Որտեղ է տեղը MODP3072-ի համար AWS Site-to-Site VPN-ում
MODP3072-ը IANA-ի 15-րդ խումբն է, բայց խումբը պատկանում է փուլի։ Նախքան թունելը խմբագրելը պահանջը քարտեզագրեք Phase 1 կամ Phase 2-ի DH ցանկերին։
Ինչ-որ մեկը ձեզ ուղարկում է պահանջ, որտեղ գրված է IKEv2, ESP և MODP3072, իսկ կոնսոլում այդ անվանումով դաշտ չկա։ Սխալն այն է, որ սկսեք փնտրել այդպիսի դաշտ։ IKEv2-ը բանակցային տարբերակ է, ESP-ն այն արձանագրությունն է, որը կրում է ձեր պաշտպանված երթևեկությունը, իսկ MODP3072-ը բանալիների փոխանակման խումբ է, այսինքն՝ IANA-ի 15-րդ խումբը։ Այս երեք փաստերը ապրում են երեք տարբեր տեղերում, և խումբը հայտնվում է երկու անգամ։
Այս արտահայտությունը մեկ կարգավորում չէ
Նախքան որևէ բանի դիպչելը պահանջը վերածեք ընտրանքների ցանկերի։ Ստորև բերված աղյուսակը ամբողջ համապատասխանեցումն է։
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072-ը 15-րդ խումբն է, և AWS-ը ներկայումս ընդունում է 15-ը ինչպես Phase 1-ի, այնպես էլ Phase 2-ի DH խմբերի ցանկերում։ Այն երկու տեղերում ընդունելը նույնը չէ, ինչ երկու տեղերում պահանջելը, և դա ամենևին չի նշանակում, որ ձեր գործընկերը նկատի ուներ երկուսն էլ։
Phase 1-ը և Phase 2-ը բանակցում են տարբեր բաների շուրջ
Phase 1-ը կառուցում է IKE-ի անվտանգության ասոցիացիան՝ ինչպես են երկու դարպասները նույնականացնում իրենց, համաձայնում բանալիների շուրջ և պաշտպանում իրենց զրույցը։ Phase 2-ը կառուցում է CHILD SA-ն, որը կրում է ձեր իրական երթևեկությունը, և դրա բանալիների փոխանակումը կարող է լինել նոր, ոչ ժառանգված։
Հենց այս բաժանումն է պատճառը, որ կարևոր է, երբ գործընկերը խոսում է կատարյալ առաջ ընթացող գաղտնիության մասին։ PFS-ը Phase 2-ի հատկություն է, և Phase 1-ի ցանկում գտնվող խումբը այն չի ապահովում։ Հարցրեք, թե որ փոխանակությանն է վերաբերում յուրաքանչյուր պահանջը, ինչպես նաև գաղտնագրման եղանակը, արդյոք ամբողջականությունն ապահովում է AEAD գաղտնագիրը, և բանալիների նորացման սպասումները երկու կողմերում։
AES բառից կամ մեկ DH թվից չհանգեք ամբողջական ընդունելի հավաքածու։ Երկու զրույցի երկու կեսերից հավաքված քաղաքականությունն այն ճանապարհն է, որով թունելը վերջում առաջարկում է մի բան, որի հետ ոչ մի թիմ չի համաձայնել։
Թույլատրված ցանկը բանակցության արդյունք չէ
Ընտրանքների ցանկերը նկարագրում են, թե յուրաքանչյուր կողմ ինչն է պատրաստ ընդունել։ Դրանք չեն հաղորդում, թե ինչ է ընտրվել։ Կարդացեք նոր կապի համար իրականում ընտրված IKE և CHILD-SA առաջարկները, ապա հաստատեք, որ պահանջը կատարված է, ոչ թե պարզապես թույլատրված։ Ցանկում եղած ուժեղ ընտրանքը միայն ապացուցում է, որ այն հասանելի է եղել։
Հետևեք նաև նորացմանը։ Առաջին IKEv2 CHILD SA-ն և ավելի ուշ PFS կրող CHILD փոխանակությունը կարող են բացահայտել տարբեր համատեղելիության պայմաններ, քանի որ երկրորդ փոխանակությունը ստեղծում է թարմ բանալիային նյութ՝ PFS խմբի մասնակցությամբ։ Եթե ձեր ընդունման թեստը ծածկում է թունելի միայն առաջին րոպեն, ապա այն չի ստուգել այն մասը, որով մտահոգված է ձեր գործընկերը։
AWS-ի թունելի ընտրանքների տեղեկագիրքը առանձին է թվարկում Phase 1-ը և Phase 2-ը, և հենց այս կառուցվածքն արժե յուրացնել մինչև հաջորդ պահանջի գալը։
Փոխեք այն թունելը, որը իսկապես նկատի ունեք
Site-to-Site VPN կապն ունի երկու թունել՝ իրենց ընտրանքներով և իրենց վիճակով։ Նախքան ինչ-որ բան վերանայելը կամ խմբագրելը, համապատասխանեցրեք AWS թունելի արտաքին հասցեն հաճախորդի դարպասի կողմի զուգընկերոջը և չենթադրեք, որ մեկ պահպանումը թարմացնում է երկուսին էլ։
Հաստատված փոփոխությունը պահանջում է, որ հաճախորդի դարպասի կողմը պատրաստ լինի նույն քաղաքականությանը, և պատուհան՝ այն ընդհատման համար, որը կկրի ընտրված թունելը։ Եթե զուգընկերը պատրաստ չէ 15-րդ խմբին այն փուլում, որը դուք փոխում եք, թունելը պարզապես կդադարի բարձրանալ, և կոնսոլը ձեզ չի ասի, թե որ կողմը մերժեց։
Գրանցեք համաձայնեցված քաղաքականությունը որպես փուլ, արձանագրության տարբերակ, գաղտնագրում, ամբողջականություն և DH խումբ, ապա հաստատեք այն փոխանակություններում, որոնք այն պետք է պաշտպանի։ Երթուղավորումը, երթևեկության ընտրիչները և հավելվածների թույլտվությունները մնում են առանձին, և այս քարտեզագրումը լիարժեք դարպասի կարգավորում չէ, այլև խորհուրդ չէ բազմազանության համար լրացուցիչ ալգորիթմներ միացնելու մասին։