أين يقع MODP3072 في VPN من نوع Site-to-Site على AWS
MODP3072 هو المجموعة 15 لدى IANA، لكن المجموعة تنتمي إلى طور محدد. اربط المتطلب بقائمتي مجموعات DH في Phase 1 أو Phase 2 قبل تحرير أي نفق.
يرسل إليك أحدهم متطلبًا نصّه IKEv2 وESP وMODP3072، ولوحة التحكم لا تحتوي على حقل بهذا الاسم. الخطأ هو أن تبدأ بالبحث عن مثل هذا الحقل. IKEv2 هو إصدار تفاوض، وESP هو البروتوكول الذي يحمل حركة المرور المحمية، وMODP3072 هو مجموعة تبادل مفاتيح، أي المجموعة 15 لدى IANA. هذه الحقائق الثلاث تقع في ثلاثة أماكن مختلفة، والمجموعة تظهر مرتين.
العبارة ليست إعدادًا واحدًا
حوّل المتطلب إلى قوائم خيارات قبل أن تلمس أي شيء. الجدول أدناه هو خريطة الربط كاملة.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 هو المجموعة 15، وAWS تقبل حاليًا 15 في قائمتي مجموعات DH لكل من Phase 1 وPhase 2. قبولها في المكانين ليس مثل اشتراطها في المكانين، وهو بالتأكيد لا يعني أن شريكك كان يقصد الاثنين.
Phase 1 وPhase 2 يتفاوضان على أشياء مختلفة
يبني Phase 1 ارتباط أمان IKE: كيف تتحقق البوابتان من الهوية، وتتفقان على المفاتيح، وتحميان محادثتهما الخاصة. يبني Phase 2 ارتباط CHILD SA الذي يحمل حركة المرور الفعلية، ويمكن أن يكون تبادل مفاتيحه جديدًا بدلًا من أن يكون موروثًا.
هذا الانفصال هو سبب أهمية حديث الشريك عن السرية الأمامية التامة. PFS خاصية من خصائص Phase 2، والمجموعة الموجودة في قائمة Phase 1 لا توفّرها. اسأل عن التبادل الذي ينطبق عليه كل متطلب، مع وضع التشفير، وما إذا كانت السلامة توفّرها شيفرة AEAD، وتوقعات إعادة توليد المفاتيح على الجانبين.
لا تستنتج حزمة مقبولة كاملة من كلمة AES أو من رقم DH واحد. السياسة المجمّعة من نصفين من محادثتين هي الطريقة التي ينتهي بها النفق إلى اقتراح شيء لم يوافق عليه أي من الفريقين.
القائمة المسموح بها ليست نتيجة تفاوض
تصف قوائم الخيارات ما كل جانب مستعد لقبوله. وهي لا تبلغ عمّا تم اختياره. اقرأ مقترحات IKE وCHILD-SA المختارة فعليًا لاتصال جديد، ثم تأكد من أن المتطلب مستوفى وليس مسموحًا به فحسب. الخيار القوي الموجود في قائمة يثبت فقط أنه كان متاحًا.
راقب التجديد أيضًا. قد يُظهر أول CHILD SA في IKEv2 وتبادل CHILD لاحق يحمل PFS شروط توافق مختلفة، لأن التبادل الثاني ينشئ مادة مفاتيح جديدة مع وجود مجموعة PFS. إذا كان اختبار القبول لديك يغطي الدقيقة الأولى من النفق فقط، فهو لم يختبر الجزء الذي يهم شريكك.
تسرد مرجع خيارات النفق في AWS الطورين Phase 1 وPhase 2 بشكل مستقل، وهو البنية التي يستحق أن تستوعبها قبل وصول المتطلب التالي.
غيّر النفق الذي تقصده فعلًا
اتصال VPN من نوع Site-to-Site له نفقان بخياراتهما وحالتهما الخاصة. طابق عنوان النفق الخارجي في AWS مع نظير البوابة الخاصة بالعميل قبل أن تراجع أو تحرر أي شيء، ولا تفترض أن حفظًا واحدًا يحدّث الاثنين.
التغيير المعتمد يحتاج إلى تجهيز جانب بوابة العميل للسياسة نفسها، وإلى نافذة زمنية للانقطاع الذي سيتحمله النفق المختار. إذا لم يكن النظير جاهزًا للمجموعة 15 في الطور الذي تغيّره، فسيتوقف النفق ببساطة عن الظهور، ولن تخبرك لوحة التحكم أي جانب رفض.
سجّل السياسة المتفق عليها على شكل الطور وإصدار البروتوكول والتشفير والسلامة ومجموعة DH، ثم أكّدها عند التبادلات التي يُفترض أن تحميها. يبقى التوجيه ومحدّدات حركة المرور وأذونات التطبيقات منفصلة؛ هذا الربط ليس إعدادًا كاملًا للبوابة، وليس توصية بتمكين خوارزميات إضافية من باب التنويع.