Non sartzen da MODP3072 AWS Site-to-Site VPN batean
MODP3072 IANAren 15. taldea da, baina taldea fase bati dagokio. Egokitu baldintza Phase 1 edo Phase 2-ren DH zerrendetara tunel bat editatu aurretik.
Norbaitek IKEv2, ESP eta MODP3072 dioen baldintza bat bidaltzen dizu, eta kontsolak ez du izen horretako eremurik. Akatsa eremu horren bila hastea da. IKEv2 negoziazio-bertsioa da, ESP zure trafiko babestua daraman protokoloa da, eta MODP3072 gako-trukerako taldea da, hots, IANAren 15. taldea. Hiru gertaera horiek hiru leku desberdinetan bizi dira, eta taldea bi aldiz agertzen da.
Esaldi hori ez da ezarpen bakarra
Ezer ukitu aurretik, bihurtu baldintza aukera-zerrenda. Beheko taula da korrespondentzia osoa.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 15. taldea da, eta AWSek gaur egun 15 onartzen du Phase 1 eta Phase 2 DH talde-zerrendetan. Bi lekuetan onartzea ez da bi lekuetan eskatzearen berdina, eta inola ere ez du esan nahi zure bazkideak biak zituela gogoan.
Phase 1 eta Phase 2 gauza desberdinak negoziatzen dituzte
Phase 1ek IKE segurtasun-elkartea eraikitzen du: nola autentifikatzen diren bi atebideak, nola adosten duten gakoetan eta nola babesten duten beren elkarrizketa. Phase 2k zure trafiko erreala daraman CHILD SA eraikitzen du, eta haren gako-trukea berria izan daiteke heredatua izan beharrean.
Bereizketa hori da bazkide batek perfect forward secrecy aipatzean garrantzia duen arrazoia. PFS Phase 2ren propietatea da, eta Phase 1 zerrendako talde batek ez du hura ematen. Galdetu zein trukeri dagokion baldintza bakoitza, enkriptatze-moduarekin, osotasuna AEAD zifra batek ematen duen eta bi aldeetako gako-berritzearen itxaropenekin.
Ez ondorioztatu multzo onargarri oso bat AES hitzetik edo DH zenbaki batetik. Bi elkarrizketaren bi erdiz osatutako politika da tunel batek inork adostu ez zuen zerbait proposatzera iristen deneko bidea.
Baimendutako zerrenda ez da negoziazio-emaitza
Aukera-zerrendek alde bakoitza zer onartzeko prest dagoen deskribatzen dute. Ez dute jakinarazten zer aukeratu zen. Irakurri konexio berri baterako benetan hautatutako IKE eta CHILD-SA proposamenak, eta gero egiaztatu baldintza betetzen dela, baimenduta egoteaz gain. Zerrenda batean dagoen aukera indartsu batek soilik frogatzen eskuragarri zegoela.
Erne egon berritzearekin ere. IKEv2ren lehen CHILD SA eta geroagoko PFS duen CHILD truke batek bateragarritasun-baldintza desberdinak ager ditzake, bigarren trukeak gako-material berria sortzen baitu PFS taldearekin. Zure onarpen-probak tunel baten lehen minutua soilik hartzen badu, ez du zure bazkideari axola zaion zatia probatu.
AWS tunel-aukeren erreferentzia Phase 1 eta Phase 2 bereizita zerrendatzen ditu, eta hori da hurrengo baldintza iritsi aurretik barneratzeko merezi duen egitura.
Aldatu benetan aipatzen ari zaren tunela
Site-to-Site VPN konexio batek bi tunel ditu, bakoitza bere aukerekin eta bere egoerarekin. Ezer berrikusi edo editatu aurretik, egokitu AWS tunelaren kanpoko helbidea bezeroaren atebidearen parekoarekin eta ez pentsatu gordetze bakar batek biak eguneratzen dituenik.
Onartutako aldaketak bezeroaren atebidearen aldea politika bererako prest egotea eskatzen du, eta hautatutako tunelak hartuko duen etenerako leiho bat. Parekoa ez badago 15. talderako prest aldatzen ari zaren fasean, tunelak besterik gabe utziko dio igotzeari, eta kontsolak ez dizu esango zein alde arnegatu zuen.
Erregistratu adostutako politika fase, protokolo-bertsio, enkriptatze, osotasun eta DH talde gisa, eta gero egiaztatu babestu behar dituen trukeetan. Bideratzea, trafiko-hautatzaileak eta aplikazio-baimenak bereizita geratzen dira; mapatze hau ez da atebidearen konfigurazio osoa, eta ez da aniztasunagatik algoritmo gehigarriak gaitzeko gomendioa.