Каде припаѓа MODP3072 во AWS Site-to-Site VPN

Некој ви испраќа барање во кое пишува IKEv2, ESP и MODP3072, а конзолата нема поле со тоа име. Грешката е да почнете да барате такво поле. IKEv2 е верзија за преговори, ESP е протоколот што го пренесува вашиот заштитен сообраќај, а MODP3072 е група за размена на клучеви, односно IANA група 15. Овие три факти живеат на три различни места, а групата се појавува двапати.

Оваа фраза не е едно поставување

Пред да допрете било што, претворете го барањето во листи со опции. Табелата подолу е целото совпаѓање.

MODP3072 е група 15, а AWS моментално прифаќа 15 во листите со DH групи и на Phase 1 и на Phase 2. Да се прифати на двете места не е исто како да се бара на двете места, и тоа сигурно не значи дека вашиот партнер ги имал на ум двете.

Phase 1 и Phase 2 преговараат за различни работи

Phase 1 ја гради безбедносната асоцијација на IKE: како двата порти се автентицираат, се договараат за клучеви и го штитат сопствениот разговор. Phase 2 го гради CHILD SA што го пренесува вашиот вистински сообраќај, а неговата размена на клучеви може да биде нова, а не наследена.

Токму оваа поделба е причината зошто е важно кога партнерот зборува за совршена тајност напред. PFS е својство на Phase 2, а група во листата на Phase 1 не го обезбедува тоа. Прашајте на која размена се однесува секое барање, заедно со режимот на шифрирање, дали интегритетот го обезбедува AEAD шифра и какви се очекувањата за обновување клучеви од двете страни.

Не изведувајте целосен прифатлив сет од зборот AES или од еден DH број. Политика составена од две половини на два разговора е начинот на кој тунелот завршува предлагајќи нешто со што ниту еден тим не се согласил.

Дозволената листа не е резултат од преговори

Листите со опции опишуваат што е подготвена да прифати секоја страна. Тие не известуваат што е избрано. Прочитајте ги навистина избраните предлози за IKE и CHILD-SA за нова врска, потоа потврдете дека барањето е исполнето, а не само дозволено. Силната опција во листа докажува само дека била достапна.

Внимавајте и на обновувањето. Првиот IKEv2 CHILD SA и подоцнежната CHILD размена со PFS можат да откријат различни услови за компатибилност, бидејќи втората размена создава свеж клучен материјал со PFS групата. Ако вашиот тест за прифаќање покрива само првата минута од тунелот, тој не го тестирал делот што е важен за вашиот партнер.

AWS референцата за опции на тунелот ги наведува Phase 1 и Phase 2 одделно, и токму оваа структура вреди да се совлада пред да пристигне следното барање.

Сменете го тунелот што навистина го мислите

Врската Site-to-Site VPN има два тунели со свои опции и своја состојба. Пред да прегледате или уредите било што, усогласете ја надворешната адреса на тунелот во AWS со партнерот на страната на портата за клиентот и не претпоставувајте дека едно зачувување ги ажурира двете.

Одобрената промена бара страната на портата за клиентот да биде подготвена за истата политика и временски прозорец за прекинот што ќе го претрпи избраниот тунел. Ако партнерот не е подготвен за група 15 во фазата што ја менувате, тунелот едноставно ќе престане да се крева, а конзолата нема да ви каже која страна одбила.

Запишете ја договорената политика како фаза, верзија на протокол, шифрирање, интегритет и DH група, потоа потврдете ја во размените што треба да ги штити. Рутирањето, селекторите на сообраќај и дозволите за апликации остануваат одвоени; ова совпаѓање не е целосна конфигурација на порта и не е препорака да се вклучат дополнителни алгоритми за разновидност.