AWS Site-to-Site VPN-ൽ MODP3072 എവിടെ വരുന്നു
MODP3072 IANA-യുടെ 15-ാം ഗ്രൂപ്പാണ്, പക്ഷേ ഗ്രൂപ്പ് ഒരു ഘട്ടത്തിൽ പെടുന്നു. ടണൽ എഡിറ്റ് ചെയ്യുന്നതിന് മുൻപ് ആവശ്യകത Phase 1 അല്ലെങ്കിൽ Phase 2 DH പട്ടികകളുമായി ചേർക്കുക.
ആരോ നിങ്ങൾക്ക് IKEv2, ESP, MODP3072 എന്ന് എഴുതിയ ഒരു ആവശ്യകത അയയ്ക്കുന്നു, എന്നാൽ കൺസോളിൽ ആ പേരിൽ ഒരു ഫീൽഡുമില്ല. അത്തരം ഒരു ഫീൽഡ് തിരയാൻ പോകുന്നതാണ് തെറ്റ്. IKEv2 ഒരു ചർച്ചാ പതിപ്പാണ്, ESP നിങ്ങളുടെ സംരക്ഷിത ട്രാഫിക് വഹിക്കുന്ന പ്രോട്ടോക്കോളാണ്, MODP3072 കീ കൈമാറ്റ ഗ്രൂപ്പാണ്, അതായത് IANA-യുടെ 15-ാം ഗ്രൂപ്പ്. ഈ മൂന്ന് വസ്തുതകൾ മൂന്ന് വ്യത്യസ്ത സ്ഥലങ്ങളിലാണ്, ഗ്രൂപ്പ് രണ്ട് തവണ കാണപ്പെടുന്നു.
ആ വാക്യം ഒരു ക്രമീകരണമല്ല
എന്തിലും തൊടുന്നതിന് മുൻപ് ആവശ്യകത ഓപ്ഷൻ പട്ടികകളാക്കി മാറ്റുക. താഴെയുള്ള പട്ടികയാണ് മുഴുവൻ പൊരുത്തം.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 15-ാം ഗ്രൂപ്പാണ്, Phase 1, Phase 2 എന്നിവയുടെ DH ഗ്രൂപ്പ് പട്ടികകളിൽ AWS ഇപ്പോൾ 15 സ്വീകരിക്കുന്നു. രണ്ടിടത്തും അത് സ്വീകരിക്കുന്നത് രണ്ടിടത്തും അത് നിർബന്ധമാക്കുന്നതിന് തുല്യമല്ല, നിങ്ങളുടെ പങ്കാളി രണ്ടും ഉദ്ദേശിച്ചു എന്ന് അത് ഒരിക്കലും അർത്ഥമാക്കുന്നില്ല.
Phase 1-ഉം Phase 2-ഉം വ്യത്യസ്ത കാര്യങ്ങളാണ് ചർച്ച ചെയ്യുന്നത്
Phase 1 IKE സുരക്ഷാ അസോസിയേഷൻ നിർമ്മിക്കുന്നു: രണ്ട് ഗേറ്റ്വേകൾ എങ്ങനെ പരസ്പരം പ്രാമാണീകരിക്കുന്നു, കീകളിൽ എങ്ങനെ യോജിക്കുന്നു, സ്വന്തം സംഭാഷണം എങ്ങനെ സംരക്ഷിക്കുന്നു. Phase 2 നിങ്ങളുടെ യഥാർത്ഥ ട്രാഫിക് വഹിക്കുന്ന CHILD SA നിർമ്മിക്കുന്നു, അതിന്റെ കീ കൈമാറ്റം പാരമ്പര്യമല്ല, പുതിയതാകാം.
ഈ വിഭജനം കൊണ്ടാണ് പങ്കാളി പൂർണ്ണ മുന്നോട്ടുള്ള രഹസ്യതയെക്കുറിച്ച് സംസാരിക്കുമ്പോൾ അത് പ്രധാനമാകുന്നത്. PFS Phase 2-ന്റെ സവിശേഷതയാണ്, Phase 1 പട്ടികയിലെ ഒരു ഗ്രൂപ്പ് അത് നൽകുന്നില്ല. ഓരോ ആവശ്യകതയും ഏത് കൈമാറ്റത്തിന് ബാധകമാണ്, എൻക്രിപ്ഷൻ മോഡ്, അഖണ്ഡത AEAD സൈഫർ നൽകുന്നുണ്ടോ, ഇരു വശങ്ങളിലെയും കീ പുതുക്കൽ പ്രതീക്ഷകൾ എന്നിവ ചോദിക്കുക.
AES എന്ന വാക്കിൽ നിന്നോ ഒരു DH സംഖ്യയിൽ നിന്നോ പൂർണ്ണ സ്വീകാര്യമായ സെറ്റ് അനുമാനിക്കരുത്. രണ്ട് സംഭാഷണങ്ങളുടെ രണ്ട് പകുതികൾ ചേർത്തുണ്ടാക്കിയ നയമാണ്, ഏതെങ്കിലും ടീം യോജിച്ചിട്ടില്ലാത്ത ഒന്ന് ടണൽ നിർദ്ദേശിക്കുന്നതിന് കാരണം.
അനുവദിച്ച പട്ടിക ചർച്ചയുടെ ഫലമല്ല
ഓപ്ഷൻ പട്ടികകൾ ഓരോ വശവും എന്ത് സ്വീകരിക്കാൻ തയ്യാറാണെന്ന് വിവരിക്കുന്നു. എന്താണ് തിരഞ്ഞെടുത്തതെന്ന് അവ അറിയിക്കുന്നില്ല. പുതിയ കണക്ഷനായി യഥാർത്ഥത്തിൽ തിരഞ്ഞെടുത്ത IKE, CHILD-SA നിർദ്ദേശങ്ങൾ വായിക്കുക, തുടർന്ന് ആവശ്യകത അനുവദിക്കപ്പെട്ടത് മാത്രമല്ല, പൂർത്തീകരിക്കപ്പെട്ടതാണെന്ന് ഉറപ്പാക്കുക. പട്ടികയിലുള്ള ശക്തമായ ഒരു ഓപ്ഷൻ അത് ലഭ്യമായിരുന്നു എന്ന് മാത്രം തെളിയിക്കുന്നു.
പുതുക്കലും ശ്രദ്ധിക്കുക. ആദ്യ IKEv2 CHILD SA-യും പിന്നീടുള്ള PFS ഉള്ള CHILD കൈമാറ്റവും വ്യത്യസ്ത അനുകൂല്യ വ്യവസ്ഥകൾ വെളിപ്പെടുത്താം, കാരണം രണ്ടാം കൈമാറ്റം PFS ഗ്രൂപ്പിനൊപ്പം പുതിയ കീ മെറ്റീരിയൽ സൃഷ്ടിക്കുന്നു. നിങ്ങളുടെ സ്വീകാര്യതാ പരിശോധന ടണലിന്റെ ആദ്യ മിനിറ്റ് മാത്രം ഉൾക്കൊള്ളുന്നുവെങ്കിൽ, നിങ്ങളുടെ പങ്കാളിക്ക് പ്രധാനമായ ഭാഗം അത് പരിശോധിച്ചിട്ടില്ല.
AWS ടണൽ ഓപ്ഷനുകളുടെ റഫറൻസ് Phase 1, Phase 2 എന്നിവ വെവ്വേറെ പട്ടികപ്പെടുത്തുന്നു, അടുത്ത ആവശ്യകത വരുന്നതിന് മുൻപ് ഈ ഘടന ഉൾക്കൊള്ളേണ്ടതാണ്.
യഥാർത്ഥത്തിൽ ഉദ്ദേശിക്കുന്ന ടണൽ മാറ്റുക
Site-to-Site VPN കണക്ഷനിൽ സ്വന്തം ഓപ്ഷനുകളും സ്വന്തം അവസ്ഥയുമുള്ള രണ്ട് ടണലുകളുണ്ട്. എന്തെങ്കിലും അവലോകനം ചെയ്യുന്നതിനോ എഡിറ്റ് ചെയ്യുന്നതിനോ മുൻപ് AWS ടണലിന്റെ പുറം വിലാസം കസ്റ്റമർ ഗേറ്റ്വേ വശത്തെ പിയറുമായി ഒത്തുനോക്കുക, ഒരു സേവ് രണ്ടിനെയും പുതുക്കുമെന്ന് കരുതരുത്.
അംഗീകരിച്ച മാറ്റത്തിന് കസ്റ്റമർ ഗേറ്റ്വേ വശം അതേ നയത്തിന് തയ്യാറാകേണ്ടതും തിരഞ്ഞെടുത്ത ടണൽ ഏൽക്കുന്ന തടസ്സത്തിന് ഒരു സമയവും ആവശ്യമാണ്. നിങ്ങൾ മാറ്റുന്ന ഘട്ടത്തിൽ പിയർ 15-ാം ഗ്രൂപ്പിന് തയ്യാറല്ലെങ്കിൽ, ടണൽ മുകളിലേക്ക് വരുന്നത് നിർത്തും, ഏത് വശം വിസമ്മതിച്ചു എന്ന് കൺസോൾ പറയുകയുമില്ല.
അംഗീകരിച്ച നയം ഘട്ടം, പ്രോട്ടോക്കോൾ പതിപ്പ്, എൻക്രിപ്ഷൻ, അഖണ്ഡത, DH ഗ്രൂപ്പ് എന്നിവയായി രേഖപ്പെടുത്തുക, തുടർന്ന് അത് സംരക്ഷിക്കേണ്ട കൈമാറ്റങ്ങളിൽ അത് സ്ഥിരീകരിക്കുക. റൂട്ടിംഗ്, ട്രാഫിക് സെലക്ടർമാർ, ആപ്ലിക്കേഷൻ അനുമതികൾ വെവ്വേറെ തുടരുന്നു; ഈ മാപ്പിംഗ് പൂർണ്ണ ഗേറ്റ്വേ കോൺഫിഗറേഷനല്ല, വൈവിധ്യത്തിനായി അധിക അൽഗോരിതങ്ങൾ പ്രവർത്തനക്ഷമമാക്കാൻ ഇത് ശുപാർശയുമല്ല.