MODP3072 AWS Site-to-Site VPN ішінде қайда орналасады
MODP3072 — IANA-ның 15-ші тобы, бірақ топ фазаға жатады. Туннельді өңдеуден бұрын талапты Phase 1 немесе Phase 2 DH тізімдерімен байланыстырыңыз.
Біреу сізге IKEv2, ESP және MODP3072 жазылған талап жібереді, ал консольде бұл атпен өріс жоқ. Қате — осындай өрісті іздей бастау. IKEv2 — келіссөз нұсқасы, ESP — қорғалған трафигіңізді тасымалдайтын протокол, ал MODP3072 — кілт алмасу тобы, яғни IANA-ның 15-ші тобы. Бұл үш факт үш түрлі жерде тұрады, ал топ екі рет көрінеді.
Бұл сөйлем бір параметр емес
Бірдеңеге тиіспес бұрын талапты опциялар тізіміне айналдырыңыз. Төмендегі кесте — толық сәйкестік.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 — 15-ші топ, және AWS қазір 15-ті Phase 1 мен Phase 2 DH топтарының тізімдерінде де қабылдайды. Оны екі жерде де қабылдау екі жерде де талап етумен бірдей емес, және бұл серіктесіңіз екеуін де меңзеген дегенді мүлде білдірмейді.
Phase 1 мен Phase 2 әртүрлі нәрселер туралы келіседі
Phase 1 IKE қауіпсіздік ассоциациясын құрады: екі шлюздің бір-бірін қалай аутентификациялайтыны, кілттер туралы қалай келісетіні және өз әңгімесін қалай қорғайтыны. Phase 2 нақты трафигіңізді тасымалдайтын CHILD SA құрады, және оның кілт алмасуы мұрагерлік емес, жаңа болуы мүмкін.
Дәл осы бөліну серіктес толық алға бағытталған құпиялылық туралы айтқанда маңызды болуының себебі. PFS — Phase 2 қасиеті, ал Phase 1 тізіміндегі топ оны қамтамасыз етпейді. Әр талап қай алмасуға қатысты екенін, шифрлау режимін, тұтастықты AEAD шифры қамтамасыз ете ме, және екі жақтағы кілтті жаңарту күтулерін сұраңыз.
AES сөзінен немесе бір DH санынан толық қолайлы жиынтық шығармаңыз. Екі әңгіменің екі жартысынан құралған саясат — туннельдің ешбір команда келіспеген нәрсені ұсынуының жолы.
Рұқсат етілген тізім келіссөз нәтижесі емес
Опциялар тізімі әр тараптың нені қабылдауға дайын екенін сипаттайды. Олар не таңдалғанын хабарламайды. Жаңа қосылым үшін нақты таңдалған IKE және CHILD-SA ұсыныстарын оқыңыз, содан кейін талаптың тек рұқсат етілгенін емес, орындалғанын растаңыз. Тізімдегі күшті опция оның қолжетімді болғанын ғана дәлелдейді.
Жаңартуға да назар аударыңыз. Бірінші IKEv2 CHILD SA мен кейінгі PFS бар CHILD алмасуы әртүрлі үйлесімділік шарттарын ашуы мүмкін, өйткені екінші алмасу PFS тобының қатысуымен жаңа кілт материалын жасайды. Егер қабылдау тестіңіз туннельдің тек бірінші минутын қамтыса, ол серіктесіңізге маңызды бөлікті тексермеген.
AWS туннель параметрлерінің анықтамасы Phase 1 мен Phase 2-ні бөлек тізеді, және келесі талап келмес бұрын дәл осы құрылымды меңгеру керек.
Шынымен көздеп отырған туннельді өзгертіңіз
Site-to-Site VPN қосылымының өз опциялары мен өз күйі бар екі туннелі болады. Бірдеңені қарап шығу немесе өңдеу алдында AWS туннелінің сыртқы мекенжайын тұтынушы шлюзі жағындағы серіктеспен сәйкестендіріңіз және бір сақтау екеуін де жаңартады деп ойламаңыз.
Бекітілген өзгеріс тұтынушы шлюзі жағының сол саясатқа дайын болуын және таңдалған туннель алатын үзіліс үшін терезе қажет етеді. Егер серіктес сіз өзгертіп жатқан фазада 15-ші топқа дайын болмаса, туннель жай ғана көтерілуді тоқтатады, және консоль қай жақ бас тартқанын айтпайды.
Келісілген саясатты фаза, протокол нұсқасы, шифрлау, тұтастық және DH тобы ретінде жазып алыңыз, содан кейін ол қорғауға тиіс алмасуларда растаңыз. Маршруттау, трафик селекторлары және қолданба рұқсаттары бөлек қалады; бұл сәйкестендіру толық шлюз конфигурациясы емес және әртүрлілік үшін қосымша алгоритмдерді қосуға ұсыныс та емес.