Hvor MODP3072 hører hjemme i en AWS Site-to-Site VPN
MODP3072 er IANA-gruppe 15, men gruppen tilhører en fase. Kartlegg kravet til DH-listene for Phase 1 eller Phase 2 før du redigerer en tunnel.
Noen sender deg et krav der det står IKEv2, ESP og MODP3072, og konsollen har ikke noe felt med det navnet. Feilen er å gå på leting etter et slikt felt. IKEv2 er en forhandlingsversjon, ESP er protokollen som bærer den beskyttede trafikken din, og MODP3072 er en nøkkelutvekslingsgruppe, nemlig IANA-gruppe 15. Disse tre fakta bor tre forskjellige steder, og gruppen dukker opp to ganger.
Setningen er ikke én enkelt innstilling
Gjør kravet om til valglister før du rører noe. Tabellen nedenfor er hele kryssreferansen.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 er gruppe 15, og AWS godtar for tiden 15 i både Phase 1- og Phase 2-DH-gruppelistene. Å godta den begge steder er ikke det samme som å kreve den begge steder, og det betyr absolutt ikke at partneren din mente begge.
Phase 1 og Phase 2 forhandler om forskjellige ting
Phase 1 bygger IKE-sikkerhetsassosiasjonen: hvordan de to gatewayene autentiserer seg, blir enige om nøkler og beskytter sin egen samtale. Phase 2 bygger CHILD SA som bærer den faktiske trafikken din, og nøkkelutvekslingen kan være ny i stedet for arvet.
Denne delingen er grunnen til at det betyr noe når en partner snakker om perfekt fremoverrettet hemmelighold. PFS er en egenskap ved Phase 2, og en gruppe på Phase 1-listen gir den ikke. Spør hvilken utveksling hvert krav gjelder, sammen med krypteringsmodus, om integritet leveres av en AEAD-chiffer, og forventningene til nøkkelnying på begge sider.
Ikke utled et fullstendig akseptabelt sett fra ordet AES eller fra ett DH-nummer. En policy satt sammen av to halvdeler av to samtaler er måten en tunnel ender med å foreslå noe ingen av teamene har godtatt.
En tillatt liste er ikke et forhandlingsresultat
Valglistene beskriver hva hver side er villig til å godta. De rapporterer ikke hva som ble valgt. Les de faktisk valgte IKE- og CHILD-SA-forslagene for en ny tilkobling, og bekreft deretter at kravet er oppfylt og ikke bare tillatt. Et sterkt valg i en liste beviser bare at det var tilgjengelig.
Følg også med på fornyelsen. Den første IKEv2 CHILD SA og en senere CHILD-utveksling med PFS kan avdekke forskjellige kompatibilitetsvilkår, fordi den andre utvekslingen lager friskt nøkkelmateriale med PFS-gruppen i spill. Hvis akseptansetesten din bare dekker det første minuttet av en tunnel, har den ikke testet delen partneren din bryr seg om.
AWS-referansen for tunnelvalg lister Phase 1 og Phase 2 hver for seg, og det er strukturen som er verdt å internalisere før neste krav kommer.
Endre tunnelen du faktisk mener
En Site-to-Site VPN-tilkobling har to tunneler med egne valg og egen tilstand. Før du gjennomgår eller redigerer noe, samsvar AWS-tunnelens ytre adresse med peer-en på kundegateway-siden og ikke anta at én lagring oppdaterer begge.
En godkjent endring krever at kundegateway-siden er forberedt på samme policy og et vindu for avbruddet den valgte tunnelen vil ta. Hvis peer-en ikke er klar for gruppe 15 i fasen du endrer, slutter tunnelen ganske enkelt å komme opp, og konsollen forteller deg ikke hvilken side som nektet.
Noter den avtalte policyen som fase, protokollversjon, kryptering, integritet og DH-gruppe, og bekreft den deretter ved utvekslingene den skal beskytte. Ruting, trafikkvelgere og applikasjonstillatelser holdes atskilt; denne kartleggingen er ikke en full gateway-konfigurasjon, og det er ikke en anbefaling om å aktivere ekstra algoritmer for variasjonens skyld.