Waar MODP3072 thuishoort in een AWS Site-to-Site VPN
MODP3072 is IANA-groep 15, maar de groep hoort bij een fase. Koppel de eis aan de DH-lijsten van Phase 1 of Phase 2 voordat je een tunnel bewerkt.
Iemand stuurt je een eis waarin IKEv2, ESP en MODP3072 staan, en de console heeft geen veld met die naam. De fout is ernaar te gaan zoeken. IKEv2 is een onderhandelingsversie, ESP is het protocol dat je beschermde verkeer draagt, en MODP3072 is een sleuteluitwisselingsgroep, namelijk IANA-groep 15. Die drie feiten leven op drie verschillende plekken, en de groep komt twee keer voor.
De zin is niet één instelling
Vertaal de eis naar optielijsten voordat je iets aanraakt. De tabel hieronder is de hele koppeling.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 is groep 15, en AWS accepteert momenteel 15 in zowel de Phase 1- als de Phase 2-DH-groepenlijsten. Het op beide plekken accepteren is niet hetzelfde als het op beide plekken eisen, en het betekent zeker niet dat je partner beide bedoelde.
Phase 1 en Phase 2 onderhandelen over verschillende dingen
Phase 1 bouwt de IKE-beveiligingsassociatie: hoe de twee gateways zich authenticeren, sleutels afspreken en hun eigen gesprek beschermen. Phase 2 bouwt de CHILD SA die je werkelijke verkeer draagt, en de sleuteluitwisseling kan nieuw zijn in plaats van geërfd.
Die splitsing is de reden dat het ertoe doet wanneer een partner over perfect forward secrecy praat. PFS is een eigenschap van Phase 2, en een groep in de Phase 1-lijst levert die niet. Vraag voor welke uitwisseling elke eis geldt, samen met de versleutelingsmodus, of integriteit door een AEAD-cijfer wordt geleverd, en de verwachtingen rond sleutelvernieuwing aan beide kanten.
Leid geen volledige acceptabele suite af uit het woord AES of uit één DH-nummer. Een beleid dat uit twee helften van twee gesprekken is samengesteld, is hoe een tunnel uiteindelijk iets voorstelt waar geen van beide teams mee heeft ingestemd.
Een toegestane lijst is geen onderhandelingsresultaat
De optielijsten beschrijven wat elke kant bereid is te accepteren. Ze rapporteren niet wat er is gekozen. Lees de daadwerkelijk gekozen IKE- en CHILD-SA-voorstellen voor een nieuwe verbinding en bevestig dan dat de eis is vervuld en niet alleen toegestaan. Een sterke optie in een lijst bewijst alleen dat die beschikbaar was.
Let ook op de vernieuwing. De eerste IKEv2 CHILD SA en een latere CHILD-uitwisseling met PFS kunnen verschillende compatibiliteitsvoorwaarden blootleggen, omdat de tweede uitwisseling vers sleutelmateriaal maakt met de PFS-groep in het spel. Als je acceptatietest alleen de eerste minuut van een tunnel dekt, heeft die het deel dat je partner belangrijk vindt niet getest.
De AWS-referentie voor tunnelopties vermeldt Phase 1 en Phase 2 afzonderlijk, en dat is de structuur die het waard is om je eigen te maken voordat de volgende eis binnenkomt.
Wijzig de tunnel die je echt bedoelt
Een Site-to-Site VPN-verbinding heeft twee tunnels met hun eigen opties en hun eigen status. Voordat je iets beoordeelt of bewerkt, stem het buitenadres van de AWS-tunnel af op de peer aan de klantgateway-zijde en ga er niet van uit dat één opslag beide bijwerkt.
Een goedgekeurde wijziging vereist dat de klantgateway-zijde op hetzelfde beleid is voorbereid en een venster voor de onderbreking die de gekozen tunnel kost. Als de peer niet klaar is voor groep 15 in de fase die je wijzigt, komt de tunnel simpelweg niet meer op, en de console vertelt je niet welke kant weigerde.
Leg het afgesproken beleid vast als fase, protocolversie, versleuteling, integriteit en DH-groep, en bevestig het dan bij de uitwisselingen die het moet beschermen. Routering, verkeersselectors en applicatiemachtigingen blijven apart; deze koppeling is geen volledige gatewayconfiguratie en geen aanbeveling om extra algoritmen voor de variatie aan te zetten.