Hvor MODP3072 hører til i en AWS Site-to-Site VPN
MODP3072 er IANA-gruppe 15, men gruppen hører til en fase. Kortlæg kravet til Phase 1- eller Phase 2-DH-lister, før du redigerer en tunnel.
Nogen sender dig et krav, hvor der står IKEv2, ESP og MODP3072, og konsollen har ikke noget felt med det navn. Fejlen er at gå på jagt efter et sådant felt. IKEv2 er en forhandlingsversion, ESP er den protokol, der bærer din beskyttede trafik, og MODP3072 er en nøgleudvekslingsgruppe, nemlig IANA-gruppe 15. De tre kendsgerninger bor tre forskellige steder, og gruppen optræder to gange.
Sætningen er ikke én enkelt indstilling
Omsæt kravet til valglister, før du rører ved noget. Tabellen nedenfor er hele krydsreferencen.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 er gruppe 15, og AWS accepterer i øjeblikket 15 i både Phase 1- og Phase 2-DH-gruppelisterne. At acceptere den begge steder er ikke det samme som at kræve den begge steder, og det betyder bestemt ikke, at din partner mente begge.
Phase 1 og Phase 2 forhandler om forskellige ting
Phase 1 opbygger IKE-sikkerhedsassociationen: hvordan de to gateways autentificerer, bliver enige om nøgler og beskytter deres egen samtale. Phase 2 opbygger CHILD SA, der bærer din faktiske trafik, og dens nøgleudveksling kan være frisk i stedet for nedarvet.
Den opdeling er grunden til, at det betyder noget, når en partner taler om perfect forward secrecy. PFS er en egenskab ved Phase 2, og en gruppe på Phase 1-listen leverer den ikke. Spørg, hvilken udveksling hvert krav gælder for, sammen med krypteringstilstanden, om integritet leveres af et AEAD-cipher, og forventningerne til nøglefornyelse på begge sider.
Udled ikke et komplet acceptabelt sæt af ordet AES eller af ét DH-nummer. En politik sammensat af to halvdele af to samtaler er måden, hvorpå en tunnel ender med at foreslå noget, som ingen af teamene har accepteret.
En tilladt liste er ikke et forhandlingsresultat
Valglisterne beskriver, hvad hver side er villig til at acceptere. De rapporterer ikke, hvad der blev valgt. Læs de faktisk valgte IKE- og CHILD-SA-forslag for en ny forbindelse, og bekræft derefter, at kravet er opfyldt og ikke blot tilladt. En stærk mulighed på en liste beviser kun, at den var tilgængelig.
Hold også øje med fornyelsen. Den første IKEv2 CHILD SA og en senere CHILD-udveksling med PFS kan afsløre forskellige kompatibilitetsbetingelser, fordi den anden udveksling skaber friskt nøglemateriale med PFS-gruppen i spil. Hvis din accepttest kun dækker det første minut af en tunnel, har den ikke testet den del, din partner bekymrer sig om.
AWS-referencevejledningen for tunnelindstillinger viser Phase 1 og Phase 2 hver for sig, og det er den struktur, der er værd at internalisere, før det næste krav lander.
Rediger den tunnel, du faktisk mener
En Site-to-Site VPN-forbindelse har to tunneler med deres egne indstillinger og deres egen tilstand. Før du gennemgår eller redigerer noget, skal du matche AWS-tunnelens eksterne adresse med peer'en på kundegateway-siden og ikke antage, at én gemning opdaterer begge.
En godkendt ændring kræver, at kundegateway-siden er forberedt på samme politik, og et vindue til den afbrydelse, den valgte tunnel vil tage. Hvis peer'en ikke er klar til gruppe 15 i den fase, du ændrer, holder tunnelen simpelthen op med at komme op, og konsollen fortæller dig ikke, hvilken side der afviste.
Notér den aftalte politik som fase, protokolversion, kryptering, integritet og DH-gruppe, og bekræft den derefter ved de udvekslinger, den skal beskytte. Routing, trafikvælgere og applikationstilladelser forbliver adskilt; denne kortlægning er ikke en fuld gateway-konfiguration, og det er ikke en anbefaling om at aktivere ekstra algoritmer for variationens skyld.