Πού ανήκει το MODP3072 σε ένα AWS Site-to-Site VPN

Κάποιος σας στέλνει μια απαίτηση που γράφει IKEv2, ESP και MODP3072, και η κονσόλα δεν έχει πεδίο με αυτό το όνομα. Το λάθος είναι να αρχίσετε να ψάχνετε για ένα τέτοιο πεδίο. Το IKEv2 είναι έκδοση διαπραγμάτευσης, το ESP είναι το πρωτόκολλο που μεταφέρει την προστατευμένη κίνησή σας, και το MODP3072 είναι ομάδα ανταλλαγής κλειδιών, δηλαδή η ομάδα 15 της IANA. Αυτά τα τρία γεγονότα ζουν σε τρία διαφορετικά σημεία, και η ομάδα εμφανίζεται δύο φορές.

Η φράση δεν είναι μία μόνο ρύθμιση

Μετατρέψτε την απαίτηση σε λίστες επιλογών πριν αγγίξετε οτιδήποτε. Ο πίνακας παρακάτω είναι ολόκληρη η αντιστοίχιση.

Το MODP3072 είναι η ομάδα 15, και η AWS δέχεται σήμερα το 15 και στις δύο λίστες ομάδων DH του Phase 1 και του Phase 2. Το να το δέχεστε και στα δύο σημεία δεν είναι το ίδιο με το να το απαιτείτε και στα δύο, και σίγουρα δεν σημαίνει ότι ο συνεργάτης σας εννοούσε και τα δύο.

Το Phase 1 και το Phase 2 διαπραγματεύονται διαφορετικά πράγματα

Το Phase 1 χτίζει τη συσχέτιση ασφαλείας IKE: πώς οι δύο πύλες επαληθεύονται, συμφωνούν για κλειδιά και προστατεύουν τη δική τους συνομιλία. Το Phase 2 χτίζει το CHILD SA που μεταφέρει την πραγματική σας κίνηση, και η ανταλλαγή κλειδιών του μπορεί να είναι νέα αντί για κληρονομημένη.

Αυτός ο διαχωρισμός είναι ο λόγος που μετράει όταν ένας συνεργάτης μιλάει για perfect forward secrecy. Το PFS είναι ιδιότητα του Phase 2, και μια ομάδα στη λίστα του Phase 1 δεν το παρέχει. Ρωτήστε σε ποια ανταλλαγή ισχύει κάθε απαίτηση, μαζί με τη λειτουργία κρυπτογράφησης, αν η ακεραιότητα παρέχεται από κρυπτογράφημα AEAD και ποιες είναι οι προσδοκίες ανανέωσης κλειδιών και στις δύο πλευρές.

Μην συνάγετε ένα πλήρες αποδεκτό σύνολο από τη λέξη AES ή από έναν αριθμό DH. Μια πολιτική που συναρμολογείται από δύο μισά δύο συνομιλιών είναι ο τρόπος με τον οποίο ένα τούνελ καταλήγει να προτείνει κάτι με το οποίο δεν συμφώνησε καμία ομάδα.

Μια επιτρεπόμενη λίστα δεν είναι αποτέλεσμα διαπραγμάτευσης

Οι λίστες επιλογών περιγράφουν τι είναι διατεθειμένη να δεχτεί κάθε πλευρά. Δεν αναφέρουν τι επιλέχθηκε. Διαβάστε τις πραγματικά επιλεγμένες προτάσεις IKE και CHILD-SA για μια νέα σύνδεση και μετά επιβεβαιώστε ότι η απαίτηση ικανοποιείται και όχι απλώς επιτρέπεται. Μια ισχυρή επιλογή μέσα σε μια λίστα αποδεικνύει μόνο ότι ήταν διαθέσιμη.

Προσέξτε και την ανανέωση. Το πρώτο CHILD SA του IKEv2 και μια μεταγενέστερη ανταλλαγή CHILD με PFS μπορούν να αποκαλύψουν διαφορετικές συνθήκες συμβατότητας, επειδή η δεύτερη ανταλλαγή δημιουργεί νέο υλικό κλειδιών με την ομάδα PFS σε ισχύ. Αν η δοκιμή αποδοχής σας καλύπτει μόνο το πρώτο λεπτό ενός τούνελ, δεν έχει δοκιμάσει το μέρος που ενδιαφέρει τον συνεργάτη σας.

Η αναφορά επιλογών τούνελ της AWS απαριθμεί το Phase 1 και το Phase 2 χωριστά, και αυτή είναι η δομή που αξίζει να εσωτερικεύσετε πριν φτάσει η επόμενη απαίτηση.

Αλλάξτε το τούνελ που εννοείτε πραγματικά

Μια σύνδεση Site-to-Site VPN έχει δύο τούνελ με δικές τους επιλογές και δική τους κατάσταση. Πριν ελέγξετε ή επεξεργαστείτε οτιδήποτε, αντιστοιχίστε την εξωτερική διεύθυνση του τούνελ AWS με τον ομότιμο στην πλευρά της πύλης πελάτη και μην υποθέσετε ότι μία αποθήκευση ενημερώνει και τα δύο.

Μια εγκεκριμένη αλλαγή απαιτεί η πλευρά της πύλης πελάτη να είναι προετοιμασμένη για την ίδια πολιτική και ένα παράθυρο για τη διακοπή που θα πάρει το επιλεγμένο τούνελ. Αν ο ομότιμος δεν είναι έτοιμος για την ομάδα 15 στη φάση που αλλάζετε, το τούνελ απλώς θα σταματήσει να σηκώνεται, και η κονσόλα δεν θα σας πει ποια πλευρά αρνήθηκε.

Καταγράψτε τη συμφωνημένη πολιτική ως φάση, έκδοση πρωτοκόλλου, κρυπτογράφηση, ακεραιότητα και ομάδα DH και μετά επιβεβαιώστε την στις ανταλλαγές που υποτίθεται ότι προστατεύει. Η δρομολόγηση, οι επιλογείς κίνησης και τα δικαιώματα εφαρμογών παραμένουν χωριστά· αυτή η αντιστοίχιση δεν είναι πλήρης διαμόρφωση πύλης και δεν είναι σύσταση να ενεργοποιήσετε πρόσθετους αλγορίθμους για ποικιλία.