Kam patří MODP3072 v AWS Site-to-Site VPN
MODP3072 je skupina 15 IANA, ale skupina patří k určité fázi. Přiřaďte požadavek ke seznamům DH pro Phase 1 nebo Phase 2, než začnete tunel upravovat.
Někdo vám pošle požadavek, ve kterém stojí IKEv2, ESP a MODP3072, a konzole nemá žádné pole s tímto názvem. Chyba je začít takové pole hledat. IKEv2 je verze vyjednávání, ESP je protokol, který přenáší váš chráněný provoz, a MODP3072 je skupina pro výměnu klíčů, tedy skupina 15 IANA. Tyto tři skutečnosti žijí na třech různých místech a skupina se objevuje dvakrát.
Ta fráze není jediné nastavení
Než se čehokoli dotknete, převeďte požadavek na seznamy možností. Tabulka níže je celý převod.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 je skupina 15 a AWS v současnosti přijímá 15 v seznamu skupin DH pro Phase 1 i Phase 2. Přijímat ji na obou místech není totéž jako vyžadovat ji na obou a rozhodně to neznamená, že váš partner myslel obojí.
Phase 1 a Phase 2 vyjednávají různé věci
Phase 1 buduje bezpečnostní asociaci IKE: jak se obě brány autentizují, jak se dohodnou na klíčích a jak chrání svůj vlastní rozhovor. Phase 2 buduje CHILD SA, který přenáší váš skutečný provoz, a jeho výměna klíčů může být nová, ne zděděná.
Právě kvůli tomuto rozdělení záleží, když partner mluví o perfect forward secrecy. PFS je vlastnost Phase 2 a skupina v seznamu Phase 1 ji nezajistí. Zeptejte se, ke které výměně se každý požadavek vztahuje, spolu s režimem šifrování, zda integritu zajišťuje šifra AEAD a jaká jsou očekávání obnovy klíčů na obou stranách.
Neodvozujte úplnou přijatelnou sadu ze slova AES ani z jednoho čísla DH. Zásada složená ze dvou polovin dvou rozhovorů je způsob, jakým tunel nakonec navrhne něco, s čím nesouhlasil ani jeden tým.
Povolený seznam není výsledek vyjednávání
Seznamy možností popisují, co je každá strana ochotna přijmout. Nesdělují, co bylo vybráno. Přečtěte si skutečně vybrané návrhy IKE a CHILD-SA pro nové spojení a poté potvrďte, že požadavek je splněn, ne jen povolen. Silná možnost v seznamu dokazuje jen to, že byla k dispozici.
Sledujte i obnovu. První CHILD SA v IKEv2 a pozdější výměna CHILD s PFS mohou odhalit různé podmínky kompatibility, protože druhá výměna vytváří nový klíčový materiál se zapojenou skupinou PFS. Pokud váš akceptační test pokrývá jen první minutu tunelu, netestoval část, na které vašemu partnerovi záleží.
Referenční příručka možností tunelu AWS uvádí Phase 1 a Phase 2 odděleně a právě tuto strukturu stojí za to si osvojit, než dorazí další požadavek.
Měňte tunel, který skutečně máte na mysli
Připojení Site-to-Site VPN má dva tunely s vlastními možnostmi a vlastním stavem. Než cokoli zkontrolujete nebo upravíte, slaďte vnější adresu tunelu AWS s protějškem na straně zákaznické brány a nepředpokládejte, že jedno uložení aktualizuje oba.
Schválená změna vyžaduje, aby strana zákaznické brány byla připravena na stejnou zásadu, a okno pro přerušení, které zvolený tunel přinese. Pokud protějšek není na skupinu 15 ve fázi, kterou měníte, připraven, tunel prostě přestane naskakovat a konzole vám neřekne, která strana odmítla.
Zaznamenejte dohodnutou zásadu jako fázi, verzi protokolu, šifrování, integritu a skupinu DH a poté ji potvrďte u výměn, které má chránit. Směrování, selektory provozu a oprávnění aplikací zůstávají stranou; toto mapování není úplná konfigurace brány a není doporučením zapínat další algoritmy pro rozmanitost.