enigiets aanraak. Die tabel hieronder is die hele kruisverwysing.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 is groep 15, en AWS aanvaar tans 15 in beide die Phase 1- en die Phase 2-DH-groeplyste. Om dit op beide plekke te aanvaar is nie dieselfde as om dit op beide plekke te vereis nie, en dit beteken beslis nie dat jou vennoot albei bedoel het nie.
Phase 1 en Phase 2 onderhandel oor verskillende dinge
Phase 1 bou die IKE-sekuriteitsassosiasie: hoe die twee poorte authentiseer, oor sleutels ooreenkom en hul eie gesprek beskerm. Phase 2 bou die CHILD SA wat jou werklike verkeer dra, en sy sleuteluitruiling kan vars wees eerder as geërf.
Daardie skeiding is waarom dit saak maak wanneer 'n vennoot van perfect forward secrecy praat. PFS is 'n eienskap van Phase 2, en 'n groep in die Phase 1-lys lewer dit nie. Vra vir watter uitruiling elke vereiste geld, saam met die enkripsiemodus, of integriteit deur 'n AEAD-syfer verskaf word, en die hernuwingverwagtinge aan beide kante.
Moenie 'n volledige aanvaarbare stel uit die woord AES of uit een DH-nommer aflei nie. 'n Beleid wat uit twee helftes van twee gesprekke saamgestel is, is hoe 'n tonnel iets voorstel wat nie een van die twee spanne goedgekeur het nie.
'n Toegelate lys is nie 'n onderhandelingsresultaat nie
Die opsiellyste beskryf wat elke kant bereid is om te aanvaar. Hulle rapporteer nie wat gekies is nie. Lees die werklike gekose IKE- en CHILD-SA-voorstelle vir 'n vars verbinding, en bevestig dan dat die vereiste bevredig word eerder as bloot toegelaat. 'n Sterk opsie in 'n lys bewys net dat dit beskikbaar was.
Let ook op die hernuwing. Die eerste IKEv2 CHILD SA en 'n latere CHILD-uitruiling met PFS kan verskillende versoenbaarheidstoestande openbaar, want die tweede uitruiling skep vars sleutelmateriaal met die PFS-groep in die spel. As jou aanvaardingstoets net die eerste minuut van 'n tonnel dek, het dit nie die deel getoets waaroor jou vennoot omgee nie.
Die AWS-tonnelopsieverwysing lys Phase 1 en Phase 2 onafhanklik, wat die struktuur is wat die moeite werd is om te internaliseer voordat die volgende vereiste opdaag.
Wysig die tonnel wat jy werklik bedoel
'n Site-to-Site VPN-verbinding het twee tonnels met hul eie opsies en hul eie toestand. Pas die AWS-tonnel se buite-adres by die customer-gateway-eweknie aan voordat jy enigiets hersien of wysig, en moenie aanvaar dat een stoor albei opdateer nie.
'n Goedgekeurde verandering vereis dat die customer-gateway-kant vir dieselfde beleid voorberei is en 'n venster vir die onderbreking wat die gekose tonnel sal neem. As die eweknie nie gereed is vir groep 15 by die fase wat jy verander nie, sal die tonnel bloot ophou om op te kom, en die konsole sal jou nie vertel watter kant geweier het nie.
Teken die ooreengekome beleid aan as fase, protokolweergawe, enkripsie, integriteit en DH-groep, en bevestig dit dan by die uitruilings wat dit veronderstel is om te beskerm. Roetering, verkeerskeurders en toepassingstoestemmings bly apart; hierdie kartering is nie 'n volledige poortkonfigurasie nie, en dit is nie 'n aanbeveling om ekstra algoritmes vir verskeidenheid te aktiveer nie.