Où se place MODP3072 dans un VPN Site-to-Site AWS
MODP3072 est le groupe 15 de l'IANA, mais ce groupe appartient à une phase. Rattachez l'exigence aux listes DH de Phase 1 ou de Phase 2 avant de modifier un tunnel.
Quelqu'un vous envoie une exigence qui mentionne IKEv2, ESP et MODP3072, et la console n'a aucun champ portant ce nom. L'erreur consiste à partir chercher un tel champ. IKEv2 est une version de négociation, ESP est le protocole qui transporte votre trafic protégé, et MODP3072 est un groupe d'échange de clés, à savoir le groupe 15 de l'IANA. Ces trois faits vivent à trois endroits différents, et le groupe apparaît deux fois.
La phrase n'est pas un réglage unique
Traduisez l'exigence en listes d'options avant de toucher à quoi que ce soit. Le tableau ci-dessous est toute la correspondance.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 est le groupe 15, et AWS accepte actuellement 15 dans les listes de groupes DH de Phase 1 et de Phase 2. L'accepter aux deux endroits n'est pas la même chose que l'exiger aux deux, et cela ne signifie certainement pas que votre partenaire visait les deux.
Phase 1 et Phase 2 négocient des choses différentes
Phase 1 construit l'association de sécurité IKE : comment les deux passerelles s'authentifient, s'accordent sur les clés et protègent leur propre conversation. Phase 2 construit la CHILD SA qui transporte votre trafic réel, et son échange de clés peut être neuf plutôt qu'hérité.
Cette séparation explique pourquoi ce que dit un partenaire sur la confidentialité persistante compte. PFS est une propriété de Phase 2, et un groupe de la liste de Phase 1 ne la fournit pas. Demandez à quel échange chaque exigence s'applique, ainsi que le mode de chiffrement, si l'intégrité est assurée par un chiffrement AEAD et les attentes de renouvellement de clés des deux côtés.
Ne déduisez pas une suite acceptable complète du mot AES ni d'un seul numéro DH. Une politique assemblée à partir de deux moitiés de deux conversations, voilà comment un tunnel finit par proposer quelque chose qu'aucune des deux équipes n'a accepté.
Une liste autorisée n'est pas un résultat de négociation
Les listes d'options décrivent ce que chaque côté est prêt à accepter. Elles n'indiquent pas ce qui a été choisi. Lisez les propositions IKE et CHILD-SA réellement sélectionnées pour une nouvelle connexion, puis confirmez que l'exigence est satisfaite et pas seulement autorisée. Une option solide dans une liste prouve seulement qu'elle était disponible.
Surveillez aussi le renouvellement. La première CHILD SA IKEv2 et un échange CHILD ultérieur porteur de PFS peuvent révéler des conditions de compatibilité différentes, car le second échange crée du matériel de clé neuf avec le groupe PFS en jeu. Si votre test de recette ne couvre que la première minute d'un tunnel, il n'a pas testé la partie qui intéresse votre partenaire.
La référence des options de tunnel AWS liste Phase 1 et Phase 2 séparément, et c'est la structure qu'il vaut la peine d'intégrer avant que l'exigence suivante n'arrive.
Modifiez le tunnel que vous visez réellement
Une connexion VPN Site-to-Site comporte deux tunnels avec leurs propres options et leur propre état. Avant de relire ou de modifier quoi que ce soit, faites correspondre l'adresse extérieure du tunnel AWS au pair côté passerelle client et ne supposez pas qu'un seul enregistrement met les deux à jour.
Un changement approuvé exige que le côté passerelle client soit préparé à la même politique et une fenêtre pour l'interruption que prendra le tunnel choisi. Si le pair n'est pas prêt pour le groupe 15 à la phase que vous modifiez, le tunnel cessera simplement de monter, et la console ne vous dira pas quel côté a refusé.
Consignez la politique convenue sous forme de phase, version de protocole, chiffrement, intégrité et groupe DH, puis confirmez-la aux échanges qu'elle est censée protéger. Le routage, les sélecteurs de trafic et les autorisations d'application restent à part ; cette correspondance n'est pas une configuration complète de passerelle et n'est pas une recommandation d'activer des algorithmes supplémentaires pour varier.