On encaixa MODP3072 en una VPN Site-to-Site d'AWS

Algú t'envia un requisit que diu IKEv2, ESP i MODP3072, i la consola no té cap camp amb aquest nom. L'error és posar-se a buscar-ne un. IKEv2 és una versió de negociació, ESP és el protocol que transporta el teu trànsit protegit, i MODP3072 és un grup d'intercanvi de claus, és a dir, el grup 15 de l'IANA. Aquests tres fets viuen en tres llocs diferents, i el grup apareix dues vegades.

La frase no és un sol paràmetre

Converteix el requisit en llistes d'opcions abans de tocar res. La taula de sota és tot el mapa de correspondència.

MODP3072 és el grup 15, i AWS actualment accepta 15 tant a la llista de grups DH de Phase 1 com a la de Phase 2. Acceptar-lo als dos llocs no és el mateix que exigir-lo als dos, i de cap manera no vol dir que el teu soci es referís a tots dos.

Phase 1 i Phase 2 negocien coses diferents

Phase 1 construeix l'associació de seguretat IKE: com s'autentiquen les dues passarel·les, com acorden les claus i com protegeixen la seva pròpia conversa. Phase 2 construeix la CHILD SA que transporta el trànsit real, i el seu intercanvi de claus pot ser nou en lloc d'heretat.

Aquesta separació és per què importa que un soci parli de perfect forward secrecy. PFS és una propietat de Phase 2, i un grup de la llista de Phase 1 no la proporciona. Pregunta a quin intercanvi s'aplica cada requisit, juntament amb el mode de xifratge, si la integritat la proporciona un xifrat AEAD i quines són les expectatives de renovació de claus a les dues bandes.

No dedueixis un conjunt acceptable complet de la paraula AES ni d'un sol número DH. Una política muntada amb dues meitats de dues converses és com un túnel acaba proposant una cosa amb què cap dels dos equips no ha estat d'acord.

Una llista permesa no és un resultat de negociació

Les llistes d'opcions descriuen què està disposat a acceptar cada costat. No informen de què s'ha triat. Llegeix les propostes IKE i CHILD-SA realment seleccionades per a una connexió nova i després confirma que el requisit es compleix, no només que està permès. Una opció forta dins d'una llista només demostra que era disponible.

Vigila també la renovació. La primera CHILD SA d'IKEv2 i un intercanvi CHILD posterior amb PFS poden mostrar condicions de compatibilitat diferents, perquè el segon intercanvi crea material de clau nou amb el grup PFS en joc. Si la teva prova d'acceptació només cobreix el primer minut d'un túnel, no ha provat la part que importa al teu soci.

La referència d'opcions de túnel d'AWS llista Phase 1 i Phase 2 per separat, i aquesta és l'estructura que val la pena interioritzar abans que arribi el proper requisit.

Canvia el túnel que realment vols dir

Una connexió VPN Site-to-Site té dos túnels amb les seves pròpies opcions i el seu propi estat. Abans de revisar o editar res, fes coincidir l'adreça exterior del túnel d'AWS amb el peer de la passarel·la de client i no donis per fet que un sol desament actualitza tots dos.

Un canvi aprovat necessita que el costat de la passarel·la de client estigui preparat per a la mateixa política i una finestra per a la interrupció que prendrà el túnel triat. Si el peer no està preparat per al grup 15 a la fase que estàs canviant, el túnel simplement deixarà d'aixecar-se, i la consola no et dirà quin costat s'hi ha negat.

Anota la política acordada com a fase, versió de protocol, xifratge, integritat i grup DH, i després confirma-la als intercanvis que ha de protegir. L'encaminament, els selectors de trànsit i els permisos d'aplicacions queden a part; aquest mapatge no és una configuració completa de passarel·la i no és una recomanació d'activar algoritmes addicionals per varietat.