Di mana MODP3072 terletak dalam AWS Site-to-Site VPN
MODP3072 ialah kumpulan 15 IANA, tetapi kumpulan itu tergolong dalam satu fasa. Petakan keperluan kepada senarai DH Phase 1 atau Phase 2 sebelum mengedit terowong.
Seseorang menghantar keperluan kepada anda yang menyebut IKEv2, ESP dan MODP3072, sedangkan konsol tiada medan dengan nama itu. Kesilapannya ialah mula mencari medan sedemikian. IKEv2 ialah versi rundingan, ESP ialah protokol yang membawa trafik terlindung anda, dan MODP3072 ialah kumpulan pertukaran kunci, iaitu kumpulan 15 IANA. Ketiga-tiga fakta itu tinggal di tiga tempat berbeza, dan kumpulan itu muncul dua kali.
Frasa itu bukan satu tetapan
Tukar keperluan itu kepada senarai pilihan sebelum menyentuh apa-apa. Jadual di bawah ialah keseluruhan pemetaan.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 ialah kumpulan 15, dan AWS kini menerima 15 dalam senarai kumpulan DH Phase 1 dan Phase 2. Menerimanya di kedua-dua tempat bukan sama dengan mewajibkannya di kedua-dua tempat, dan ia sama sekali tidak bermakna rakan anda memaksudkan kedua-duanya.
Phase 1 dan Phase 2 merundingkan perkara yang berbeza
Phase 1 membina persatuan keselamatan IKE: bagaimana kedua-dua get laluan mengesahkan identiti, bersetuju tentang kunci dan melindungi perbualan mereka sendiri. Phase 2 membina CHILD SA yang membawa trafik sebenar anda, dan pertukaran kuncinya boleh baharu dan bukan diwarisi.
Pemisahan itulah sebabnya ia penting apabila rakan berbicara tentang kerahsiaan ke hadapan yang sempurna. PFS ialah sifat Phase 2, dan kumpulan dalam senarai Phase 1 tidak menyediakannya. Tanya pertukaran mana yang terpakai bagi setiap keperluan, bersama mod penyulitan, sama ada integriti disediakan oleh sifer AEAD, dan jangkaan pembaharuan kunci di kedua-dua belah.
Jangan simpulkan suite yang boleh diterima sepenuhnya daripada perkataan AES atau daripada satu nombor DH. Dasar yang dicantumkan daripada dua separuh dua perbualan ialah cara terowong akhirnya mencadangkan sesuatu yang tidak dipersetujui oleh mana-mana pasukan.
Senarai yang dibenarkan bukan hasil rundingan
Senarai pilihan menerangkan apa yang setiap pihak bersedia terima. Ia tidak melaporkan apa yang dipilih. Baca cadangan IKE dan CHILD-SA yang benar-benar dipilih untuk sambungan baharu, kemudian sahkan keperluan itu dipenuhi dan bukan sekadar dibenarkan. Pilihan yang kukuh dalam senarai hanya membuktikan ia tersedia.
Perhatikan juga pembaharuan. CHILD SA IKEv2 pertama dan pertukaran CHILD kemudian yang membawa PFS boleh mendedahkan syarat keserasian yang berbeza, kerana pertukaran kedua mencipta bahan kunci baharu dengan kumpulan PFS. Jika ujian penerimaan anda hanya meliputi minit pertama terowong, ia belum menguji bahagian yang rakan anda pedulikan.
Rujukan pilihan terowong AWS menyenaraikan Phase 1 dan Phase 2 secara berasingan, dan itulah struktur yang wajar dihayati sebelum keperluan seterusnya tiba.
Tukar terowong yang benar-benar anda maksudkan
Sambungan VPN Site-to-Site mempunyai dua terowong dengan pilihan dan keadaan masing-masing. Sebelum menyemak atau mengedit apa-apa, padankan alamat luar terowong AWS dengan rakan sebaya di sebelah get laluan pelanggan dan jangan anggap satu simpanan mengemas kini kedua-duanya.
Perubahan yang diluluskan memerlukan sebelah get laluan pelanggan bersedia untuk dasar yang sama dan tetingkap untuk gangguan yang akan ditanggung oleh terowong yang dipilih. Jika rakan sebaya tidak bersedia untuk kumpulan 15 pada fasa yang anda ubah, terowong akan berhenti naik, dan konsol tidak akan memberitahu anda pihak mana yang menolak.
Catat dasar yang dipersetujui sebagai fasa, versi protokol, penyulitan, integriti dan kumpulan DH, kemudian sahkan pada pertukaran yang sepatutnya dilindunginya. Penghalaan, pemilih trafik dan kebenaran aplikasi kekal berasingan; pemetaan ini bukan konfigurasi get laluan yang lengkap, dan bukan cadangan untuk mengaktifkan algoritma tambahan demi kepelbagaian.