Hová tartozik a MODP3072 egy AWS Site-to-Site VPN-ben
A MODP3072 az IANA 15-ös csoportja, de a csoport egy fázishoz tartozik. Rendelje a követelményt a Phase 1 vagy Phase 2 DH-listáihoz, mielőtt alagutat szerkeszt.
Valaki küld Önnek egy követelményt, amelyben IKEv2, ESP és MODP3072 szerepel, a konzolon pedig nincs ilyen nevű mező. A hiba az, hogy elkezdi keresni az ilyen mezőt. Az IKEv2 egy egyeztetési verzió, az ESP az a protokoll, amely a védett forgalmát szállítja, a MODP3072 pedig kulcscsere-csoport, azaz az IANA 15-ös csoportja. Ez a három tény három különböző helyen él, és a csoport kétszer jelenik meg.
A mondat nem egyetlen beállítás
Alakítsa a követelményt opciólistákká, mielőtt bármihez hozzányúlna. Az alábbi táblázat a teljes megfeleltetés.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
A MODP3072 a 15-ös csoport, és az AWS jelenleg 15-öt fogad el a Phase 1 és a Phase 2 DH-csoportlistáján is. Elfogadni mindkét helyen nem ugyanaz, mint megkövetelni mindkét helyen, és ez biztosan nem jelenti azt, hogy a partnere mindkettőre gondolt.
A Phase 1 és a Phase 2 különböző dolgokról egyeztet
A Phase 1 építi fel az IKE biztonsági társulást: hogyan hitelesíti magát a két átjáró, hogyan egyezik meg a kulcsokban és hogyan védi a saját beszélgetését. A Phase 2 építi fel a CHILD SA-t, amely a tényleges forgalmát szállítja, és a kulcscseréje lehet új, nem örökölt.
Ez a szétválasztás az oka annak, hogy számít, amikor egy partner tökéletes előrehaladó titoktartásról beszél. A PFS a Phase 2 tulajdonsága, és a Phase 1 listáján szereplő csoport nem nyújtja. Kérdezze meg, melyik cserére vonatkozik az egyes követelmény, a titkosítási móddal, azzal, hogy az integritást AEAD-rejtjel biztosítja-e, és a kulcsújítási elvárásokkal mindkét oldalon.
Ne következtessen teljes elfogadható készletet az AES szóból vagy egyetlen DH-számból. A két beszélgetés két feléből összeállított szabályzat az, ahogy egy alagút végül olyasmit javasol, amiben egyik csapat sem egyezett meg.
Az engedélyezett lista nem tárgyalási eredmény
Az opciólisták leírják, mit hajlandó elfogadni mindkét fél. Nem számolnak be arról, mit választottak. Olvassa el az új kapcsolat ténylegesen kiválasztott IKE- és CHILD-SA-javaslatait, majd erősítse meg, hogy a követelmény teljesül, nem csak engedélyezett. A listán szereplő erős opció csak azt bizonyítja, hogy elérhető volt.
Figyelje az újítást is. Az első IKEv2 CHILD SA és egy későbbi PFS-t hordozó CHILD-csere eltérő kompatibilitási feltételeket tárhat fel, mert a második csere friss kulcsanyagot hoz létre a PFS-csoporttal. Ha az átvételi tesztje csak az alagút első percét fedi le, nem tesztelte azt a részt, amely a partnerének fontos.
Az AWS alagútbeállítási referenciája a Phase 1-et és a Phase 2-t külön listázza, és éppen ezt a szerkezetet érdemes elsajátítani, mielőtt megérkezik a következő követelmény.
Módosítsa az alagutat, amelyre valóban gondol
A Site-to-Site VPN-kapcsolatnak két alagútja van, saját beállításokkal és saját állapottal. Mielőtt bármit átnézne vagy szerkesztene, egyeztesse az AWS-alagút külső címét az ügyfélátjáró oldali partnerrel, és ne feltételezze, hogy egy mentés mindkettőt frissíti.
Egy jóváhagyott módosításhoz az kell, hogy az ügyfélátjáró oldala ugyanarra a szabályzatra felkészüljön, és legyen egy ablak a megszakításra, amelyet a kiválasztott alagút okoz. Ha a partner nem kész a 15-ös csoportra abban a fázisban, amelyet módosít, az alagút egyszerűen nem jön fel, és a konzol nem mondja meg, melyik fél utasította el.
Rögzítse a megállapodott szabályzatot fázisként, protokollverzióként, titkosításként, integritásként és DH-csoportként, majd erősítse meg azoknál a cseréknél, amelyeket védenie kell. Az útválasztás, a forgalomválasztók és az alkalmazásengedélyek külön maradnak; ez a leképezés nem teljes átjárókonfiguráció, és nem javaslat további algoritmusok változatosság kedvéért történő engedélyezésére.