Wou MODP3072 an en AWS Site-to-Site VPN gehéiert
MODP3072 ass IANA-Grupp 15, awer de Grupp gehéiert zu enger Phas. Maacht d'Fuerderung de Phase 1- oder Phase 2-DH-Lëschten zou, ier Dir en Tunnel ännert.
Een schéckt Iech eng Fuerderung, an där IKEv2, ESP an MODP3072 steet, an d'Konsole huet kee Feld mat deem Numm. De Feeler ass, sou e Feld ze sichen. IKEv2 ass eng Verhandlungsversioun, ESP ass de Protokoll, deen Ären geschützten Traffic dréit, an MODP3072 ass eng Schlësselaustauschgrupp, nämlech IANA-Grupp 15. Déi dräi Fakten liewen op dräi verschidden Plazen, an de Grupp erschéngt zweemol.
Dësen Ausdrock ass net eng eenzeg Astellung
Maacht d'Fuerderung a Lëschte vun Optiounen, ier Dir eppes ufässt. D'Tabell hei drënner ass déi ganz Zouuerdnung.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 ass Grupp 15, an AWS akzeptéiert de Moment 15 an de Phase 1- a Phase 2-DH-Gruppelëschten. En op béide Plazen ze akzeptéieren ass net datselwecht wéi en op béide Plazen ze fuerderen, an et bedeit sécher net, datt Äre Partner béides gemengt huet.
Phase 1 an Phase 2 verhandele verschidden Saachen
Phase 1 baut d'IKE-Sécherheetsassociatioun op: wéi déi zwou Gateways sech authentifizéieren, sech iwwer Schlësselen eens ginn an hir eege Konversatioun schützen. Phase 2 baut d'CHILD SA op, déi Ären eigentlechen Traffic dréit, an hire Schlësselaustausch kann nei sinn amplaz ierflecht.
Déi Deelung ass de Grond, firwat et drop ukommt, wann e Partner vu perfekter Vorwärtsgeheimhaltung schwätzt. PFS ass eng Eegenschaft vu Phase 2, an eng Grupp an der Phase 1-Lëscht liwwert se net. Frot, fir wéi en Austausch all Fuerderung gëllt, zesumme mam Verschlësselungsmodus, ob d'Integritéit duerch eng AEAD-Chiffre gëtt an d'Erwaardunge fir d'Schlësselerneierung op béide Säiten.
Leet keng komplett akzeptabel Suite aus dem Wuert AES oder aus enger DH-Zuel of. Eng Politik, déi aus zwou Hälften vun zwou Konversatiounen zesummegesat ass, ass de Wee, wéi en Tunnel am Schluss eppes proposéiert, woumat keen Team averstanen ass.
Eng erlaabte Lëscht ass keen Verhandlungsresultat
D'Optiounslëschte beschreiwen, wat all Säit bereet ass ze akzeptéieren. Si berichten net, wat gewielt gouf. Liest déi tatsächlech gewielte IKE- an CHILD-SA-Virschléi fir eng nei Verbindung, an da bestätegt, datt d'Fuerderung erfëllt an net just erlaabt ass. Eng staark Optioun an enger Lëscht beweist just, datt se verfügbar war.
Passt och op d'Erneierung op. Déi éischt IKEv2 CHILD SA an en spéideren CHILD-Austausch mat PFS kënnen ënnerschiddlech Kompatibilitéitsbedingunge weisen, well den zweeten Austausch frëscht Schlësselmaterial mat der PFS-Grupp am Spill schaaft. Wann Ären Akzeptanztest nëmmen déi éischt Minutt vun engem Tunnel deckt, huet hien den Deel net getest, deen Ärem Partner wichteg ass.
D'AWS-Referenz fir Tunneloptiounen lëscht Phase 1 an Phase 2 getrennt op, an dat ass d'Struktur, déi et wäert ass sech unzeëegnen, ier déi nächst Fuerderung ukënnt.
Ännert den Tunnel, deen Dir wierklech mengt
Eng Site-to-Site VPN-Verbindung huet zwéin Tunnele mat hiren eegenen Optiounen an hirem eegene Statut. Ier Dir eppes iwwerpréift oder ännert, passt d'Ausssäiteadress vum AWS-Tunnel un de Peer op der Client-Gateway-Säit un a gitt net dovun aus, datt eng Eenheet béides aktualiséiert.
Eng genehmegt Ännerung erfuerdert, datt d'Client-Gateway-Säit op déiselwecht Politik virbereet ass, an eng Zäitfenster fir d'Ënnerbriechung, déi den ausgewielten Tunnel hëlt. Wann de Peer an der Phas, déi Dir ännert, net fir Grupp 15 bereet ass, hält den Tunnel einfach op eropzekommen, an d'Konsole seet Iech net, wéi eng Säit refuséiert huet.
Halt déi vereinbart Politik als Phas, Protokollversioun, Verschlësselung, Integritéit an DH-Grupp fest, an da bestätegt se bei den Austausch, déi se soll schützen. Routing, Traffic-Selektoren an Applikatiounsberechtegungen bleiwen getrennt; dës Zouuerdnung ass keng komplett Gateway-Konfiguratioun, an et ass keng Empfehlung, zousätzlech Algorithmen fir Varietéit anzeschalten.