Hvor MODP3072 passer i en AWS Site-to-Site VPN
MODP3072 er IANA-gruppe 15, men gruppen tilhører en fase. Kartlegg kravet mot DH-listene for Phase 1 eller Phase 2 før du redigerer en tunnel.
Noen sender deg et krav der det står IKEv2, ESP og MODP3072, og konsollen har ikke noe felt med det navnet. Feilen er å begynne å lete etter et slikt felt. IKEv2 er en forhandlingsversjon, ESP er protokollen som frakter den beskyttede trafikken din, og MODP3072 er en nøkkelutvekslingsgruppe, altså IANA-gruppe 15. Disse tre fakta bor på tre forskjellige steder, og gruppen forekommer to ganger.
Uttrykket er ikke én enkelt innstilling
Gjør kravet om til alternativlister før du berører noe. Tabellen nedenfor er hele kryssreferansen.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 er gruppe 15, og AWS aksepterer for tiden 15 i både Phase 1- og Phase 2-DH-gruppelistene. Å akseptere den begge steder er ikke det samme som å kreve den begge steder, og det betyr slett ikke at partneren din mente begge.
Phase 1 og Phase 2 forhandler om ulike ting
Phase 1 bygger IKE-sikkerhetsassosiasjonen: hvordan de to gatewayene autentiserer seg, blir enige om nøkler og beskytter sin egen samtale. Phase 2 bygger CHILD SA som frakter den faktiske trafikken din, og nøkkelutvekslingen kan være ny snarere enn arvet.
Denne delingen er grunnen til at det har betydning når en partner snakker om perfekt fremoverrettet hemmelighold. PFS er en egenskap ved Phase 2, og en gruppe på Phase 1-listen gir den ikke. Spør hvilken utveksling hvert krav gjelder, sammen med krypteringsmodus, om integritet leveres av en AEAD-chiffer, og forventningene til nøkkelfornyelse på begge sider.
Ikke utled et fullstendig akseptabelt sett fra ordet AES eller fra ett DH-nummer. En policy satt sammen av to halvdeler av to samtaler er måten en tunnel ender opp med å foreslå noe ingen av teamene har godtatt.
En tillatt liste er ikke et forhandlingsresultat
Alternativlistene beskriver hva hver side er villig til å akseptere. De rapporterer ikke hva som ble valgt. Les de faktisk valgte IKE- og CHILD-SA-forslagene for en ny tilkobling, og bekreft deretter at kravet er oppfylt og ikke bare tillatt. Et sterkt alternativ i en liste beviser bare at det var tilgjengelig.
Følg også med på fornyelsen. Den første IKEv2 CHILD SA og en senere CHILD-utveksling med PFS kan avdekke forskjellige kompatibilitetsvilkår, fordi den andre utvekslingen lager friskt nøkkelmateriale med PFS-gruppen i sving. Hvis akseptansetesten din bare dekker det første minuttet av en tunnel, har den ikke testet delen partneren din bryr seg om.
AWS-referansen for tunnelalternativer lister Phase 1 og Phase 2 hver for seg, og det er strukturen som er verdt å internalisere før neste krav kommer.
Endre tunnelen du faktisk mener
En Site-to-Site VPN-tilkobling har to tunneler med egne alternativer og egen tilstand. Før du går gjennom eller redigerer noe, tilpass AWS-tunnelens ytre adresse til peer-en på kundegateway-siden og ikke anta at én lagring oppdaterer begge.
En godkjent endring krever at kundegateway-siden er forberedt på samme policy og et vindu for avbruddet den valgte tunnelen vil ta. Hvis peer-en ikke er klar for gruppe 15 i fasen du endrer, slutter tunnelen rett og slett å komme opp, og konsollen forteller deg ikke hvilken side som nektet.
Noter den avtalte policyen som fase, protokollversjon, kryptering, integritet og DH-gruppe, og bekreft den deretter ved utvekslingene den skal beskytte. Ruting, trafikkvelgere og applikasjonstillatelser holdes atskilt; denne kartleggingen er ikke en full gateway-konfigurasjon, og det er ikke en anbefaling om å aktivere ekstra algoritmer for variasjonens skyld.