Ble mae MODP3072 yn mynd mewn VPN Site-to-Site AWS
MODP3072 yw grŵp 15 IANA, ond mae'r grŵp yn perthyn i gyfnod. Mapio'r gofyniad i restrau DH Phase 1 neu Phase 2 cyn i chi olygu twnnel.
Mae rhywun yn anfon gofyniad atoch sy'n dweud IKEv2, ESP a MODP3072, ac nid oes gan y consol faes â'r enw hwnnw. Y camgymeriad yw mynd i chwilio am un. Fersiwn negodi yw IKEv2, ESP yw'r protocol sy'n cario'ch traffig gwarchodedig, a grŵp cyfnewid allweddi yw MODP3072, sef grŵp 15 IANA. Mae'r tri ffaith hyn yn byw mewn tri lle gwahanol, ac mae'r grŵp yn ymddangos ddwywaith.
Nid yw'r ymadrodd yn un gosodiad
Trowch y gofyniad yn restrau opsiynau cyn cyffwrdd ag unrhyw beth. Y tabl isod yw'r holl groesfap.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
Grŵp 15 yw MODP3072, ac mae AWS ar hyn o bryd yn derbyn 15 yn rhestr grwpiau DH Phase 1 a Phase 2 ill dau. Nid yw derbyn yn y ddau le yr un peth â'i gwneud yn ofynnol yn y ddau, ac yn sicr nid yw'n golygu bod eich partner yn golygu'r ddau.
Mae Phase 1 a Phase 2 yn negodi pethau gwahanol
Mae Phase 1 yn adeiladu cymdeithas diogelwch IKE: sut mae'r ddwy borth yn dilysu, yn cytuno ar allweddi ac yn gwarchod eu sgwrs eu hunain. Mae Phase 2 yn adeiladu'r CHILD SA sy'n cario'ch gwir draffig, a gall ei gyfnewid allweddi fod yn ffres yn hytrach nag yn etifeddol.
Y rhaniad hwnnw yw pam mae partner yn sôn am gyfrinachedd ymlaen llaw perffaith yn bwysig. Priodwedd Phase 2 yw PFS, ac nid yw grŵp yn rhestr Phase 1 yn ei chyflwyno. Gofynnwch i ba gyfnewid y mae pob gofyniad yn berthnasol, ynghyd â'r modd amgryptio, a yw cyfanrwydd yn cael ei ddarparu gan seiffr AEAD, a'r disgwyliadau ail-allwedd ar y ddwy ochr.
Peidiwch â chasglu cyfres gyflawn dderbyniol o'r gair AES nac o un rhif DH. Polisi a luniwyd o ddwy hanner dau sgwrs yw sut mae twnnel yn cyrraedd y pwynt o gynnig rhywbeth na chytunodd y naill dîm na'r llall iddo.
Nid yw rhestr a ganiateir yn ganlyniad negodi
Mae'r rhestrau opsiynau yn disgrifio'r hyn y mae pob ochr yn fodlon ei dderbyn. Nid ydynt yn adrodd beth a ddewiswyd. Darllenwch y cynigion IKE a CHILD-SA a ddewiswyd mewn gwirionedd ar gyfer cysylltiad newydd, yna cadarnhewch fod y gofyniad wedi'i fodloni yn hytrach na dim ond wedi'i ganiatáu. Mae opsiwn cryf mewn rhestr yn profi'n unig ei fod ar gael.
Gwyliwch yr adnewyddiad hefyd. Gall y CHILD SA cyntaf yn IKEv2 a chyfnewid CHILD diweddarach sy'n cario PFS ddangos amodau cydnawsedd gwahanol, oherwydd mae'r ail gyfnewid yn creu deunydd allweddol ffres gyda'r grŵp PFS yn chwarae. Os yw eich prawf derbyn yn cwmpasu dim ond munud cyntaf twnnel, nid yw wedi profi'r rhan y mae eich partner yn poeni amdani.
Mae cyfeirlyfr opsiynau twnnel AWS yn rhestru Phase 1 a Phase 2 ar wahân, a dyna'r strwythur sy'n werth ei fewnosod cyn i'r gofyniad nesaf gyrraedd.
Newidiwch y twnnel y golygwch ef mewn gwirionedd
Mae gan gysylltiad VPN Site-to-Site ddau dwnnel â'u hopsiynau a'u cyflwr eu hunain. Cyn i chi adolygu neu olygu unrhyw beth, parwch gyfeiriad allanol twnnel AWS â'r cymar ar ochr y porth cleient a pheidiwch â thybio bod un arbediad yn diweddaru'r ddau.
Mae angen i newid a gymeradwywyd fod ag ochr y porth cleient wedi'i pharatoi ar gyfer yr un polisi ac amserlen ar gyfer y tarfu y bydd y twnnel a ddewiswyd yn ei gymryd. Os nad yw'r cymar yn barod ar gyfer grŵp 15 yn y cyfnod rydych yn ei newid, bydd y twnnel yn syml yn rhoi'r gorau i godi, ac ni fydd y consol yn dweud wrthych pa ochr a wrthododd.
Cofnodwch y polisi a gytunwyd fel cyfnod, fersiwn protocol, amgryptio, cyfanrwydd a grŵp DH, yna cadarnhewch ef yn y cyfnewidiadau y mae i fod i'w gwarchod. Mae llwybro, detholwyr traffig a chaniatadau cymwysiadau yn parhau ar wahân; nid yw'r mapio hwn yn ffurfweddiad porth cyflawn, ac nid yw'n argymhelliad i alluogi algorithmau ychwanegol er mwyn amrywiaeth.