Dove si colloca MODP3072 in una VPN Site-to-Site AWS
MODP3072 è il gruppo 15 di IANA, ma il gruppo appartiene a una fase. Mappa il requisito sugli elenchi DH di Phase 1 o Phase 2 prima di modificare un tunnel.
Qualcuno ti invia un requisito che dice IKEv2, ESP e MODP3072, e la console non ha alcun campo con quel nome. L'errore è mettersi a cercarne uno. IKEv2 è una versione di negoziazione, ESP è il protocollo che trasporta il traffico protetto, e MODP3072 è un gruppo di scambio chiavi, cioè il gruppo 15 di IANA. Questi tre fatti vivono in tre posti diversi, e il gruppo compare due volte.
La frase non è un'impostazione unica
Converti il requisito in elenchi di opzioni prima di toccare qualsiasi cosa. La tabella qui sotto è tutta la mappatura.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 è il gruppo 15, e AWS accetta attualmente 15 sia nell'elenco dei gruppi DH di Phase 1 sia in quello di Phase 2. Accettarlo in entrambi i punti non equivale a richiederlo in entrambi, e di certo non significa che il tuo partner intendesse entrambi.
Phase 1 e Phase 2 negoziano cose diverse
Phase 1 costruisce l'associazione di sicurezza IKE: come i due gateway si autenticano, concordano le chiavi e proteggono la propria conversazione. Phase 2 costruisce la CHILD SA che trasporta il traffico reale, e il suo scambio di chiavi può essere nuovo invece che ereditato.
È questa separazione che rende importante ciò che dice un partner sulla riservatezza in avanti perfetta. PFS è una proprietà di Phase 2, e un gruppo nell'elenco di Phase 1 non la fornisce. Chiedi a quale scambio si applica ogni requisito, insieme alla modalità di cifratura, se l'integrità è fornita da un cifrario AEAD e quali sono le attese di rinnovo delle chiavi su entrambi i lati.
Non dedurre una suite accettabile completa dalla parola AES né da un solo numero DH. Una politica messa insieme con due metà di due conversazioni è il modo in cui un tunnel finisce per proporre qualcosa che nessuno dei due team ha accettato.
Un elenco consentito non è un risultato di negoziazione
Gli elenchi di opzioni descrivono ciò che ciascun lato è disposto ad accettare. Non riportano ciò che è stato scelto. Leggi le proposte IKE e CHILD-SA realmente selezionate per una nuova connessione, poi conferma che il requisito è soddisfatto e non solo consentito. Un'opzione forte in un elenco dimostra solo che era disponibile.
Osserva anche il rinnovo. La prima CHILD SA IKEv2 e un successivo scambio CHILD con PFS possono mostrare condizioni di compatibilità diverse, perché il secondo scambio crea materiale di chiave nuovo con il gruppo PFS in gioco. Se il test di accettazione copre solo il primo minuto di un tunnel, non ha provato la parte che interessa al tuo partner.
Il riferimento alle opzioni del tunnel AWS elenca Phase 1 e Phase 2 separatamente, ed è la struttura che vale la pena interiorizzare prima che arrivi il requisito successivo.
Modifica il tunnel che intendi davvero
Una connessione VPN Site-to-Site ha due tunnel con le proprie opzioni e il proprio stato. Prima di rivedere o modificare qualsiasi cosa, fai corrispondere l'indirizzo esterno del tunnel AWS al peer lato gateway del cliente e non dare per scontato che un solo salvataggio aggiorni entrambi.
Una modifica approvata richiede che il lato gateway del cliente sia preparato alla stessa politica e una finestra per l'interruzione che il tunnel scelto comporterà. Se il peer non è pronto per il gruppo 15 nella fase che stai modificando, il tunnel semplicemente smetterà di salire, e la console non ti dirà quale lato ha rifiutato.
Registra la politica concordata come fase, versione di protocollo, cifratura, integrità e gruppo DH, poi confermala agli scambi che dovrebbe proteggere. Instradamento, selettori di traffico e autorizzazioni delle applicazioni restano separati; questa mappatura non è una configurazione completa del gateway e non è un consiglio di abilitare algoritmi aggiuntivi per varietà.