Mihin MODP3072 kuuluu AWS Site-to-Site VPN:ssä
MODP3072 on IANA-ryhmä 15, mutta ryhmä kuuluu vaiheeseen. Kohdista vaatimus Phase 1- tai Phase 2 -DH-listoihin ennen tunnelin muokkaamista.
Joku lähettää sinulle vaatimuksen, jossa lukee IKEv2, ESP ja MODP3072, eikä konsolissa ole kenttää tuolla nimellä. Virhe on lähteä etsimään sellaista kenttää. IKEv2 on neuvotteluversio, ESP on protokolla, joka kuljettaa suojattua liikennettäsi, ja MODP3072 on avaintenvaihtoryhmä eli IANA-ryhmä 15. Nämä kolme tosiasiaa elävät kolmessa eri paikassa, ja ryhmä esiintyy kahdesti.
Lause ei ole yksittäinen asetus
Muunna vaatimus vaihtoehtolistoiksi ennen kuin kosket mihinkään. Alla oleva taulukko on koko vastaavuus.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 on ryhmä 15, ja AWS hyväksyy tällä hetkellä 15:n sekä Phase 1- että Phase 2 -DH-ryhmälistoissa. Sen hyväksyminen molemmissa paikoissa ei ole sama kuin sen vaatiminen molemmissa, eikä se varmasti tarkoita, että kumppanisi tarkoitti molempia.
Phase 1 ja Phase 2 neuvottelevat eri asioista
Phase 1 rakentaa IKE-turva-assosiaation: miten kaksi yhdyskäytävää todentaa itsensä, sopii avaimista ja suojaa oman keskustelunsa. Phase 2 rakentaa CHILD SA:n, joka kuljettaa varsinaisen liikenteesi, ja sen avaintenvaihto voi olla uusi eikä peritty.
Juuri tämä jako on syy siihen, miksi sillä on väliä, kun kumppani puhuu täydellisestä eteenpäin suuntautuvasta salassapidosta. PFS on Phase 2:n ominaisuus, eikä Phase 1 -listalla oleva ryhmä tuota sitä. Kysy, mitä vaihtoa kukin vaatimus koskee, sekä salausmoodi, tarjoaako AEAD-salaus eheyden ja millaisia avainten uusimisen odotuksia molemmilla puolilla on.
Älä päättele täydellistä hyväksyttävää kokonaisuutta sanasta AES tai yhdestä DH-numerosta. Kahden keskustelun kahdesta puolikkaasta koottu käytäntö on se tapa, jolla tunneli päätyy ehdottamaan jotain, josta kumpikaan tiimi ei sopinut.
Sallittu lista ei ole neuvottelutulos
Vaihtoehtolistat kuvaavat, mitä kumpikin osapuoli on valmis hyväksymään. Ne eivät kerro, mitä valittiin. Lue uuden yhteyden todella valitut IKE- ja CHILD-SA-ehdotukset ja vahvista sitten, että vaatimus täyttyy eikä ole vain sallittu. Listalla oleva vahva vaihtoehto todistaa vain, että se oli saatavilla.
Seuraa myös uusimista. Ensimmäinen IKEv2 CHILD SA ja myöhempi PFS:n sisältävä CHILD-vaihto voivat paljastaa erilaisia yhteensopivuusehtoja, koska toinen vaihto luo tuoretta avainmateriaalia PFS-ryhmän ollessa mukana. Jos hyväksyntätestisi kattaa vain tunnelin ensimmäisen minuutin, se ei ole testannut sitä osaa, josta kumppanisi välittää.
AWS:n tunnelivaihtoehtojen viite luettelee Phase 1:n ja Phase 2:n erikseen, ja juuri tämä rakenne kannattaa sisäistää ennen kuin seuraava vaatimus saapuu.
Muuta tunnelia, jota todella tarkoitat
Site-to-Site VPN -yhteydellä on kaksi tunnelia, joilla on omat vaihtoehtonsa ja oma tilansa. Ennen kuin tarkastelet tai muokkaat mitään, sovita AWS-tunnelin ulkoinen osoite asiakasyhdyskäytävän puoleiseen vertaiseen äläkä oleta, että yksi tallennus päivittää molemmat.
Hyväksytty muutos edellyttää, että asiakasyhdyskäytävän puoli on valmisteltu samaan käytäntöön, ja ikkunaa keskeytykselle, jonka valittu tunneli ottaa. Jos vertainen ei ole valmis ryhmään 15 siinä vaiheessa, jota muutat, tunneli yksinkertaisesti lakkaa nousemasta, eikä konsoli kerro, kumpi puoli kieltäytyi.
Kirjaa sovittu käytäntö vaiheena, protokollaversiona, salauksena, eheytenä ja DH-ryhmänä ja vahvista se sitten vaihdoissa, joita sen on tarkoitus suojata. Reititys, liikenteen valitsimet ja sovellusluvat pysyvät erillään; tämä kartoitus ei ole täydellinen yhdyskäytävän kokoonpano eikä suositus ottaa käyttöön ylimääräisiä algoritmeja vaihtelun vuoksi.