AWS Site-to-Site VPN ನಲ್ಲಿ MODP3072 ಎಲ್ಲಿ ಸೇರುತ್ತದೆ
MODP3072 IANA ಯ 15ನೇ ಗುಂಪು, ಆದರೆ ಗುಂಪು ಒಂದು ಹಂತಕ್ಕೆ ಸೇರಿದೆ. ಟನೆಲ್ ಸಂಪಾದಿಸುವ ಮೊದಲು ಅಗತ್ಯವನ್ನು Phase 1 ಅಥವಾ Phase 2 DH ಪಟ್ಟಿಗಳಿಗೆ ಹೊಂದಿಸಿ.
ಯಾರೋ ನಿಮಗೆ IKEv2, ESP ಮತ್ತು MODP3072 ಎಂದು ಬರೆದ ಅಗತ್ಯವನ್ನು ಕಳುಹಿಸುತ್ತಾರೆ, ಆದರೆ ಕನ್ಸೋಲಿನಲ್ಲಿ ಆ ಹೆಸರಿನ ಕ್ಷೇತ್ರವಿಲ್ಲ. ಅಂತಹ ಕ್ಷೇತ್ರವನ್ನು ಹುಡುಕಲು ಹೋಗುವುದೇ ತಪ್ಪು. IKEv2 ಮಾತುಕತೆಯ ಆವೃತ್ತಿ, ESP ನಿಮ್ಮ ಸಂರಕ್ಷಿತ ಸಂಚಾರವನ್ನು ಸಾಗಿಸುವ ಪ್ರೋಟೋಕಾಲ್, ಮತ್ತು MODP3072 ಕೀಲಿ ವಿನಿಮಯ ಗುಂಪು, ಅಂದರೆ IANA ಯ 15ನೇ ಗುಂಪು. ಈ ಮೂರು ಸಂಗತಿಗಳು ಮೂರು ಬೇರೆ ಬೇರೆ ಸ್ಥಳಗಳಲ್ಲಿ ಇರುತ್ತವೆ, ಮತ್ತು ಗುಂಪು ಎರಡು ಬಾರಿ ಕಾಣಿಸುತ್ತದೆ.
ಆ ವಾಕ್ಯ ಒಂದೇ ಸೆಟ್ಟಿಂಗ್ ಅಲ್ಲ
ಏನನ್ನೂ ಮುಟ್ಟುವ ಮೊದಲು ಅಗತ್ಯವನ್ನು ಆಯ್ಕೆ ಪಟ್ಟಿಗಳಾಗಿ ಪರಿವರ್ತಿಸಿ. ಕೆಳಗಿನ ಕೋಷ್ಟಕವೇ ಪೂರ್ಣ ಹೊಂದಾಣಿಕೆ.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 15ನೇ ಗುಂಪು, ಮತ್ತು AWS ಪ್ರಸ್ತುತ Phase 1 ಹಾಗೂ Phase 2 ಎರಡರ DH ಗುಂಪು ಪಟ್ಟಿಗಳಲ್ಲೂ 15 ಅನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ. ಎರಡೂ ಕಡೆ ಸ್ವೀಕರಿಸುವುದು ಎರಡೂ ಕಡೆ ಕಡ್ಡಾಯ ಮಾಡುವುದಕ್ಕೆ ಸಮಾನವಲ್ಲ, ಮತ್ತು ನಿಮ್ಮ ಪಾಲುದಾರರು ಎರಡನ್ನೂ ಉದ್ದೇಶಿಸಿದ್ದರು ಎಂದು ಅದು ಖಂಡಿತವಾಗಿಯೂ ಅರ್ಥವಲ್ಲ.
Phase 1 ಮತ್ತು Phase 2 ಬೇರೆ ಬೇರೆ ವಿಷಯಗಳ ಬಗ್ಗೆ ಮಾತುಕತೆ ನಡೆಸುತ್ತವೆ
Phase 1 IKE ಭದ್ರತಾ ಸಂಘವನ್ನು ನಿರ್ಮಿಸುತ್ತದೆ: ಎರಡು ಗೇಟ್ವೇಗಳು ಹೇಗೆ ದೃಢೀಕರಿಸಿಕೊಳ್ಳುತ್ತವೆ, ಕೀಲಿಗಳ ಬಗ್ಗೆ ಒಪ್ಪುತ್ತವೆ ಮತ್ತು ತಮ್ಮದೇ ಸಂಭಾಷಣೆಯನ್ನು ರಕ್ಷಿಸುತ್ತವೆ. Phase 2 ನಿಮ್ಮ ನಿಜವಾದ ಸಂಚಾರವನ್ನು ಸಾಗಿಸುವ CHILD SA ಅನ್ನು ನಿರ್ಮಿಸುತ್ತದೆ, ಮತ್ತು ಅದರ ಕೀಲಿ ವಿನಿಮಯ ಪಡೆದದ್ದಲ್ಲ, ಹೊಸದಾಗಿರಬಹುದು.
ಈ ವಿಭಜನೆಯಿಂದಲೇ ಪಾಲುದಾರರು ಪೂರ್ಣ ಮುಂದಕ್ಕಿನ ಗೋಪ್ಯತೆಯ ಬಗ್ಗೆ ಮಾತನಾಡುವಾಗ ಅದು ಮುಖ್ಯವಾಗುತ್ತದೆ. PFS Phase 2 ನ ಗುಣ, ಮತ್ತು Phase 1 ಪಟ್ಟಿಯಲ್ಲಿನ ಗುಂಪು ಅದನ್ನು ಒದಗಿಸುವುದಿಲ್ಲ. ಪ್ರತಿ ಅಗತ್ಯ ಯಾವ ವಿನಿಮಯಕ್ಕೆ ಅನ್ವಯವಾಗುತ್ತದೆ, ಜೊತೆಗೆ ಎನ್ಕ್ರಿಪ್ಷನ್ ಮೋಡ್, ಅಖಂಡತೆಯನ್ನು AEAD ಸೈಫರ್ ಒದಗಿಸುತ್ತದೆಯೇ ಮತ್ತು ಎರಡೂ ಕಡೆಗಳ ಕೀಲಿ ನವೀಕರಣದ ನಿರೀಕ್ಷೆಗಳನ್ನು ಕೇಳಿ.
AES ಪದದಿಂದ ಅಥವಾ ಒಂದು DH ಸಂಖ್ಯೆಯಿಂದ ಪೂರ್ಣ ಸ್ವೀಕಾರಾರ್ಹ ಗುಂಪನ್ನು ಊಹಿಸಬೇಡಿ. ಎರಡು ಸಂಭಾಷಣೆಗಳ ಎರಡು ಅರ್ಧಗಳಿಂದ ಜೋಡಿಸಿದ ನೀತಿಯೇ ಟನೆಲ್ ಯಾವುದೇ ತಂಡ ಒಪ್ಪದಿರುವುದನ್ನು ಪ್ರಸ್ತಾಪಿಸುವ ದಾರಿ.
ಅನುಮತಿಸಿದ ಪಟ್ಟಿ ಮಾತುಕತೆಯ ಫಲಿತಾಂಶವಲ್ಲ
ಆಯ್ಕೆ ಪಟ್ಟಿಗಳು ಪ್ರತಿ ಬದಿಯು ಏನನ್ನು ಸ್ವೀಕರಿಸಲು ಸಿದ್ಧವಿದೆ ಎಂಬುದನ್ನು ವಿವರಿಸುತ್ತವೆ. ಏನನ್ನು ಆಯ್ಕೆ ಮಾಡಲಾಯಿತು ಎಂಬುದನ್ನು ಅವು ತಿಳಿಸುವುದಿಲ್ಲ. ಹೊಸ ಸಂಪರ್ಕಕ್ಕಾಗಿ ನಿಜವಾಗಿ ಆಯ್ಕೆಯಾದ IKE ಮತ್ತು CHILD-SA ಪ್ರಸ್ತಾವಗಳನ್ನು ಓದಿ, ನಂತರ ಅಗತ್ಯವು ಕೇವಲ ಅನುಮತಿಸಲ್ಪಟ್ಟದ್ದಲ್ಲ, ಪೂರೈಸಲ್ಪಟ್ಟಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಪಟ್ಟಿಯಲ್ಲಿರುವ ಬಲವಾದ ಆಯ್ಕೆ ಅದು ಲಭ್ಯವಿತ್ತು ಎಂಬುದನ್ನು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.
ನವೀಕರಣವನ್ನೂ ಗಮನಿಸಿ. ಮೊದಲ IKEv2 CHILD SA ಮತ್ತು ನಂತರದ PFS ಇರುವ CHILD ವಿನಿಮಯವು ಬೇರೆ ಬೇರೆ ಹೊಂದಾಣಿಕೆಯ ಷರತ್ತುಗಳನ್ನು ತೋರಿಸಬಹುದು, ಏಕೆಂದರೆ ಎರಡನೇ ವಿನಿಮಯವು PFS ಗುಂಪಿನೊಂದಿಗೆ ಹೊಸ ಕೀಲಿ ಸಾಮಗ್ರಿಯನ್ನು ರಚಿಸುತ್ತದೆ. ನಿಮ್ಮ ಸ್ವೀಕೃತಿ ಪರೀಕ್ಷೆ ಟನೆಲ್ನ ಮೊದಲ ನಿಮಿಷವನ್ನು ಮಾತ್ರ ಒಳಗೊಂಡರೆ, ಅದು ನಿಮ್ಮ ಪಾಲುದಾರರಿಗೆ ಮುಖ್ಯವಾದ ಭಾಗವನ್ನು ಪರೀಕ್ಷಿಸಿಲ್ಲ.
AWS ಟನೆಲ್ ಆಯ್ಕೆಗಳ ಉಲ್ಲೇಖ Phase 1 ಮತ್ತು Phase 2 ಅನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಮುಂದಿನ ಅಗತ್ಯ ಬರುವ ಮೊದಲು ಈ ರಚನೆಯನ್ನು ಅಳವಡಿಸಿಕೊಳ್ಳುವುದು ಯೋಗ್ಯ.
ನಿಜವಾಗಿ ಉದ್ದೇಶಿಸಿರುವ ಟನೆಲ್ ಅನ್ನೇ ಬದಲಿಸಿ
Site-to-Site VPN ಸಂಪರ್ಕದಲ್ಲಿ ತಮ್ಮದೇ ಆಯ್ಕೆಗಳು ಮತ್ತು ತಮ್ಮದೇ ಸ್ಥಿತಿ ಇರುವ ಎರಡು ಟನೆಲ್ಗಳಿವೆ. ಏನನ್ನಾದರೂ ಪರಿಶೀಲಿಸುವ ಅಥವಾ ಸಂಪಾದಿಸುವ ಮೊದಲು AWS ಟನೆಲ್ನ ಹೊರಗಿನ ವಿಳಾಸವನ್ನು ಗ್ರಾಹಕ-ಗೇಟ್ವೇ ಬದಿಯ ಪೀರ್ಗೆ ಹೊಂದಿಸಿ, ಮತ್ತು ಒಂದು ಉಳಿಸುವಿಕೆ ಎರಡನ್ನೂ ನವೀಕರಿಸುತ್ತದೆ ಎಂದು ಭಾವಿಸಬೇಡಿ.
ಅನುಮೋದಿತ ಬದಲಾವಣೆಗೆ ಗ್ರಾಹಕ-ಗೇಟ್ವೇ ಬದಿಯನ್ನು ಅದೇ ನೀತಿಗೆ ಸಿದ್ಧಗೊಳಿಸುವುದು ಮತ್ತು ಆಯ್ಕೆಯಾದ ಟನೆಲ್ ತೆಗೆದುಕೊಳ್ಳುವ ಅಡಚಣೆಗೆ ಒಂದು ಅವಧಿ ಬೇಕು. ನೀವು ಬದಲಾಯಿಸುತ್ತಿರುವ ಹಂತದಲ್ಲಿ ಪೀರ್ 15ನೇ ಗುಂಪಿಗೆ ಸಿದ್ಧವಿಲ್ಲದಿದ್ದರೆ, ಟನೆಲ್ ಸುಮ್ಮನೆ ಮೇಲೆ ಬರುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ, ಮತ್ತು ಯಾವ ಬದಿ ನಿರಾಕರಿಸಿತು ಎಂದು ಕನ್ಸೋಲ್ ಹೇಳುವುದಿಲ್ಲ.
ಒಪ್ಪಿದ ನೀತಿಯನ್ನು ಹಂತ, ಪ್ರೋಟೋಕಾಲ್ ಆವೃತ್ತಿ, ಎನ್ಕ್ರಿಪ್ಷನ್, ಅಖಂಡತೆ ಮತ್ತು DH ಗುಂಪಾಗಿ ದಾಖಲಿಸಿ, ನಂತರ ಅದು ರಕ್ಷಿಸಬೇಕಾದ ವಿನಿಮಯಗಳಲ್ಲಿ ಅದನ್ನು ಖಚಿತಪಡಿಸಿ. ರೂಟಿಂಗ್, ಸಂಚಾರ ಆಯ್ಕೆಕಾರರು ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಅನುಮತಿಗಳು ಪ್ರತ್ಯೇಕವಾಗಿ ಉಳಿಯುತ್ತವೆ; ಈ ಮ್ಯಾಪಿಂಗ್ ಪೂರ್ಣ ಗೇಟ್ವೇ ಸಂರಚನೆಯಲ್ಲ, ಮತ್ತು ವೈವಿಧ್ಯಕ್ಕಾಗಿ ಹೆಚ್ಚುವರಿ ಅಲ್ಗಾರಿದಮ್ಗಳನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವ ಶಿಫಾರಸೂ ಅಲ್ಲ.