Fejn tidħol MODP3072 f'VPN Site-to-Site tal-AWS
MODP3072 huwa l-grupp 15 tal-IANA, iżda l-grupp jappartjeni għal fażi. Ippjana r-rekwiżit mal-listi DH ta' Phase 1 jew Phase 2 qabel ma teditja tunnel.
Xi ħadd jibgħatlek rekwiżit li jgħid IKEv2, ESP u MODP3072, u l-console m'għandhiex qasam b'dak l-isem. L-iżball hu li tmur tfittex qasam bħal dan. IKEv2 hija verżjoni ta' negozjar, ESP huwa l-protokoll li jġorr it-traffiku protett tiegħek, u MODP3072 huwa grupp ta' skambju ta' ċwievet, jiġifieri l-grupp 15 tal-IANA. Dawn it-tliet fatti jgħixu fi tliet postijiet differenti, u l-grupp jidher darbtejn.
Il-frażi mhijiex setting wieħed
Ittrasforma r-rekwiżit f'listi ta' għażliet qabel ma tmiss xejn. It-tabella hawn taħt hija l-mappa kollha.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 huwa l-grupp 15, u AWS bħalissa taċċetta 15 fil-listi tal-gruppi DH ta' Phase 1 u Phase 2. Li taċċettah fiż-żewġ postijiet mhuwiex l-istess bħal li teħtieġu fiż-żewġ postijiet, u żgur ma jfissirx li s-sieħeb tiegħek kien qed jifhem it-tnejn.
Phase 1 u Phase 2 jinnegozjaw affarijiet differenti
Phase 1 jibni l-assoċjazzjoni tas-sigurtà IKE: kif iż-żewġ gateways jawtentikaw lil xulxin, jaqblu dwar ċwievet u jipproteġu l-konversazzjoni tagħhom stess. Phase 2 jibni l-CHILD SA li jġorr it-traffiku attwali tiegħek, u l-iskambju ta' ċwievet tiegħu jista' jkun ġdid minflok wiret.
Dan il-qsim huwa r-raġuni għaliex ikollu importanza meta sieħeb jitkellem dwar kunfidenzjalità sħiħa 'l quddiem. PFS hija proprjetà ta' Phase 2, u grupp fil-lista ta' Phase 1 ma jipprovdixha. Staqsi liema skambju japplika għal kull rekwiżit, flimkien mal-mod ta' encryption, jekk l-integrità hijiex ipprovduta minn ċifra AEAD, u x'inhuma l-aspettattivi ta' tiġdid taċ-ċwievet fuq iż-żewġ naħat.
Tiddeduċix suite aċċettabbli sħiħa mill-kelma AES jew minn numru DH wieħed. Politika mqabbda minn żewġ nofsijiet ta' żewġ konversazzjonijiet hija l-mod kif tunnel jispiċċa jipproponi xi ħaġa li ebda tim ma qabel magħha.
Lista permessa mhijiex riżultat ta' negozjar
Il-listi ta' għażliet jiddeskrivu x'inhu lest jaċċetta kull naħa. Ma jirrappurtawx x'intgħażel. Aqra l-proposti IKE u CHILD-SA li ntgħażlu tassew għal konnessjoni ġdida, imbagħad ikkonferma li r-rekwiżit huwa sodisfatt u mhux biss permess. Għażla b'saħħitha f'lista turi biss li kienet disponibbli.
Innota wkoll it-tiġdid. L-ewwel CHILD SA tal-IKEv2 u skambju CHILD aktar tard li jġorr PFS jistgħu juru kundizzjonijiet ta' kompatibilità differenti, għax it-tieni skambju joħloq materjal ta' ċwievet ġdid bil-grupp PFS. Jekk it-test ta' aċċettazzjoni tiegħek ikopri biss l-ewwel minuta ta' tunnel, ma jkunx ittestja l-parti li jimpurtah minnha s-sieħeb tiegħek.
Ir-referenza tal-għażliet tat-tunnel tal-AWS telenka Phase 1 u Phase 2 separatament, u din hija l-istruttura li tiswa li tassimila qabel ma tasal ir-rekwiżit li jmiss.
Ibdel it-tunnel li verament qed tfisser
Konnessjoni VPN Site-to-Site għandha żewġ tunnels bl-għażliet u l-istat tagħhom stess. Qabel ma tirrevedi jew teditja xejn, qabbel l-indirizz ta' barra tat-tunnel AWS mal-peer fuq in-naħa tal-gateway tal-klijent u tassumix li salvataġġ wieħed jaġġorna t-tnejn.
Bidla approvata teħtieġ li n-naħa tal-gateway tal-klijent tkun ippreparata għall-istess politika u tieqa għat-tfixkil li se jieħu t-tunnel magħżul. Jekk il-peer mhuwiex lest għall-grupp 15 fil-fażi li qed tbiddel, it-tunnel sempliċement jieqaf jitla', u l-console ma tgħidlekx liema naħa rrifjutat.
Irreġistra l-politika miftiehma bħala fażi, verżjoni tal-protokoll, encryption, integrità u grupp DH, imbagħad ikkonfermaha fl-iskambji li suppost tipproteġi. Routing, seletturi tat-traffiku u permessi tal-applikazzjonijiet jibqgħu separati; din il-mappa mhijiex konfigurazzjoni sħiħa tal-gateway, u mhijiex rakkomandazzjoni li tixgħel algoritmi addizzjonali għall-varjetà.