Kur MODP3072 atsiduria AWS Site-to-Site VPN
MODP3072 yra IANA 15-oji grupė, tačiau grupė priklauso fazei. Prieš redaguodami tunelį, susiekite reikalavimą su Phase 1 arba Phase 2 DH sąrašais.
Kažkas atsiunčia jums reikalavimą, kuriame parašyta IKEv2, ESP ir MODP3072, o konsolėje nėra lauko tokiu pavadinimu. Klaida yra pradėti ieškoti tokio lauko. IKEv2 yra derybų versija, ESP – protokolas, kuris perduoda jūsų apsaugotą srautą, o MODP3072 – raktų mainų grupė, tai yra IANA 15-oji grupė. Šie trys faktai gyvena trijose skirtingose vietose, o grupė pasirodo du kartus.
Ši frazė nėra vienas nustatymas
Prieš ką nors liesdami paverskite reikalavimą parinkčių sąrašais. Žemiau esanti lentelė yra visas atitikimas.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 yra 15-oji grupė, o AWS šiuo metu priima 15 abiejuose Phase 1 ir Phase 2 DH grupių sąrašuose. Priimti ją abiejose vietose nėra tas pats, kas jos reikalauti abiejose, ir tai tikrai nereiškia, kad jūsų partneris turėjo omenyje abi.
Phase 1 ir Phase 2 derasi dėl skirtingų dalykų
Phase 1 sukuria IKE saugos asociaciją: kaip du šliuzai autentifikuojasi, susitaria dėl raktų ir apsaugo savo pačių pokalbį. Phase 2 sukuria CHILD SA, kuris perduoda jūsų tikrąjį srautą, o jo raktų mainai gali būti nauji, o ne paveldėti.
Būtent šis atskyrimas lemia, kodėl svarbu, kai partneris kalba apie visišką persiuntimo slaptumą. PFS yra Phase 2 savybė, o grupė Phase 1 sąraše jos nesuteikia. Paklauskite, kuriai mainų daliai taikomas kiekvienas reikalavimas, kartu su šifravimo režimu, ar vientisumą užtikrina AEAD šifras, ir kokių raktų atnaujinimo lūkesčių yra abiejose pusėse.
Nedarykite išvados apie visą priimtiną rinkinį iš žodžio AES ar vieno DH skaičiaus. Politika, surinkta iš dviejų dviejų pokalbių pusių, yra būdas, kuriuo tunelis galiausiai pasiūlo tai, dėl ko nesusitarė nė viena komanda.
Leidžiamas sąrašas nėra derybų rezultatas
Parinkčių sąrašai aprašo, ką kiekviena pusė pasirengusi priimti. Jie nepraneša, kas buvo pasirinkta. Perskaitykite faktiškai pasirinktus IKE ir CHILD-SA pasiūlymus naujam ryšiui, tada patvirtinkite, kad reikalavimas įvykdytas, o ne tik leidžiamas. Stipri parinktis sąraše įrodo tik tai, kad ji buvo prieinama.
Stebėkite ir atnaujinimą. Pirmasis IKEv2 CHILD SA ir vėlesni CHILD mainai su PFS gali atskleisti skirtingas suderinamumo sąlygas, nes antrieji mainai sukuria naują raktų medžiagą su PFS grupe. Jei jūsų priėmimo testas apima tik pirmąją tunelio minutę, jis neišbandė dalies, kuri rūpi jūsų partneriui.
AWS tunelio parinkčių nuoroda išvardija Phase 1 ir Phase 2 atskirai, ir būtent šią struktūrą verta įsisavinti prieš ateinant kitam reikalavimui.
Keiskite tą tunelį, kurį tikrai turite omenyje
Site-to-Site VPN ryšys turi du tunelius su savo parinktimis ir sava būsena. Prieš ką nors peržiūrėdami ar redaguodami, suderinkite AWS tunelio išorinį adresą su partneriu kliento šliuzo pusėje ir nelaikykite, kad vienas išsaugojimas atnaujina abu.
Patvirtintam pakeitimui reikia, kad kliento šliuzo pusė būtų paruošta tai pačiai politikai, ir lango pertraukimui, kurį patirs pasirinktas tunelis. Jei partneris nėra pasiruošęs 15-ajai grupei tame etape, kurį keičiate, tunelis tiesiog nustos kilti, o konsolė nepasakys, kuri pusė atsisakė.
Užrašykite sutartą politiką kaip etapą, protokolo versiją, šifravimą, vientisumą ir DH grupę, tada patvirtinkite ją mainuose, kuriuos ji turi apsaugoti. Maršrutizavimas, srauto selektoriai ir programų leidimai lieka atskirai; šis atitikimas nėra visa šliuzo konfigūracija ir nėra rekomendacija įjungti papildomus algoritmus dėl įvairovės.