Kie MODP3072 apartenas en AWS Site-to-Site VPN
MODP3072 estas IANA-grupo 15, sed la grupo apartenas al fazo. Mapu la postulon al la DH-listoj de Phase 1 aŭ Phase 2 antaŭ ol vi redaktos tunelon.
Iu sendas al vi postulon, en kiu staras IKEv2, ESP kaj MODP3072, kaj la konzolo havas neniun kampon kun tiu nomo. La eraro estas komenci serĉi tian kampon. IKEv2 estas intertrakta versio, ESP estas la protokolo, kiu portas vian protektitan trafikon, kaj MODP3072 estas ŝlosilinterŝanĝa grupo, nome IANA-grupo 15. Tiuj tri faktoj vivas en tri malsamaj lokoj, kaj la grupo aperas dufoje.
La frazo ne estas unu sola agordo
Konvertu la postulon en listojn de opcioj antaŭ ol tuŝi ion ajn. La tabelo sube estas la tuta krucmapo.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 estas grupo 15, kaj AWS nuntempe akceptas 15 en ambaŭ la DH-grupaj listoj de Phase 1 kaj Phase 2. Akcepti ĝin en ambaŭ lokoj ne samas kiel postuli ĝin en ambaŭ, kaj ĝi certe ne signifas, ke via partnero celis ambaŭ.
Phase 1 kaj Phase 2 intertraktas pri malsamaj aferoj
Phase 1 konstruas la sekurecan asociiĝon IKE: kiel la du pordegoj aŭtentikigas sin, interkonsentas pri ŝlosiloj kaj protektas sian propran konversacion. Phase 2 konstruas la CHILD SA, kiu portas vian realan trafikon, kaj ĝia ŝlosilinterŝanĝo povas esti freŝa anstataŭ heredita.
Tiu disiĝo estas kial gravas, kiam partnero parolas pri perfekta antaŭena sekreteco. PFS estas eco de Phase 2, kaj grupo en la listo de Phase 1 ne donas ĝin. Demandu, al kiu interŝanĝo ĉiu postulo rilatas, kune kun la ĉifrada reĝimo, ĉu integrecon provizas AEAD-ĉifro, kaj la atendojn pri ŝlosilrenovigo ambaŭflanke.
Ne deduktu kompletan akcepteblan aron el la vorto AES aŭ el unu DH-numero. Politiko kunmetita el du duonoj de du konversacioj estas kiel tunelo finas proponi ion, pri kio neniu teamo interkonsentis.
Permesita listo ne estas intertrakta rezulto
La listoj de opcioj priskribas, kion ĉiu flanko pretas akcepti. Ili ne raportas, kion oni elektis. Legu la efektive elektitajn proponojn IKE kaj CHILD-SA por nova konekto, poste konfirmu, ke la postulo estas plenumita, ne nur permesita. Forta opcio en listo pruvas nur, ke ĝi estis disponebla.
Atentu ankaŭ la renovigon. La unua IKEv2 CHILD SA kaj posta CHILD-interŝanĝo kun PFS povas malkaŝi malsamajn kondiĉojn de kongrueco, ĉar la dua interŝanĝo kreas freŝan ŝlosilmaterialon kun la PFS-grupo en ludo. Se via akcepta testo kovras nur la unuan minuton de tunelo, ĝi ne testis la parton, pri kiu zorgas via partnero.
La AWS-referenco pri tunelaj opcioj listigas Phase 1 kaj Phase 2 aparte, kaj tiu strukturo indas esti enprenita antaŭ ol alvenos la sekva postulo.
Ŝanĝu la tunelon, kiun vi vere celas
Site-to-Site VPN-konekto havas du tunelojn kun propraj opcioj kaj propra stato. Antaŭ ol vi revizios aŭ redaktos ion, kunordigu la eksteran adreson de la AWS-tunelo kun la samtavolano ĉe la klientpordega flanko kaj ne supozu, ke unu konservo ĝisdatigas ambaŭ.
Aprobita ŝanĝo bezonas, ke la klientpordega flanko estu preparita por la sama politiko, kaj fenestron por la interrompo, kiun la elektita tunelo prenos. Se la samtavolano ne pretas por grupo 15 en la fazo, kiun vi ŝanĝas, la tunelo simple ĉesos leviĝi, kaj la konzolo ne diros al vi, kiu flanko rifuzis.
Notu la interkonsentitan politikon kiel fazo, protokola versio, ĉifrado, integreco kaj DH-grupo, poste konfirmu ĝin ĉe la interŝanĝoj, kiujn ĝi devas protekti. Enkursigado, trafikselektiloj kaj aplikaĵpermesoj restas apartaj; ĉi tiu mapado ne estas kompleta pordega agordo, kaj ĝi ne estas rekomendo ŝalti pliajn algoritmojn pro varieco.