Gdje MODP3072 stoji u AWS Site-to-Site VPN-u
MODP3072 je IANA grupa 15, ali grupa pripada fazi. Uskladite zahtjev sa DH listama za Phase 1 ili Phase 2 prije nego uredite tunel.
Neko vam pošalje zahtjev u kojem piše IKEv2, ESP i MODP3072, a konzola nema polje s tim imenom. Greška je krenuti tražiti takvo polje. IKEv2 je verzija pregovora, ESP je protokol koji prenosi vaš zaštićeni saobraćaj, a MODP3072 je grupa za razmjenu ključeva, to jest IANA grupa 15. Te tri činjenice žive na tri različita mjesta, a grupa se pojavljuje dvaput.
Ta fraza nije jedna postavka
Pretvorite zahtjev u liste opcija prije nego što bilo šta dirnete. Tabela ispod je cijela mapa.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 je grupa 15, a AWS trenutno prihvata 15 i u listi DH grupa za Phase 1 i u listi za Phase 2. Prihvatati je na oba mjesta nije isto kao zahtijevati je na oba, i sigurno ne znači da je vaš partner mislio na oba.
Phase 1 i Phase 2 pregovaraju o različitim stvarima
Phase 1 gradi IKE sigurnosnu asocijaciju: kako se dva gatewaya autentificiraju, dogovaraju ključeve i štite vlastiti razgovor. Phase 2 gradi CHILD SA koji prenosi vaš stvarni saobraćaj, a njegova razmjena ključeva može biti nova, a ne naslijeđena.
Zbog te podjele je važno kada partner govori o perfect forward secrecy. PFS je svojstvo Phase 2, a grupa na listi Phase 1 ga ne daje. Pitajte na koju se razmjenu odnosi svaki zahtjev, uz način enkripcije, da li integritet pruža AEAD šifra i kakva su očekivanja obnove ključeva na obje strane.
Ne izvodite kompletan prihvatljiv skup iz riječi AES ili iz jednog DH broja. Politika sastavljena od dvije polovine dva razgovora je način na koji tunel završi predlažući nešto s čime se nije složio nijedan tim.
Dozvoljena lista nije rezultat pregovora
Liste opcija opisuju šta je svaka strana spremna prihvatiti. One ne izvještavaju šta je izabrano. Pročitajte stvarno izabrane IKE i CHILD-SA predloge za novu vezu, pa potvrdite da je zahtjev ispunjen, a ne samo dozvoljen. Jaka opcija na listi dokazuje samo da je bila dostupna.
Pratite i obnovu. Prvi IKEv2 CHILD SA i kasnija CHILD razmjena s PFS-om mogu otkriti različite uslove kompatibilnosti, jer druga razmjena stvara svjež ključni materijal uz PFS grupu u igri. Ako vaš test prihvatanja pokriva samo prvu minutu tunela, nije testirao dio do kojeg je vašem partneru stalo.
AWS referenca za opcije tunela navodi Phase 1 i Phase 2 odvojeno, i to je struktura koju vrijedi usvojiti prije nego stigne sljedeći zahtjev.
Mijenjajte tunel na koji zaista mislite
Veza Site-to-Site VPN ima dva tunela sa svojim opcijama i svojim stanjem. Prije nego bilo šta pregledate ili uredite, uskladite vanjsku adresu AWS tunela sa peerom na strani korisničkog gatewaya i ne pretpostavljajte da jedno čuvanje ažurira oba.
Odobrena promjena zahtijeva da strana korisničkog gatewaya bude pripremljena za istu politiku i termin za prekid koji će izabrani tunel uzeti. Ako peer nije spreman za grupu 15 u fazi koju mijenjate, tunel će jednostavno prestati da se podiže, a konzola vam neće reći koja je strana odbila.
Zabilježite dogovorenu politiku kao fazu, verziju protokola, enkripciju, integritet i DH grupu, pa je potvrdite na razmjenama koje treba da štiti. Rutiranje, selektori saobraćaja i dozvole aplikacija ostaju odvojeni; ovo mapiranje nije kompletna konfiguracija gatewaya i nije preporuka da uključujete dodatne algoritme radi raznolikosti.