MODP3072 AWS Site-to-Site VPN-д хаана байрладаг
MODP3072 нь IANA-гийн 15-р бүлэг боловч бүлэг нь фазад хамаардаг. Туннель засахын өмнө шаардлагыг Phase 1 эсвэл Phase 2-ын DH жагсаалтад онооно уу.
Хэн нэгэн танд IKEv2, ESP, MODP3072 гэж бичсэн шаардлага илгээхэд консолд тэр нэртэй талбар байхгүй. Алдаа нь ийм талбар хайж эхлэх явдал юм. IKEv2 бол хэлэлцээрийн хувилбар, ESP нь таны хамгаалагдсан урсгалыг зөөдөг протокол, MODP3072 бол түлхүүр солилцооны бүлэг, өөрөөр хэлбэл IANA-гийн 15-р бүлэг юм. Эдгээр гурван баримт гурван өөр газарт амьдардаг бөгөөд бүлэг хоёр удаа гарч ирдэг.
Энэ өгүүлбэр нь нэг тохиргоо биш
Ямар нэгэн зүйлд хүрэхийн өмнө шаардлагыг сонголтын жагсаалт болгон хувиргаарай. Доорх хүснэгт бол бүх тохирол.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 бол 15-р бүлэг бөгөөд AWS одоо Phase 1 ба Phase 2-ын DH бүлгийн жагсаалтад 15-ыг хоёуланд нь хүлээн авдаг. Хоёр газарт хүлээн авах нь хоёр газарт шаардахтай ижил биш бөгөөд энэ нь таны түншийг хоёуланг нь хэлсэн гэсэн үг огт биш юм.
Phase 1 ба Phase 2 өөр зүйлсийн талаар хэлэлцдэг
Phase 1 нь IKE-гийн аюулгүй байдлын холбоог бүрдүүлдэг: хоёр гарц хэрхэн баталгаажуулж, түлхүүрүүд дээр хэрхэн тохирч, өөрсдийн яриаг хэрхэн хамгаалдаг. Phase 2 нь таны бодит урсгалыг зөөдөг CHILD SA-г бүрдүүлдэг бөгөөд түүний түлхүүр солилцоо нь өвлөгдсөн биш, шинэ байж болно.
Энэ хуваагдал нь түнш бүрэн урагшлах нууцлалын тухай ярих үед яагаад чухал болохыг тайлбарладаг. PFS бол Phase 2-ын шинж чанар бөгөөд Phase 1-ийн жагсаалт дахь бүлэг түүнийг өгдөггүй. Шаардлага бүр аль солилцоонд хамаарах, шифрлэлтийн горим, бүрэн бүтэн байдлыг AEAD шифр хангаж байгаа эсэх, хоёр талын түлхүүр шинэчлэх хүлээлтийг асуугаарай.
AES гэдэг үг эсвэл нэг DH тооноос бүрэн хүлээн зөвшөөрөгдөх багцыг бүү гарга. Хоёр ярианы хоёр хагасаас угсарсан бодлого нь туннель аль ч баг зөвшөөрөөгүй зүйлийг санал болгох зам юм.
Зөвшөөрөгдсөн жагсаалт бол хэлэлцээрийн үр дүн биш
Сонголтын жагсаалтууд нь тал бүр юуг хүлээн авахад бэлэн байгааг дүрсэлдэг. Тэд юу сонгогдсоныг мэдээлдэггүй. Шинэ холболтын хувьд үнэхээр сонгогдсон IKE болон CHILD-SA саналыг уншаад, шаардлага зөвхөн зөвшөөрөгдөөд зогсохгүй биелсэн эсэхийг баталгаажуулаарай. Жагсаалт дахь хүчтэй сонголт нь зөвхөн боломжтой байсныг нотолдог.
Шинэчлэлтийг ч анхаараарай. Эхний IKEv2 CHILD SA болон дараагийн PFS-тэй CHILD солилцоо нь өөр нийцлийн нөхцөлийг илрүүлж болно, учир нь хоёр дахь солилцоо PFS бүлэгтэй шинэ түлхүүрийн материал үүсгэдэг. Хэрэв таны хүлээн авалтын шалгалт туннелийн зөвхөн эхний минутыг хамардаг бол түншийн тань анхаардаг хэсгийг шалгаагүй.
AWS туннелийн сонголтын лавлагаа Phase 1 ба Phase 2-ыг тус тусад нь жагсаадаг бөгөөд дараагийн шаардлага ирэхээс өмнө энэ бүтцийг эзэмших нь зүйтэй.
Үнэхээр санаж байгаа туннелээ өөрчил
Site-to-Site VPN холболт нь өөрийн сонголт, өөрийн төлөвтэй хоёр туннельтэй. Ямар нэгэн зүйлийг хянах эсвэл засахаас өмнө AWS туннелийн гадаад хаягийг харилцагчийн гарцын талын түнштэй тааруулаарай бөгөөд нэг хадгалт хоёуланг нь шинэчилнэ гэж бүү бод.
Зөвшөөрөгдсөн өөрчлөлт нь харилцагчийн гарцын талыг ижил бодлогод бэлтгэсэн байх, мөн сонгосон туннелийн авах тасалдалд зориулсан цонх шаарддаг. Хэрэв түнш таны өөрчилж буй фазад 15-р бүлэгт бэлэн биш бол туннель зүгээр л босохоо болино, консол аль тал татгалзсаныг хэлэхгүй.
Тохиролцсон бодлогыг фаз, протоколын хувилбар, шифрлэлт, бүрэн бүтэн байдал, DH бүлэг хэлбэрээр тэмдэглээд, дараа нь түүнийг хамгаалах ёстой солилцоонд баталгаажуулаарай. Маршрутлалт, урсгалын сонгогч, аппликейшны зөвшөөрөл нь тусдаа үлддэг; энэ тохирол нь бүрэн гарцын тохиргоо биш бөгөөд олон янз байдлын үүднээс нэмэлт алгоритм идэвхжүүлэхийг зөвлөх нь ч биш.