Hvar MODP3072 á heima í AWS Site-to-Site VPN
MODP3072 er IANA-hópur 15, en hópurinn tilheyrir fasa. Varpaðu kröfunni á DH-lista Phase 1 eða Phase 2 áður en þú breytir tunnu.
Einhver sendir þér kröfu þar sem stendur IKEv2, ESP og MODP3072, og stjórnborðið hefur ekkert svæði með því nafni. Villan er að fara að leita að slíku svæði. IKEv2 er samningaútgáfa, ESP er samskiptareglan sem ber verndaða umferðina þína, og MODP3072 er lykilaskiptahópur, það er IANA-hópur 15. Þessar þrjár staðreyndir búa á þremur mismunandi stöðum, og hópurinn birtist tvisvar.
Setningin er ekki ein stilling
Umbreyttu kröfunni í valmöguleikalista áður en þú snertir nokkuð. Taflan hér að neðan er öll vörpunin.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 er hópur 15, og AWS samþykkir nú 15 í bæði Phase 1 og Phase 2 DH-hópalistunum. Að samþykkja hann á báðum stöðum er ekki það sama og að krefjast hans á báðum stöðum, og það þýðir alls ekki að félagi þinn hafi átt við bæði.
Phase 1 og Phase 2 semja um mismunandi hluti
Phase 1 byggir IKE-öryggistengingu: hvernig gáttirnar tvær sannreyna sig, semja um lykla og vernda eigið samtal. Phase 2 byggir CHILD SA sem ber raunverulega umferðina þína, og lykilaskipti þess geta verið ný í stað arfgengra.
Þessi skipting er ástæðan fyrir því að máli skiptir þegar félagi talar um fullkomna framvirka leynd. PFS er eiginleiki Phase 2, og hópur á Phase 1-listanum veitir hann ekki. Spyrðu hvaða skipti hver krafa á við, ásamt dulkóðununarham, hvort AEAD-dulkóðun veiti heilleika og hverjar væntingar um endurnýjun lykla eru á báðum hliðum.
Ekki álykta fullkomið ásættanlegt sett af orðinu AES eða einni DH-tölu. Stefna sem er sett saman úr tveimur hálfum tveggja samtala er leiðin sem tunna endar á að leggja til eitthvað sem ekkert lið samþykkti.
Leyfður listi er ekki niðurstaða samninga
Valmöguleikalistarnir lýsa því sem hvort hlið er tilbúið að samþykkja. Þeir greina ekki frá því sem var valið. Lestu raunverulega valdar IKE- og CHILD-SA-tillögur fyrir nýja tengingu og staðfestu síðan að krafan sé uppfyllt en ekki bara leyfð. Sterkur valmöguleiki á lista sannar aðeins að hann hafi verið í boði.
Fylgstu líka með endurnýjuninni. Fyrsta IKEv2 CHILD SA og síðara CHILD-skipti sem ber PFS geta sýnt mismunandi samhæfisskilyrði, því síðara skiptin búa til nýtt lyklaefni með PFS-hópnum. Ef samþykktarprófið þitt nær aðeins yfir fyrstu mínútu tunnu hefur það ekki prófað þann hluta sem félaga þínum þykir vænt um.
AWS-tilvísunin um valkosti tunnu telur Phase 1 og Phase 2 upp sér, og það er uppbyggingin sem er þess virði að tileinka sér áður en næsta krafa berst.
Breyttu þeirri tunnu sem þú átt virkilega við
Site-to-Site VPN-tenging hefur tvær tunnur með eigin valkostum og eigin stöðu. Áður en þú ferir yfir eða breytir einhverju, passaðu ytra vistfang AWS-tunnunnar við jafningjann á hlið viðskiptavinagáttarinnar og gerðu ekki ráð fyrir að ein vistun uppfæri bæði.
Samþykkt breyting krefst þess að hlið viðskiptavinagáttarinnar sé undirbúin fyrir sömu stefnu og glugga fyrir þá truflun sem valin tunna mun hafa í för með sér. Ef jafninginn er ekki reiðubúinn fyrir hóp 15 í þeim fasa sem þú ert að breyta mun tunnan einfaldlega hætta að koma upp, og stjórnborðið segir þér ekki hvaða hlið neitaði.
Skráðu samþykktu stefnuna sem fasa, samskiptaregluútgáfu, dulkóðun, heilleika og DH-hóp og staðfestu hana síðan í þeim skiptum sem hún á að vernda. Leiðsögn, umferðarvalar og heimildir forrita haldast aðskilin; þessi vörpun er ekki full gáttarstilling og er ekki tillaga um að virkja aukaalgrím til fjölbreytni.