Kvar MODP3072 høyrer heime i ein AWS Site-to-Site VPN
MODP3072 er IANA-gruppe 15, men gruppa høyrer til ein fase. Kartlegg kravet mot DH-listene for Phase 1 eller Phase 2 før du redigerer ein tunnel.
Nokon sender deg eit krav der det står IKEv2, ESP og MODP3072, og konsollen har ikkje noko felt med det namnet. Feilen er å gå på leiting etter eit slikt felt. IKEv2 er ein forhandlingsversjon, ESP er protokollen som ber den verna trafikken din, og MODP3072 er ei nøkkelutvekslingsgruppe, nemleg IANA-gruppe 15. Desse tre fakta bur tre ulike stader, og gruppa dukkar opp to gonger.
Setninga er ikkje éin einaste innstilling
Gjer kravet om til vallister før du rører noko. Tabellen nedanfor er heile kryssreferansen.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 er gruppe 15, og AWS godtek for tida 15 i både Phase 1- og Phase 2-DH-gruppelistene. Å godta han begge stader er ikkje det same som å krevje han begge stader, og det betyr absolutt ikkje at partnaren din meinte begge.
Phase 1 og Phase 2 forhandlar om ulike ting
Phase 1 byggjer IKE-tryggleiksassosiasjonen: korleis dei to gatewayane autentiserer seg, blir samde om nøklar og vernar sin eigen samtale. Phase 2 byggjer CHILD SA som ber den faktiske trafikken din, og nøkkelutvekslinga kan vere ny i staden for arva.
Denne delinga er grunnen til at det spelar ei rolle når ein partnar snakkar om perfekt framoverretta løyndom. PFS er ein eigenskap ved Phase 2, og ei gruppe på Phase 1-lista gir han ikkje. Spør kva utveksling kvart krav gjeld, saman med krypteringsmodus, om integritet blir levert av ein AEAD-chiffer, og forventningane til nøkkelnying på begge sider.
Ikkje lei ut eit fullstendig akseptabelt sett frå ordet AES eller frå eitt DH-nummer. Ein policy sett saman av to halvdelar av to samtalar er måten ein tunnel endar med å føreslå noko ingen av teama har godteke.
Ei tillaten liste er ikkje eit forhandlingsresultat
Vallistene skildrar kva kvar side er villig til å godta. Dei rapporterer ikkje kva som vart valt. Les dei faktisk valde IKE- og CHILD-SA-forslaga for ei ny tilkopling, og stadfest deretter at kravet er oppfylt og ikkje berre tillate. Eit sterkt val i ei liste beviser berre at det var tilgjengeleg.
Følg òg med på fornyinga. Den første IKEv2 CHILD SA og ei seinare CHILD-utveksling med PFS kan avdekkje ulike kompatibilitetsvilkår, fordi den andre utvekslinga lagar friskt nøkkelmateriale med PFS-gruppa i spel. Viss akseptansetesten din berre dekkjer det første minuttet av ein tunnel, har han ikkje testa delen partnaren din bryr seg om.
AWS-referansen for tunnelval listar Phase 1 og Phase 2 kvar for seg, og det er strukturen som er verdt å internalisere før neste krav kjem.
Endre tunnelen du faktisk meiner
Ei Site-to-Site VPN-tilkopling har to tunnelar med eigne val og eigen tilstand. Før du går gjennom eller redigerer noko, samsvar den ytre adressa til AWS-tunnelen med peer-en på kundegateway-sida og ikkje anta at éi lagring oppdaterer begge.
Ei godkjend endring krev at kundegateway-sida er førebudd på same policy og eit vindauge for avbrotet den valde tunnelen vil ta. Viss peer-en ikkje er klar for gruppe 15 i fasen du endrar, sluttar tunnelen ganske enkelt å kome opp, og konsollen fortel deg ikkje kva side som nekta.
Noter den avtalte policyen som fase, protokollversjon, kryptering, integritet og DH-gruppe, og stadfest han deretter ved utvekslingane han skal verne. Ruting, trafikkveljarar og applikasjonstillatingar blir haldne åtskilde; denne kartlegginga er ikkje ein full gateway-konfigurasjon, og det er ikkje ei tilråding om å slå på ekstra algoritmar for variasjonens skuld.