Wêr't MODP3072 yn in AWS Site-to-Site VPN heart
MODP3072 is IANA-groep 15, mar de groep heart by in faze. Karteer de eask nei de Phase 1- of Phase 2-DH-listten foardat jo in tunnel bewurkje.
Immen stjoert jo in eask wêryn't IKEv2, ESP en MODP3072 steane, en de konsole hat gjin fjild mei dy namme. De flater is om sa'n fjild te sykjen. IKEv2 is in ûnderhannelingsferzje, ESP is it protokol dat jo beskerme ferkear draacht, en MODP3072 is in kaai-útwikselingsgroep, nammentlik IANA-groep 15. Dy trije feiten wenje op trije ferskillende plakken, en de groep ferskynt twa kear.
De sin is net ien inkelde ynstelling
Oersette de eask yn opsjelisten foardat jo eat oanreitsje. De tabel hjirûnder is de hiele krúsferwizing.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 is groep 15, en AWS akseptearret op dit stuit 15 yn sawol de Phase 1- as de Phase 2-DH-groepslisten. It op beide plakken akseptearje is net itselde as it op beide plakken easkje, en it betsjut grif net dat jo partner beide bedoelde.
Phase 1 en Phase 2 ûnderhannelje oer ferskillende dingen
Phase 1 bout de IKE-feiligensassosjaasje: hoe't de beide poarten autentisearje, oer kaaien oerienkomme en har eigen petear beskermje. Phase 2 bout de CHILD SA dy't jo wiere ferkear draacht, en syn kaai-útwikseling kin fris wêze ynstee fan erfd.
Dy splitsing is wêrom't it útmakket as in partner oer perfect forward secrecy praat. PFS is in eigenskip fan Phase 2, en in groep yn 'e Phase 1-list leveret dat net. Freegje foar hokker útwikseling elke eask jildt, tegearre mei de fersiferingsmodus, oft yntegriteit troch in AEAD-sifer levere wurdt, en de ferwachtings oer kaaiferfrisking oan beide kanten.
Lied gjin folsleine akseptabele set ôf fan it wurd AES of fan ien DH-nûmer. In belied dat út twa helten fan twa petearen gearstald is, is hoe't in tunnel eat foarstelt dat gjin fan beide teams goedkard hat.
In tastiene list is gjin ûnderhannelingsresultaat
De opsjelisten beskriuwe wat elke kant ree is te akseptearjen. Se rapportearje net wat keazen is. Lês de wier keazen IKE- en CHILD-SA-foarstellen foar in nije ferbining, en befêstigje dan dat de eask foldien is ynstee fan allinnich tastien. In krêftige opsje yn in list bewiist allinnich dat er beskikber wie.
Let ek op 'e fernijing. De earste IKEv2 CHILD SA en in lettere CHILD-útwikseling mei PFS kinne ferskillende kompatibiliteitsbetingsten sjen litte, om't de twadde útwikseling fris kaaimateriaal makket mei de PFS-groep yn it spul. As jo akseptaasjetest allinnich de earste minút fan in tunnel dekt, hat er it part net test dat jo partner wichtich fynt.
De AWS-referinsje foar tunnelopsjes listet Phase 1 en Phase 2 apart, en dat is de struktuer dy't de muoite wurdich is om te ynternalisearjen foardat de folgjende eask komt.
Feroarje de tunnel dy't jo echt bedoele
In Site-to-Site VPN-ferbining hat twa tunnels mei har eigen opsjes en har eigen steat. Foardat jo eat besjen of bewurkje, meitsje it bûtenadres fan 'e AWS-tunnel lyk oan 'e peer oan 'e klantpoartekant en tink net dat ien bewarjen beide bywurket.
In goedkarde wiziging freget dat de klantpoartekant taret is op itselde belied en in finster foar de ûnderbrekking dy't de keazen tunnel nimme sil. As de peer net klear is foar groep 15 yn 'e faze dy't jo feroarje, sil de tunnel gewoan ophâlde mei opkomme, en de konsole sil jo net fertelle hokker kant wegere.
Skriuw it ôfsprutsen belied op as faze, protokolfersje, fersifering, yntegriteit en DH-groep, en befêstigje it dan by de útwikselingen dy't it beskermje moat. Routing, ferkearsselekteurs en applikaasjemachtigingen bliuwe apart; dizze kartearting is gjin folsleine poartekonfiguraasje, en it is gjin oanbefelling om ekstra algoritmen foar fariânsje oan te setten.