Kur MODP3072 iederas AWS Site-to-Site VPN
MODP3072 ir IANA 15. grupa, taču grupa pieder fāzei. Pirms tuneļa rediģēšanas sasaistiet prasību ar Phase 1 vai Phase 2 DH sarakstiem.
Kāds jums atsūta prasību, kurā rakstīts IKEv2, ESP un MODP3072, un konsolē nav lauka ar šādu nosaukumu. Kļūda ir sākt meklēt šādu lauku. IKEv2 ir sarunu versija, ESP ir protokols, kas pārvadā jūsu aizsargāto datplūsmu, un MODP3072 ir atslēgu apmaiņas grupa, proti, IANA 15. grupa. Šie trīs fakti dzīvo trīs dažādās vietās, un grupa parādās divreiz.
Šī frāze nav viens iestatījums
Pirms kaut ko aiztikt, pārvērtiet prasību opciju sarakstos. Zemāk esošā tabula ir viss atbilstības saraksts.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 ir 15. grupa, un AWS pašlaik pieņem 15 gan Phase 1, gan Phase 2 DH grupu sarakstos. Pieņemt to abās vietās nav tas pats, kas to prasīt abās, un tas noteikti nenozīmē, ka jūsu partneris domāja abas.
Phase 1 un Phase 2 risina sarunas par dažādām lietām
Phase 1 veido IKE drošības asociāciju: kā abi vārteji autentificējas, vienojas par atslēgām un aizsargā savu sarunu. Phase 2 veido CHILD SA, kas pārvadā jūsu faktisko datplūsmu, un tā atslēgu apmaiņa var būt jauna, nevis mantota.
Tieši šī atdalīšana ir iemesls, kāpēc ir svarīgi, kad partneris runā par pilnīgu uz priekšu vērstu konfidencialitāti. PFS ir Phase 2 īpašība, un grupa Phase 1 sarakstā to nenodrošina. Jautājiet, uz kuru apmaiņu attiecas katra prasība, kopā ar šifrēšanas režīmu, vai integritāti nodrošina AEAD šifrs, un kādas ir atslēgu atjaunināšanas gaidas abās pusēs.
Neizseciniet pilnu pieņemamu komplektu no vārda AES vai viena DH skaitļa. Politika, kas salikta no divu sarunu divām pusēm, ir veids, kā tunelis beigās piedāvā kaut ko, kam nepiekrita neviena komanda.
Atļautais saraksts nav sarunu rezultāts
Opciju saraksti apraksta, ko katra puse ir gatava pieņemt. Tie neziņo, kas tika izvēlēts. Izlasiet faktiski izvēlētos IKE un CHILD-SA priekšlikumus jaunam savienojumam, pēc tam apstipriniet, ka prasība ir izpildīta, nevis tikai atļauta. Spēcīga opcija sarakstā pierāda tikai to, ka tā bija pieejama.
Sekojiet līdzi arī atjaunināšanai. Pirmais IKEv2 CHILD SA un vēlāka CHILD apmaiņa ar PFS var atklāt atšķirīgus saderības nosacījumus, jo otrā apmaiņa rada svaigu atslēgu materiālu ar PFS grupu. Ja jūsu pieņemšanas tests aptver tikai pirmo tuneļa minūti, tas nav pārbaudījis daļu, kas svarīga jūsu partnerim.
AWS tuneļa opciju uzziņa uzskaita Phase 1 un Phase 2 atsevišķi, un tieši šī struktūra ir jāapgūst pirms nākamās prasības.
Mainiet to tuneli, kuru tiešām domājat
Site-to-Site VPN savienojumam ir divi tuneļi ar savām opcijām un savu stāvokli. Pirms kaut ko pārskatīt vai rediģēt, saskaņojiet AWS tuneļa ārējo adresi ar partneri klienta vārtejas pusē un nepieņemiet, ka viens saglabājums atjaunina abus.
Apstiprinātai izmaiņai ir vajadzīga klienta vārtejas puses sagatavotība tai pašai politikai un logs pārtraukumam, ko prasīs izvēlētais tunelis. Ja partneris nav gatavs 15. grupai tajā fāzē, kuru maināt, tunelis vienkārši pārstās celties, un konsolē neteiks, kura puse atteicās.
Pierakstiet saskaņoto politiku kā fāzi, protokola versiju, šifrēšanu, integritāti un DH grupu, pēc tam apstipriniet to apmaiņās, kuras tai jāaizsargā. Maršrutēšana, datplūsmas selektori un lietojumprogrammu atļaujas paliek atsevišķi; šī kartēšana nav pilnīga vārtejas konfigurācija un nav ieteikums ieslēgt papildu algoritmus dažādības dēļ.