Gdje MODP3072 pripada u AWS Site-to-Site VPN-u
MODP3072 je IANA grupa 15, ali grupa pripada fazi. Uskladite zahtjev s DH listama za Phase 1 ili Phase 2 prije nego uredite tunel.
Netko vam pošalje zahtjev u kojem piše IKEv2, ESP i MODP3072, a konzola nema polje s tim imenom. Pogreška je krenuti tražiti takvo polje. IKEv2 je verzija pregovora, ESP je protokol koji prenosi vaš zaštićeni promet, a MODP3072 je grupa za razmjenu ključeva, to jest IANA grupa 15. Te tri činjenice žive na tri različita mjesta, a grupa se pojavljuje dvaput.
Ta fraza nije jedna postavka
Pretvorite zahtjev u popise opcija prije nego što bilo što dirnete. Tablica u nastavku cijela je mapa.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 je grupa 15, a AWS trenutačno prihvaća 15 i na popisu DH grupa za Phase 1 i na onom za Phase 2. Prihvaćati je na oba mjesta nije isto što i zahtijevati je na oba, i zasigurno ne znači da je vaš partner mislio na oba.
Phase 1 i Phase 2 pregovaraju o različitim stvarima
Phase 1 gradi IKE sigurnosnu asocijaciju: kako se dva pristupnika autentificiraju, dogovaraju ključeve i štite vlastiti razgovor. Phase 2 gradi CHILD SA koji prenosi vaš stvarni promet, a njegova razmjena ključeva može biti nova, a ne naslijeđena.
Zbog te podjele je važno kad partner govori o perfect forward secrecy. PFS je svojstvo Phase 2, a grupa na popisu Phase 1 ne daje ga. Pitajte na koju se razmjenu odnosi svaki zahtjev, uz način enkripcije, pruža li cjelovitost AEAD šifra i kakva su očekivanja obnove ključeva na obje strane.
Ne izvodite potpuni prihvatljivi skup iz riječi AES ni iz jednog DH broja. Politika sastavljena od dvije polovice dvaju razgovora način je na koji tunel završi predlažući nešto s čime se nije složio nijedan tim.
Dopušteni popis nije rezultat pregovora
Popisi opcija opisuju što je svaka strana spremna prihvatiti. Oni ne izvješćuju što je odabrano. Pročitajte stvarno odabrane IKE i CHILD-SA prijedloge za novu vezu, pa potvrdite da je zahtjev ispunjen, a ne samo dopušten. Jaka opcija na popisu dokazuje samo da je bila dostupna.
Pazite i na obnovu. Prvi IKEv2 CHILD SA i kasnija CHILD razmjena s PFS-om mogu otkriti različite uvjete kompatibilnosti jer druga razmjena stvara svjež ključni materijal uz PFS grupu u igri. Ako vaš test prihvaćanja pokriva samo prvu minutu tunela, nije testirao dio do kojeg je vašem partneru stalo.
AWS referenca za opcije tunela navodi Phase 1 i Phase 2 odvojeno, i to je struktura koju vrijedi usvojiti prije nego stigne sljedeći zahtjev.
Mijenjajte tunel na koji zaista mislite
Veza Site-to-Site VPN ima dva tunela s vlastitim opcijama i vlastitim stanjem. Prije nego bilo što pregledate ili uredite, uskladite vanjsku adresu AWS tunela s peerom na strani korisničkog pristupnika i ne pretpostavljajte da jedno spremanje ažurira oba.
Odobrena promjena zahtijeva da strana korisničkog pristupnika bude pripremljena za istu politiku i termin za prekid koji će odabrani tunel uzeti. Ako peer nije spreman za grupu 15 u fazi koju mijenjate, tunel će jednostavno prestati dizati se, a konzola vam neće reći koja je strana odbila.
Zabilježite dogovorenu politiku kao fazu, verziju protokola, enkripciju, cjelovitost i DH grupu, pa je potvrdite na razmjenama koje treba štititi. Usmjeravanje, selektori prometa i dopuštenja aplikacija ostaju odvojeni; ovo mapiranje nije potpuna konfiguracija pristupnika i nije preporuka da uključujete dodatne algoritme radi raznolikosti.