Onde encaixa MODP3072 nunha VPN Site-to-Site de AWS

Alguén che envía un requisito que di IKEv2, ESP e MODP3072, e a consola non ten ningún campo con ese nome. O erro é poñerse a buscar un. IKEv2 é unha versión de negociación, ESP é o protocolo que transporta o teu tráfico protexido, e MODP3072 é un grupo de intercambio de claves, é dicir, o grupo 15 de IANA. Eses tres feitos viven en tres lugares distintos, e o grupo aparece dúas veces.

A frase non é un único axuste

Converte o requisito en listas de opcións antes de tocar nada. A táboa de abaixo é todo o mapa.

MODP3072 é o grupo 15, e AWS acepta actualmente 15 tanto na lista de grupos DH de Phase 1 como na de Phase 2. Aceptalo nos dous lugares non é o mesmo que esixilo nos dous, e desde logo non significa que o teu socio se referise aos dous.

Phase 1 e Phase 2 negocian cousas distintas

Phase 1 constrúe a asociación de seguridade IKE: como se autentican as dúas pasarelas, acordan as claves e protexen a súa propia conversa. Phase 2 constrúe a CHILD SA que transporta o tráfico real, e o seu intercambio de claves pode ser novo en lugar de herdado.

Esa separación é a razón pola que importa que un socio fale de perfect forward secrecy. PFS é unha propiedade de Phase 2, e un grupo da lista de Phase 1 non a proporciona. Pregunta a que intercambio se aplica cada requisito, xunto co modo de cifrado, se a integridade a achega un cifrado AEAD e que se espera da renovación de claves nos dous lados.

Non deduzas un conxunto aceptable completo da palabra AES nin dun só número DH. Unha política montada con dúas metades de dúas conversas é como un túnel acaba propoñendo algo co que ningún equipo estivo de acordo.

Unha lista permitida non é un resultado de negociación

As listas de opcións describen que está disposto a aceptar cada lado. Non informan de que se escolleu. Le as propostas IKE e CHILD-SA realmente seleccionadas para unha conexión nova e despois confirma que o requisito se cumpre, non só que está permitido. Unha opción forte dentro dunha lista só demostra que estaba dispoñible.

Vixía tamén a renovación. A primeira CHILD SA de IKEv2 e un intercambio CHILD posterior con PFS poden mostrar condicións de compatibilidade distintas, porque o segundo intercambio crea material de clave novo co grupo PFS en xogo. Se a túa proba de aceptación só cobre o primeiro minuto dun túnel, non probou a parte que lle importa ao teu socio.

A referencia de opcións de túnel de AWS enumera Phase 1 e Phase 2 por separado, e esa é a estrutura que convén interiorizar antes de que chegue o próximo requisito.

Cambia o túnel que de verdade queres dicir

Unha conexión VPN Site-to-Site ten dous túneles coas súas propias opcións e o seu propio estado. Antes de revisar ou editar nada, fai coincidir o enderezo exterior do túnel de AWS co par da pasarela de cliente e non deas por feito que un só gardado actualiza ambos.

Un cambio aprobado necesita que o lado da pasarela de cliente estea preparado para a mesma política e unha xanela para a interrupción que levará o túnel elixido. Se o par non está listo para o grupo 15 na fase que estás a cambiar, o túnel simplemente deixará de erguerse, e a consola non che dirá que lado se negou.

Rexistra a política acordada como fase, versión de protocolo, cifrado, integridade e grupo DH, e despois confírmoa nos intercambios que debe protexer. O encamiñamento, os selectores de tráfico e os permisos de aplicacións quedan á parte; este mapa non é unha configuración completa da pasarela e non é unha recomendación de activar algoritmos adicionais por variedade.