Wohin MODP3072 in einer AWS Site-to-Site VPN gehört
MODP3072 ist IANA-Gruppe 15, aber die Gruppe gehört zu einer Phase. Ordnen Sie die Anforderung den DH-Listen für Phase 1 oder Phase 2 zu, bevor Sie einen Tunnel bearbeiten.
Jemand schickt Ihnen eine Anforderung, in der IKEv2, ESP und MODP3072 stehen, und die Konsole hat kein Feld mit diesem Namen. Der Fehler ist, danach zu suchen. IKEv2 ist eine Aushandlungsversion, ESP ist das Protokoll, das Ihren geschützten Datenverkehr trägt, und MODP3072 ist eine Schlüsselaustauschgruppe, nämlich IANA-Gruppe 15. Diese drei Tatsachen liegen an drei verschiedenen Stellen, und die Gruppe kommt zweimal vor.
Der Satz ist keine einzelne Einstellung
Übersetzen Sie die Anforderung in Optionslisten, bevor Sie irgendetwas anfassen. Die Tabelle unten ist die gesamte Zuordnung.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 ist Gruppe 15, und AWS akzeptiert derzeit 15 in den DH-Gruppenlisten für Phase 1 und Phase 2. Sie an beiden Stellen zu akzeptieren ist nicht dasselbe wie sie an beiden Stellen zu verlangen, und es bedeutet keineswegs, dass Ihr Partner beide gemeint hat.
Phase 1 und Phase 2 verhandeln unterschiedliche Dinge
Phase 1 baut die IKE-Sicherheitsassoziation auf: wie sich die beiden Gateways authentifizieren, Schlüssel vereinbaren und ihr eigenes Gespräch schützen. Phase 2 baut die CHILD SA, die Ihren tatsächlichen Datenverkehr trägt, und ihr Schlüsselaustausch kann neu statt geerbt sein.
Diese Trennung ist der Grund, warum es zählt, wenn ein Partner von perfect forward secrecy spricht. PFS ist eine Eigenschaft von Phase 2, und eine Gruppe in der Phase 1-Liste liefert sie nicht. Fragen Sie, für welchen Austausch jede Anforderung gilt, dazu den Verschlüsselungsmodus, ob die Integrität durch eine AEAD-Chiffre bereitgestellt wird und welche Erwartungen an die Schlüsselerneuerung auf beiden Seiten bestehen.
Leiten Sie keine vollständige akzeptable Suite aus dem Wort AES oder aus einer DH-Nummer ab. Eine Richtlinie, die aus zwei Hälften zweier Gespräche zusammengesetzt ist, ist der Weg, auf dem ein Tunnel am Ende etwas vorschlägt, dem kein Team zugestimmt hat.
Eine erlaubte Liste ist kein Aushandlungsergebnis
Die Optionslisten beschreiben, was jede Seite zu akzeptieren bereit ist. Sie berichten nicht, was gewählt wurde. Lesen Sie die tatsächlich ausgewählten IKE- und CHILD-SA-Vorschläge für eine neue Verbindung und bestätigen Sie dann, dass die Anforderung erfüllt und nicht nur erlaubt ist. Eine starke Option in einer Liste beweist nur, dass sie verfügbar war.
Achten Sie auch auf die Erneuerung. Die erste IKEv2 CHILD SA und ein späterer CHILD-Austausch mit PFS können unterschiedliche Kompatibilitätsbedingungen zeigen, weil der zweite Austausch frisches Schlüsselmaterial mit der PFS-Gruppe erzeugt. Wenn Ihr Abnahmetest nur die erste Minute eines Tunnels abdeckt, hat er den Teil nicht geprüft, der Ihrem Partner wichtig ist.
Die AWS-Referenz für Tunneloptionen listet Phase 1 und Phase 2 getrennt auf, und genau diese Struktur lohnt es sich zu verinnerlichen, bevor die nächste Anforderung eintrifft.
Ändern Sie den Tunnel, den Sie wirklich meinen
Eine Site-to-Site-VPN-Verbindung hat zwei Tunnel mit eigenen Optionen und eigenem Zustand. Bevor Sie etwas prüfen oder bearbeiten, gleichen Sie die Außenadresse des AWS-Tunnels mit dem Peer auf der Kundengateway-Seite ab und nehmen Sie nicht an, dass ein Speichern beide aktualisiert.
Eine genehmigte Änderung erfordert, dass die Kundengateway-Seite auf dieselbe Richtlinie vorbereitet ist, und ein Zeitfenster für die Unterbrechung, die der gewählte Tunnel mit sich bringt. Ist der Peer in der Phase, die Sie ändern, nicht für Gruppe 15 bereit, kommt der Tunnel einfach nicht mehr hoch, und die Konsole sagt Ihnen nicht, welche Seite abgelehnt hat.
Halten Sie die vereinbarte Richtlinie als Phase, Protokollversion, Verschlüsselung, Integrität und DH-Gruppe fest und bestätigen Sie sie dann an den Austauschen, die sie schützen soll. Routing, Traffic-Selectors und Anwendungsberechtigungen bleiben getrennt; diese Zuordnung ist keine vollständige Gateway-Konfiguration und keine Empfehlung, zusätzliche Algorithmen zur Abwechslung zu aktivieren.