MODP3072 AWS Site-to-Site VPN-də hara yerləşir
MODP3072 IANA-nın 15-ci qrupudur, lakin qrup mərhələyə aiddir. Tuneli dəyişməzdən əvvəl tələbi Phase 1 və ya Phase 2 DH siyahılarına uyğunlaşdırın.
Kimsə sizə IKEv2, ESP və MODP3072 yazılmış bir tələb göndərir, konsolda isə bu adla heç bir sahə yoxdur. Səhv olan belə bir sahəni axtarmağa başlamaqdır. IKEv2 danışıq versiyasıdır, ESP qorunan trafiki daşıyan protokoldur, MODP3072 isə açar mübadiləsi qrupudur, yəni IANA-nın 15-ci qrupudur. Bu üç fakt üç fərqli yerdə yaşayır və qrup iki dəfə görünür.
Bu ifadə tək bir parametr deyil
Hər şeyə toxunmazdan əvvəl tələbi seçim siyahılarına çevirin. Aşağıdakı cədvəl bütün uyğunluq xəritəsidir.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 15-ci qrupdur və AWS hazırda həm Phase 1, həm də Phase 2 DH qrup siyahılarında 15-i qəbul edir. Onu hər iki yerdə qəbul etmək hər iki yerdə tələb etməklə eyni şey deyil və bu, tərəfdaşınızın hər ikisini nəzərdə tutduğu anlamına qətiyyən gəlmir.
Phase 1 və Phase 2 fərqli şeylər üzərində danışıq aparır
Phase 1 IKE təhlükəsizlik assosiasiyasını qurur: iki şlüzün necə autentifikasiya olunduğunu, açarlar üzərində necə razılaşdığını və öz söhbətlərini necə qoruduğunu. Phase 2 faktiki trafikinizi daşıyan CHILD SA-nı qurur və onun açar mübadiləsi miras alınmış deyil, təzə ola bilər.
Bu ayrılıq tərəfdaşın tam irəliyə doğru məxfilikdən danışmasının nə üçün vacib olduğunu izah edir. PFS Phase 2 xüsusiyyətidir və Phase 1 siyahısındakı qrup onu təmin etmir. Hər tələbin hansı mübadiləyə aid olduğunu, şifrələmə rejimini, bütövlüyün AEAD şifri ilə təmin edilib-edilmədiyini və hər iki tərəfdə açar yeniləmə gözləntilərini soruşun.
AES sözündən və ya bir DH rəqəmindən tam məqbul paket çıxarmayın. İki söhbətin iki yarısından yığılmış siyasət tunelin heç bir komandanın razılaşmadığı bir şey təklif etməsi ilə nəticələnir.
İcazə verilən siyahı danışığın nəticəsi deyil
Seçim siyahıları hər tərəfin nəyi qəbul etməyə hazır olduğunu təsvir edir. Onlar nəyin seçildiyini bildirmir. Yeni bağlantı üçün faktiki seçilmiş IKE və CHILD-SA təkliflərini oxuyun, sonra tələbin sadəcə icazə verilmədiyini deyil, yerinə yetirildiyini təsdiqləyin. Siyahıda duran güclü seçim yalnız onun mövcud olduğunu sübut edir.
Yenilənməyə də diqqət yetirin. İlk IKEv2 CHILD SA və sonrakı PFS daşıyan CHILD mübadiləsi fərqli uyğunluq şərtləri ortaya çıxara bilər, çünki ikinci mübadilə PFS qrupu iştirakda olarkən təzə açar materialı yaradır. Qəbul testiniz tunelin yalnız ilk dəqiqəsini əhatə edirsə, tərəfdaşınızın əhəmiyyət verdiyi hissəni sınaqdan keçirməmişdir.
AWS tunel parametrləri arayışı Phase 1 və Phase 2-ni ayrı-ayrılıqda sadalayır və növbəti tələb gəlməzdən əvvəl mənimsənilməyə dəyər struktur budur.
Həqiqətən nəzərdə tutduğunuz tuneli dəyişin
Site-to-Site VPN bağlantısının öz seçimləri və öz vəziyyəti olan iki tuneli var. Hər hansı bir şeyi nəzərdən keçirməzdən və ya dəyişməzdən əvvəl AWS tunelinin xarici ünvanını müştəri şlüzünün həmyaşıdı ilə uyğunlaşdırın və bir yadda saxlama əməliyyatının hər ikisini yenilədiyini güman etməyin.
Təsdiqlənmiş dəyişiklik müştəri şlüzü tərəfinin eyni siyasətə hazırlanmasını və seçilmiş tunelin çəkəcəyi fasilə üçün pəncərə tələb edir. Həmyaşıd dəyişdiyiniz mərhələdə 15-ci qrupa hazır deyilsə, tunel sadəcə qalxmağı dayandıracaq və konsol hansı tərəfin imtina etdiyini sizə deməyəcək.
Razılaşdırılmış siyasəti mərhələ, protokol versiyası, şifrələmə, bütövlük və DH qrupu kimi qeyd edin, sonra onu qorumalı olduğu mübadilələrdə təsdiqləyin. Marşrutlaşdırma, trafik seçiciləri və tətbiq icazələri ayrı qalır; bu uyğunlaşdırma tam şlüz konfiqurasiyası deyil və müxtəliflik üçün əlavə alqoritmləri aktivləşdirmək tövsiyəsi deyil.