Дзе MODP3072 месціцца ў AWS Site-to-Site VPN
MODP3072 — гэта група 15 IANA, але група належыць да пэўнай фазы. Супастаўце патрабаванне са спісамі DH для Phase 1 або Phase 2, перш чым змяняць тунель.
Нехта дасылае вам патрабаванне, у якім напісана IKEv2, ESP і MODP3072, а ў кансолі няма поля з такой назвай. Памылка — пачаць шукаць такое поле. IKEv2 — гэта версія перамоваў, ESP — пратакол, які пераносіць ваш абаронены трафік, а MODP3072 — група абмену ключамі, гэта значыць група 15 IANA. Гэтыя тры факты жывуць у трох розных месцах, і група з'яўляецца двойчы.
Гэтая фраза — не адзін параметр
Ператварыце патрабаванне ў спісы варыянтаў, перш чым чапаць што-небудзь. Табліца ніжэй — гэта ўся супастаўляльная схема.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 — гэта група 15, і AWS цяпер прымае 15 у абодвух спісах груп DH для Phase 1 і Phase 2. Прымаць яе ў абодвух месцах — не тое самае, што патрабаваць яе ў абодвух, і гэта аніяк не азначае, што ваш партнёр меў на ўвазе абодва.
Phase 1 і Phase 2 дамаўляюцца пра розныя рэчы
Phase 1 будуе асацыяцыю бяспекі IKE: як два шлюзы аўтэнтыфікуюцца, дамаўляюцца пра ключы і абараняюць уласную размову. Phase 2 будуе CHILD SA, які пераносіць ваш рэальны трафік, і яго абмен ключамі можа быць новым, а не ўспадкаваным.
Менавіта праз гэтае раздзяленне важна, калі партнёр кажа пра поўную прамую сакрэтнасць. PFS — гэта ўласцівасць Phase 2, і група са спісу Phase 1 яе не забяспечвае. Спытайце, да якога абмену адносіцца кожнае патрабаванне, а таксама пра рэжым шыфравання, пра тое, ці забяспечвае цэласнасць шыфр AEAD, і пра чаканні перазамены ключоў з абодвух бакоў.
Не рабіце выснову пра поўны прыдатны набор з слова AES або з аднаго нумара DH. Палітыка, сабраная з дзвюх палоў дзвюх размоў, — гэта як тунель пачынае прапаноўваць тое, з чым не пагадзілася ні адна каманда.
Дазволены спіс — не вынік перамоваў
Спісы варыянтаў апісваюць, што кожны бок гатовы прыняць. Яны не паведамляюць, што было выбрана. Прачытайце фактычна выбраныя прапановы IKE і CHILD-SA для новага злучэння, а затым пацвердзіце, што патрабаванне выканана, а не проста дазволена. Моцны варыянт у спісе даказвае толькі тое, што ён быў даступны.
Сачыце таксама за абнаўленнем. Першы CHILD SA у IKEv2 і пазнейшы абмен CHILD з PFS могуць выявіць розныя ўмовы сумяшчальнасці, бо другі абмен стварае свежы ключавы матэрыял з удзелам групы PFS. Калі ваш тэст прыёмкі ахоплівае толькі першую хвіліну тунеля, ён не праверыў тую частку, якая хвалюе вашага партнёра.
Даведнік па параметрах тунеля AWS пералічвае Phase 1 і Phase 2 асобна, і менавіта гэтую структуру варта засвоіць, перш чым прыйдзе наступнае патрабаванне.
Змяніце той тунель, які вы сапраўды маеце на ўвазе
Злучэнне Site-to-Site VPN мае два тунелі са сваімі параметрамі і сваім станам. Перш чым што-небудзь разглядаць або змяняць, супастаўце знешні адрас тунеля AWS з партнёрам з боку шлюза кліента і не мяркуйце, што адно захаванне абнаўляе абодва.
Узгодненае змяненне патрабуе, каб бок шлюза кліента быў падрыхтаваны да той жа палітыкі, і акно для перапынку, які возьме выбраны тунель. Калі партнёр не гатовы да групы 15 у той фазе, якую вы змяняеце, тунель проста перастане ўздымацца, і кансоль не скажа, які бок адмовіў.
Запішыце ўзгодненую палітыку як фазу, версію пратакола, шыфраванне, цэласнасць і групу DH, а затым пацвердзіце яе на абменах, якія яна павінна абараняць. Маршрутызацыя, селектары трафіку і дазволы праграм застаюцца асобна; гэта супастаўленне не з'яўляецца поўнай канфігурацыяй шлюза і не з'яўляецца рэкамендацыяй уключаць дадатковыя алгарытмы дзеля разнастайнасці.