MODP3072 AWS Site-to-Site VPN ичинде кайда турат
MODP3072 — IANAнын 15-тобу, бирок топ фазага таандык. Туннелди оңдоодон мурун талапты Phase 1 же Phase 2 DH тизмелерине байланыштырыңыз.
Бирөө сизге IKEv2, ESP жана MODP3072 деп жазылган талап жөнөтөт, ал эми консолдо ушундай аталыштагы талаа жок. Ката — ушундай талааны издеп баштоо. IKEv2 — сүйлөшүү версиясы, ESP — корголгон трафигиңизди ташыган протокол, ал эми MODP3072 — ачкыч алмашуу тобу, башкача айтканда IANAнын 15-тобу. Бул үч факт үч башка жерде жашайт, ал эми топ эки жолу көрүнөт.
Бул сүйлөм бир параметр эмес
Бир нерсеге тийүүдөн мурун талапты параметрлер тизмесине айландырыңыз. Төмөнкү таблица — толук дал келүү.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 — 15-топ, жана AWS азыр 15ти Phase 1 жана Phase 2 DH топторунун тизмелеринде тең кабыл алат. Аны эки жерде тең кабыл алуу эки жерде тең талап кылуу менен бирдей эмес, жана бул өнөктөшүңүз экөөнү тең көздөгөн дегенди такыр билдирбейт.
Phase 1 жана Phase 2 ар башка нерселер боюнча сүйлөшөт
Phase 1 IKE коопсуздук ассоциациясын курат: эки шлюз бири-бирин кантип аутентификациялайт, ачкычтар боюнча кантип макулдашат жана өз сүйлөшүүсүн кантип коргойт. Phase 2 сиздин чыныгы трафигиңизди ташыган CHILD SAны курат, жана анын ачкыч алмашуусу мураскер эмес, жаңы болушу мүмкүн.
Ушул бөлүнүү өнөктөш толук алдыга багытталган купуялуулук жөнүндө айтканда эмне үчүн маанилүү экенин түшүндүрөт. PFS — Phase 2нин касиети, ал эми Phase 1 тизмесиндеги топ аны камсыз кылбайт. Ар бир талап кайсы алмашууга тиешелүү экенин, шифрлөө режимин, бүтүндүктү AEAD шифри камсыз кылабы, жана эки тараптагы ачкычты жаңыртуу күтүүлөрүн сураңыз.
AES сөзүнөн же бир DH санынан толук жарактуу топтомду чыгарбаңыз. Эки сүйлөшүүнүн эки жарымынан куралган саясат — туннелдин эч бир команда макулдашпаган нерсени сунушташынын жолу.
Уруксат берилген тизме сүйлөшүүнүн жыйынтыгы эмес
Параметрлер тизмеси ар бир тарап эмнени кабыл алууга даяр экенин сүрөттөйт. Алар эмне тандалганын билдирбейт. Жаңы туташуу үчүн чындап тандалган IKE жана CHILD-SA сунуштарын окуңуз, андан кийин талаптын жөн гана уруксат берилгенин эмес, аткарылганын ырастаңыз. Тизмедеги күчтүү параметр анын жеткиликтүү болгонун гана далилдейт.
Жаңыртууга да көңүл буруңуз. Биринчи IKEv2 CHILD SA жана кийинки PFS бар CHILD алмашуусу ар башка шайкештик шарттарын ачып бериши мүмкүн, анткени экинчи алмашуу PFS тобунун катышуусу менен жаңы ачкыч материалын түзөт. Эгер кабыл алуу тестиңиз туннелдин биринчи мүнөтүн гана камтыса, ал өнөктөшүңүзгө маанилүү болгон бөлүгүн текшерген эмес.
AWS туннель параметрлеринин маалымдамасы Phase 1 жана Phase 2ни өз-өзүнчө тизет, жана кийинки талап келгенге чейин ушул түзүлүштү өздөштүрүү керек.
Чындап көздөп жаткан туннелди өзгөртүңүз
Site-to-Site VPN туташуусунун өз параметрлери жана өз абалы бар эки туннели болот. Бир нерсени карап чыгуудан же оңдоодон мурун AWS туннелинин тышкы дарегин кардар шлюзи тараптагы өнөктөш менен дал келтириңиз жана бир сактоо экөөнү тең жаңыртат деп ойлобоңуз.
Бекитилген өзгөртүү кардар шлюзи тарабынын ошол эле саясатка даяр болушун жана тандалган туннель ала турган тыныгуу үчүн терезе керек кылат. Эгер өнөктөш сиз өзгөртүп жаткан фазада 15-топко даяр болбосо, туннель жөн эле көтөрүлүүнү токтотот, жана консол кайсы тарап баш тартканын айтпайт.
Макулдашылган саясатты фаза, протокол версиясы, шифрлөө, бүтүндүк жана DH тобу катары жазып алыңыз, андан кийин ал коргоого тийиш болгон алмашууларда ырастаңыз. Маршруттоо, трафик селекторлору жана колдонмо уруксаттары өзүнчө калат; бул дал келтирүү толук шлюз конфигурациясы эмес жана ар түрдүүлүк үчүн кошумча алгоритмдерди күйгүзүү сунушу да эмес.