Kuhu MODP3072 AWS Site-to-Site VPN-is kuulub
MODP3072 on IANA grupp 15, kuid grupp kuulub kindlasse faasi. Enne tunneliga töötamist seostage nõue Phase 1 või Phase 2 DH-loenditega.
Keegi saadab teile nõude, milles on kirjas IKEv2, ESP ja MODP3072, ning konsoolis ei ole ühtki sellenimelist välja. Viga on hakata sellist välja otsima. IKEv2 on läbirääkimiste versioon, ESP on protokoll, mis kannab teie kaitstud liiklust, ja MODP3072 on võtmevahetuse grupp, nimelt IANA grupp 15. Need kolm asjaolu elavad kolmes erinevas kohas ja grupp esineb kaks korda.
See fraas ei ole üksik säte
Enne millegi puudutamist teisendage nõue valikuloenditeks. Allolev tabel on kogu vastavustabel.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 on grupp 15 ja AWS aktsepteerib praegu 15 nii Phase 1 kui ka Phase 2 DH-gruppide loendis. Selle aktsepteerimine mõlemas kohas ei ole sama mis selle nõudmine mõlemas kohas ja kindlasti ei tähenda see, et teie partner pidas silmas mõlemat.
Phase 1 ja Phase 2 peavad läbirääkimisi erinevate asjade üle
Phase 1 ehitab üles IKE turvaassotsiatsiooni: kuidas kaks lüüsi autendivad, võtmetes kokku lepivad ja oma vestlust kaitsevad. Phase 2 ehitab CHILD SA, mis kannab teie tegelikku liiklust, ja selle võtmevahetus võib olla uus, mitte päritud.
Just see eraldus on põhjus, miks on oluline, kui partner räägib täiuslikust edasisuunatud salastatusest. PFS on Phase 2 omadus ja Phase 1 loendis olev grupp ei anna seda. Küsige, millise vahetuse kohta iga nõue kehtib, koos krüpteerimisrežiimiga, kas terviklikkuse tagab AEAD-šifr ja millised on võtmeuuenduse ootused mõlemal poolel.
Ärge tuletage täielikku vastuvõetavat komplekti sõnast AES ega ühest DH-numbrist. Kahe vestluse kahest poolest kokku pandud poliitika on see, kuidas tunnel jõuab lõpuks pakkuma midagi, millega kumbki meeskond ei nõustunud.
Lubatud loend ei ole läbirääkimise tulemus
Valikuloendid kirjeldavad, mida kumbki pool on valmis aktsepteerima. Need ei teata, mis valiti. Lugege uue ühenduse jaoks tegelikult valitud IKE ja CHILD-SA pakkumisi ning seejärel kinnitage, et nõue on täidetud, mitte ainult lubatud. Loendis olev tugev valik tõestab ainult seda, et see oli saadaval.
Jälgige ka uuendamist. Esimene IKEv2 CHILD SA ja hilisem PFS-iga CHILD-vahetus võivad paljastada erinevaid ühilduvustingimusi, sest teine vahetus loob PFS-grupi osalusel värske võtmemeetriali. Kui teie vastuvõtutest katab ainult tunneli esimest minutit, ei ole see testinud seda osa, mis teie partnerile oluline on.
AWS-i tunnelivalikute viide loetleb Phase 1 ja Phase 2 eraldi ning just see struktuur tasub omandada enne järgmise nõude saabumist.
Muutke tunnelit, mida te tegelikult silmas peate
Site-to-Site VPN-ühendusel on kaks tunnelit, millel on oma valikud ja oma olek. Enne millegi ülevaatamist või muutmist sobitage AWS-i tunneli välisaadress kliendi lüüsi poolse partneriga ja ärge eeldage, et üks salvestamine uuendab mõlemat.
Kinnitatud muudatus nõuab, et kliendi lüüsi pool oleks sama poliitika jaoks ette valmistatud, ja akent katkestuse jaoks, mille valitud tunnel kaasa toob. Kui partner ei ole valmis grupiks 15 selles faasis, mida muudate, lakkab tunnel lihtsalt tõusmast ja konsool ei ütle teile, milline pool keeldus.
Kirjutage kokkulepitud poliitika üles faasi, protokolli versiooni, krüpteerimise, terviklikkuse ja DH-grupina ning kinnitage see seejärel vahetustes, mida see peaks kaitsma. Marsruutimine, liikluse valijad ja rakenduste load jäävad eraldi; see vastendus ei ole täielik lüüsi konfiguratsioon ega soovitus lubada mitmekesisuse huvides lisaalgoritme.