Di mana MODP3072 berada dalam AWS Site-to-Site VPN
MODP3072 adalah grup 15 IANA, tetapi grup itu milik sebuah fase. Petakan persyaratan ke daftar DH Phase 1 atau Phase 2 sebelum menyunting tunnel.
Seseorang mengirimi Anda persyaratan yang menyebut IKEv2, ESP, dan MODP3072, sementara konsol tidak punya kolom dengan nama itu. Kesalahannya adalah mulai mencari kolom semacam itu. IKEv2 adalah versi negosiasi, ESP adalah protokol yang membawa lalu lintas terlindungi Anda, dan MODP3072 adalah grup pertukaran kunci, yaitu grup 15 IANA. Ketiga fakta itu berada di tiga tempat berbeda, dan grup tersebut muncul dua kali.
Frasa itu bukan satu pengaturan
Ubah persyaratan menjadi daftar opsi sebelum menyentuh apa pun. Tabel di bawah adalah seluruh pemetaannya.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 adalah grup 15, dan AWS saat ini menerima 15 di daftar grup DH Phase 1 maupun Phase 2. Menerimanya di kedua tempat tidak sama dengan mewajibkannya di kedua tempat, dan itu jelas tidak berarti mitra Anda memaksudkan keduanya.
Phase 1 dan Phase 2 menegosiasikan hal yang berbeda
Phase 1 membangun asosiasi keamanan IKE: bagaimana kedua gateway saling mengautentikasi, menyepakati kunci, dan melindungi percakapan mereka sendiri. Phase 2 membangun CHILD SA yang membawa lalu lintas Anda yang sebenarnya, dan pertukaran kuncinya bisa baru, bukan warisan.
Pemisahan itulah sebabnya penting ketika mitra berbicara tentang kerahasiaan maju sempurna. PFS adalah properti Phase 2, dan grup di daftar Phase 1 tidak menyediakannya. Tanyakan pertukaran mana yang berlaku untuk setiap persyaratan, bersama mode enkripsi, apakah integritas disediakan oleh cipher AEAD, dan ekspektasi pembaruan kunci di kedua sisi.
Jangan menyimpulkan rangkaian yang dapat diterima secara lengkap dari kata AES atau dari satu angka DH. Kebijakan yang dirakit dari dua paruh dua percakapan adalah cara sebuah tunnel akhirnya mengusulkan sesuatu yang tidak disetujui tim mana pun.
Daftar yang diizinkan bukan hasil negosiasi
Daftar opsi menjelaskan apa yang bersedia diterima masing-masing pihak. Daftar itu tidak melaporkan apa yang dipilih. Baca proposal IKE dan CHILD-SA yang benar-benar dipilih untuk koneksi baru, lalu pastikan persyaratan terpenuhi, bukan sekadar diizinkan. Opsi kuat di dalam daftar hanya membuktikan bahwa opsi itu tersedia.
Perhatikan juga pembaruannya. CHILD SA IKEv2 pertama dan pertukaran CHILD berikutnya yang membawa PFS dapat memperlihatkan kondisi kompatibilitas berbeda, karena pertukaran kedua membuat materi kunci baru dengan grup PFS yang berperan. Jika uji penerimaan Anda hanya mencakup menit pertama sebuah tunnel, uji itu belum menguji bagian yang penting bagi mitra Anda.
Referensi opsi tunnel AWS mencantumkan Phase 1 dan Phase 2 secara terpisah, dan itulah struktur yang layak diinternalisasi sebelum persyaratan berikutnya datang.
Ubah tunnel yang benar-benar Anda maksud
Koneksi VPN Site-to-Site punya dua tunnel dengan opsi dan statusnya sendiri. Sebelum meninjau atau menyunting apa pun, cocokkan alamat luar tunnel AWS dengan peer di sisi gateway pelanggan dan jangan berasumsi satu penyimpanan memperbarui keduanya.
Perubahan yang disetujui membutuhkan sisi gateway pelanggan yang siap untuk kebijakan yang sama dan jendela untuk gangguan yang akan diambil tunnel terpilih. Jika peer belum siap untuk grup 15 pada fase yang Anda ubah, tunnel akan berhenti naik, dan konsol tidak akan memberi tahu Anda pihak mana yang menolak.
Catat kebijakan yang disepakati sebagai fase, versi protokol, enkripsi, integritas, dan grup DH, lalu konfirmasikan pada pertukaran yang seharusnya dilindunginya. Perutean, pemilih lalu lintas, dan izin aplikasi tetap terpisah; pemetaan ini bukan konfigurasi gateway lengkap, dan bukan anjuran untuk mengaktifkan algoritme tambahan demi variasi.