სად ხვდება MODP3072 AWS Site-to-Site VPN-ში
MODP3072 არის IANA-ს 15-ე ჯგუფი, მაგრამ ჯგუფი ფაზას ეკუთვნის. სანამ გვირაბს შეცვლით, მოთხოვნა Phase 1 ან Phase 2-ის DH სიებს დაუკავშირეთ.
ვიღაც გიგზავნით მოთხოვნას, რომელშიც წერია IKEv2, ESP და MODP3072, ხოლო კონსოლში ამ სახელის ველი არ არის. შეცდომაა, დაიწყოთ ასეთი ველის ძებნა. IKEv2 მოლაპარაკების ვერსიაა, ESP არის პროტოკოლი, რომელიც თქვენს დაცულ ტრაფიკს გადააქვს, ხოლო MODP3072 გასაღების გაცვლის ჯგუფია, ანუ IANA-ს 15-ე ჯგუფი. ეს სამი ფაქტი სამ სხვადასხვა ადგილას ცხოვრობს, და ჯგუფი ორჯერ ჩნდება.
ეს ფრაზა ერთი პარამეტრი არ არის
სანამ რამეს შეეხებით, მოთხოვნა ვარიანტების სიებად გადააქციეთ. ქვემოთ მოცემული ცხრილი მთელი შესაბამისობაა.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 15-ე ჯგუფია, და AWS ამჟამად 15-ს იღებს როგორც Phase 1-ის, ისე Phase 2-ის DH ჯგუფების სიებში. მისი ორივე ადგილას მიღება არ არის იგივე, რაც ორივე ადგილას მოთხოვნა, და ეს რა თქმა უნდა არ ნიშნავს, რომ თქვენს პარტნიორს ორივე ჰქონდა მხედველობაში.
Phase 1 და Phase 2 სხვადასხვა რამეზე მოლაპარაკობენ
Phase 1 აშენებს IKE-ის უსაფრთხოების ასოციაციას: როგორ ამოწმებენ ორი კარიბჭე ერთმანეთს, როგორ თანხმდებიან გასაღებებზე და როგორ იცავენ საკუთარ საუბარს. Phase 2 აშენებს CHILD SA-ს, რომელიც თქვენს რეალურ ტრაფიკს გადააქვს, და მისი გასაღების გაცვლა შეიძლება იყოს ახალი და არა მემკვიდრეობითი.
სწორედ ეს გაყოფაა მიზეზი, რატომაც მნიშვნელოვანია, როცა პარტნიორი სრულ წინმსწრებ საიდუმლოებაზე საუბრობს. PFS Phase 2-ის თვისებაა, და Phase 1-ის სიაში მყოფი ჯგუფი მას არ უზრუნველყოფს. იკითხეთ, რომელ გაცვლას ეხება თითოეული მოთხოვნა, ასევე დაშიფვრის რეჟიმი, ხომ არ უზრუნველყოფს მთლიანობას AEAD შიფრი და რა მოლოდინებია გასაღების განახლებაზე ორივე მხარეს.
არ გამოიტანოთ სრული მისაღები ნაკრები AES სიტყვიდან ან ერთი DH რიცხვიდან. ორი საუბრის ორი ნახევრისგან შეკრებილი პოლიტიკა ის გზაა, რომლითაც გვირაბი საბოლოოდ სთავაზობს იმას, რაზეც არც ერთი გუნდი არ შეთანხმებულა.
ნებადართული სია მოლაპარაკების შედეგი არ არის
ვარიანტების სიები აღწერენ, რისი მიღებაც თითოეულ მხარეს შეუძლია. ისინი არ იტყობინებიან, რა აირჩიეს. წაიკითხეთ ახალი კავშირისთვის რეალურად შერჩეული IKE და CHILD-SA შეთავაზებები, შემდეგ დაადასტურეთ, რომ მოთხოვნა შესრულებულია და არა უბრალოდ ნებადართული. სიაში მყოფი ძლიერი ვარიანტი მხოლოდ იმას ამტკიცებს, რომ ის ხელმისაწვდომი იყო.
თვალი ადევნეთ განახლებასაც. პირველი IKEv2 CHILD SA და მოგვიანებით PFS-ის მქონე CHILD გაცვლა შეიძლება განსხვავებული თავსებადობის პირობები გამოავლინოს, რადგან მეორე გაცვლა ახალ გასაღების მასალას ქმნის PFS ჯგუფის მონაწილეობით. თუ თქვენი მიღების ტესტი გვირაბის მხოლოდ პირველ წუთს ფარავს, მან ის ნაწილი არ შეამოწმა, რაც თქვენს პარტნიორს ადარდებს.
AWS-ის გვირაბის პარამეტრების ცნობარი Phase 1-ს და Phase 2-ს ცალ-ცალკე ჩამოთვლის, და სწორედ ეს სტრუქტურა ღირს შეთვისებად სანამ შემდეგი მოთხოვნა მოვა.
შეცვალეთ ის გვირაბი, რომელიც ნამდვილად გულისხმობთ
Site-to-Site VPN კავშირს ორი გვირაბი აქვს, თავისი პარამეტრებით და თავისი მდგომარეობით. სანამ რამეს გადახედავთ ან შეცვლით, AWS გვირაბის გარე მისამართი შეუსაბამეთ მომხმარებლის კარიბჭის მხარეს მდებარე პარტნიორს და არ ჩათვალოთ, რომ ერთი შენახვა ორივეს განაახლებს.
დამტკიცებული ცვლილება მოითხოვს, რომ მომხმარებლის კარიბჭის მხარე იმავე პოლიტიკისთვის მზად იყოს, და ფანჯარა იმ შეფერხებისთვის, რომელსაც არჩეული გვირაბი მიიღებს. თუ პარტნიორი მზად არ არის 15-ე ჯგუფისთვის იმ ფაზაში, რომელსაც ცვლით, გვირაბი უბრალოდ შეწყვეტს აწევას, და კონსოლი არ გეტყვით, რომელმა მხარემ თქვა უარი.
ჩაწერეთ შეთანხმებული პოლიტიკა ფაზად, პროტოკოლის ვერსიად, დაშიფვრად, მთლიანობად და DH ჯგუფად, შემდეგ დაადასტურეთ იმ გაცვლებში, რომლებიც მან უნდა დაიცვას. მარშრუტიზაცია, ტრაფიკის სელექტორები და აპლიკაციის ნებართვები ცალკე რჩება; ეს შესაბამისობა სრული კარიბჭის კონფიგურაცია არ არის და არც რეკომენდაციაა მრავალფეროვნებისთვის დამატებითი ალგორითმების ჩასართავად.