AWS Site-to-Site VPN ਵਿੱਚ MODP3072 ਕਿੱਥੇ ਆਉਂਦਾ ਹੈ
MODP3072 IANA ਦਾ ਸਮੂਹ 15 ਹੈ, ਪਰ ਸਮੂਹ ਇੱਕ ਪੜਾਅ ਨਾਲ ਸੰਬੰਧਿਤ ਹੈ। ਟਨਲ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਲੋੜ ਨੂੰ Phase 1 ਜਾਂ Phase 2 ਦੀਆਂ DH ਸੂਚੀਆਂ ਨਾਲ ਮਿਲਾਓ।
ਕੋਈ ਤੁਹਾਨੂੰ ਅਜਿਹੀ ਲੋੜ ਭੇਜਦਾ ਹੈ ਜਿਸ ਵਿੱਚ IKEv2, ESP ਅਤੇ MODP3072 ਲਿਖਿਆ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਕੰਸੋਲ ਵਿੱਚ ਉਸ ਨਾਮ ਦਾ ਕੋਈ ਫੀਲਡ ਨਹੀਂ ਹੁੰਦਾ। ਗਲਤੀ ਇਹ ਹੈ ਕਿ ਅਜਿਹਾ ਫੀਲਡ ਲੱਭਣ ਲੱਗ ਪਈਏ। IKEv2 ਗੱਲਬਾਤ ਦਾ ਸੰਸਕਰਣ ਹੈ, ESP ਉਹ ਪ੍ਰੋਟੋਕੋਲ ਹੈ ਜੋ ਤੁਹਾਡੀ ਸੁਰੱਖਿਅਤ ਟ੍ਰੈਫਿਕ ਢੋਂਦਾ ਹੈ, ਅਤੇ MODP3072 ਕੁੰਜੀ-ਅਦਲਾ-ਬਦਲੀ ਸਮੂਹ ਹੈ, ਭਾਵ IANA ਦਾ ਸਮੂਹ 15। ਇਹ ਤਿੰਨ ਤੱਥ ਤਿੰਨ ਵੱਖਰੀਆਂ ਥਾਵਾਂ 'ਤੇ ਰਹਿੰਦੇ ਹਨ, ਅਤੇ ਸਮੂਹ ਦੋ ਵਾਰ ਦਿਖਦਾ ਹੈ।
ਇਹ ਵਾਕ ਇੱਕੋ ਸੈਟਿੰਗ ਨਹੀਂ ਹੈ
ਕੁਝ ਵੀ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਲੋੜ ਨੂੰ ਵਿਕਲਪ ਸੂਚੀਆਂ ਵਿੱਚ ਬਦਲੋ। ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਪੂਰੀ ਮਿਲਾਨ ਹੈ।
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 ਸਮੂਹ 15 ਹੈ, ਅਤੇ AWS ਇਸ ਸਮੇਂ Phase 1 ਅਤੇ Phase 2 ਦੋਵਾਂ ਦੀਆਂ DH ਸਮੂਹ ਸੂਚੀਆਂ ਵਿੱਚ 15 ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਦੋਵਾਂ ਥਾਵਾਂ 'ਤੇ ਇਸਨੂੰ ਸਵੀਕਾਰ ਕਰਨਾ ਦੋਵਾਂ ਥਾਵਾਂ 'ਤੇ ਇਸਦੀ ਮੰਗ ਕਰਨ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ, ਅਤੇ ਇਸਦਾ ਇਹ ਅਰਥ ਬਿਲਕੁਲ ਨਹੀਂ ਕਿ ਤੁਹਾਡੇ ਸਾਥੀ ਦਾ ਮਤਲਬ ਦੋਵੇਂ ਸਨ।
Phase 1 ਅਤੇ Phase 2 ਵੱਖਰੀਆਂ ਚੀਜ਼ਾਂ 'ਤੇ ਗੱਲਬਾਤ ਕਰਦੇ ਹਨ
Phase 1 IKE ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਬਣਾਉਂਦਾ ਹੈ: ਦੋ ਗੇਟਵੇ ਕਿਵੇਂ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੇ ਹਨ, ਕੁੰਜੀਆਂ 'ਤੇ ਕਿਵੇਂ ਸਹਿਮਤ ਹੁੰਦੇ ਹਨ ਅਤੇ ਆਪਣੀ ਗੱਲਬਾਤ ਕਿਵੇਂ ਸੁਰੱਖਿਅਤ ਰੱਖਦੇ ਹਨ। Phase 2 ਉਹ CHILD SA ਬਣਾਉਂਦਾ ਹੈ ਜੋ ਤੁਹਾਡੀ ਅਸਲ ਟ੍ਰੈਫਿਕ ਢੋਂਦਾ ਹੈ, ਅਤੇ ਇਸਦੀ ਕੁੰਜੀ-ਅਦਲਾ-ਬਦਲੀ ਵਿਰਾਸਤੀ ਨਹੀਂ, ਨਵੀਂ ਹੋ ਸਕਦੀ ਹੈ।
ਇਹੀ ਵੰਡ ਕਾਰਨ ਹੈ ਕਿ ਜਦੋਂ ਸਾਥੀ ਪੂਰੀ ਅੱਗੇ ਵੱਲ ਗੁਪਤਤਾ ਦੀ ਗੱਲ ਕਰਦਾ ਹੈ ਤਾਂ ਇਹ ਮਾਇਨੇ ਰੱਖਦੀ ਹੈ। PFS Phase 2 ਦਾ ਗੁਣ ਹੈ, ਅਤੇ Phase 1 ਸੂਚੀ ਵਿੱਚਲਾ ਸਮੂਹ ਇਹ ਨਹੀਂ ਦਿੰਦਾ। ਪੁੱਛੋ ਕਿ ਹਰ ਲੋੜ ਕਿਹੜੀ ਅਦਲਾ-ਬਦਲੀ 'ਤੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ, ਨਾਲ ਹੀ ਐਨਕ੍ਰਿਪਸ਼ਨ ਮੋਡ, ਕੀ ਅਖੰਡਤਾ AEAD ਸਾਈਫਰ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਦੋਵਾਂ ਪਾਸਿਆਂ ਦੀਆਂ ਕੁੰਜੀ-ਨਵੀਨੀਕਰਨ ਉਮੀਦਾਂ।
AES ਸ਼ਬਦ ਜਾਂ ਇੱਕ DH ਸੰਖਿਆ ਤੋਂ ਪੂਰਾ ਸਵੀਕਾਰਯੋਗ ਸੈੱਟ ਨਾ ਕੱਢੋ। ਦੋ ਗੱਲਬਾਤਾਂ ਦੇ ਦੋ ਅੱਧਿਆਂ ਤੋਂ ਜੋੜੀ ਨੀਤੀ ਹੀ ਉਹ ਰਾਹ ਹੈ ਜਿਸ ਨਾਲ ਟਨਲ ਕੁਝ ਅਜਿਹਾ ਪ੍ਰਸਤਾਵਿਤ ਕਰਦਾ ਹੈ ਜਿਸ 'ਤੇ ਕਿਸੇ ਟੀਮ ਨੇ ਸਹਿਮਤੀ ਨਹੀਂ ਦਿੱਤੀ।
ਮਨਜ਼ੂਰ ਸੂਚੀ ਗੱਲਬਾਤ ਦਾ ਨਤੀਜਾ ਨਹੀਂ ਹੈ
ਵਿਕਲਪ ਸੂਚੀਆਂ ਦੱਸਦੀਆਂ ਹਨ ਕਿ ਹਰ ਧਿਰ ਕੀ ਸਵੀਕਾਰ ਕਰਨ ਲਈ ਤਿਆਰ ਹੈ। ਉਹ ਨਹੀਂ ਦੱਸਦੀਆਂ ਕਿ ਕੀ ਚੁਣਿਆ ਗਿਆ। ਨਵੇਂ ਕਨੈਕਸ਼ਨ ਲਈ ਅਸਲ ਵਿੱਚ ਚੁਣੇ ਗਏ IKE ਅਤੇ CHILD-SA ਪ੍ਰਸਤਾਵ ਪੜ੍ਹੋ, ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਲੋੜ ਸਿਰਫ਼ ਮਨਜ਼ੂਰ ਨਹੀਂ ਸਗੋਂ ਪੂਰੀ ਹੋਈ ਹੈ। ਸੂਚੀ ਵਿੱਚਲਾ ਮਜ਼ਬੂਤ ਵਿਕਲਪ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਇਹ ਉਪਲਬਧ ਸੀ।
ਨਵੀਨੀਕਰਨ 'ਤੇ ਵੀ ਧਿਆਨ ਦਿਓ। ਪਹਿਲਾ IKEv2 CHILD SA ਅਤੇ ਬਾਅਦ ਵਾਲੀ PFS ਵਾਲੀ CHILD ਅਦਲਾ-ਬਦਲੀ ਵੱਖਰੀਆਂ ਅਨੁਕੂਲਤਾ ਸ਼ਰਤਾਂ ਦਿਖਾ ਸਕਦੇ ਹਨ, ਕਿਉਂਕਿ ਦੂਜੀ ਅਦਲਾ-ਬਦਲੀ PFS ਸਮੂਹ ਨਾਲ ਨਵੀਂ ਕੁੰਜੀ ਸਮੱਗਰੀ ਬਣਾਉਂਦੀ ਹੈ। ਜੇ ਤੁਹਾਡਾ ਸਵੀਕ੍ਰਿਤੀ ਟੈਸਟ ਟਨਲ ਦੇ ਸਿਰਫ਼ ਪਹਿਲੇ ਮਿੰਟ ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ, ਤਾਂ ਇਸਨੇ ਉਹ ਹਿੱਸਾ ਨਹੀਂ ਜਾਂਚਿਆ ਜੋ ਤੁਹਾਡੇ ਸਾਥੀ ਲਈ ਮਹੱਤਵਪੂਰਨ ਹੈ।
AWS ਟਨਲ-ਵਿਕਲਪ ਸੰਦਰਭ Phase 1 ਅਤੇ Phase 2 ਨੂੰ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਅਤੇ ਅਗਲੀ ਲੋੜ ਆਉਣ ਤੋਂ ਪਹਿਲਾਂ ਇਹੀ ਢਾਂਚਾ ਆਤਮਸਾਤ ਕਰਨ ਯੋਗ ਹੈ।
ਅਸਲ ਵਿੱਚ ਜਿਸ ਟਨਲ ਦੀ ਗੱਲ ਹੈ ਉਹੀ ਬਦਲੋ
Site-to-Site VPN ਕਨੈਕਸ਼ਨ ਵਿੱਚ ਦੋ ਟਨਲ ਹੁੰਦੇ ਹਨ, ਜਿਨ੍ਹਾਂ ਦੇ ਆਪਣੇ ਵਿਕਲਪ ਅਤੇ ਆਪਣੀ ਸਥਿਤੀ ਹੁੰਦੀ ਹੈ। ਕੁਝ ਵੀ ਸਮੀਖਿਆ ਜਾਂ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ AWS ਟਨਲ ਦਾ ਬਾਹਰੀ ਪਤਾ ਗਾਹਕ-ਗੇਟਵੇ ਪਾਸੇ ਦੇ ਪੀਅਰ ਨਾਲ ਮਿਲਾਓ, ਅਤੇ ਇਹ ਨਾ ਮੰਨੋ ਕਿ ਇੱਕ ਸੇਵ ਦੋਵੇਂ ਅੱਪਡੇਟ ਕਰਦੀ ਹੈ।
ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਬਦਲਾਅ ਲਈ ਗਾਹਕ-ਗੇਟਵੇ ਪਾਸੇ ਦਾ ਉਸੇ ਨੀਤੀ ਲਈ ਤਿਆਰ ਹੋਣਾ ਅਤੇ ਚੁਣੇ ਗਏ ਟਨਲ ਵੱਲੋਂ ਸਹਿਣ ਵਾਲੀ ਰੁਕਾਵਟ ਲਈ ਇੱਕ ਸਮਾਂ ਵਿੰਡੋ ਲੋੜੀਂਦੀ ਹੈ। ਜੇ ਜਿਸ ਪੜਾਅ ਨੂੰ ਤੁਸੀਂ ਬਦਲ ਰਹੇ ਹੋ ਉਸ ਵਿੱਚ ਪੀਅਰ ਸਮੂਹ 15 ਲਈ ਤਿਆਰ ਨਹੀਂ, ਤਾਂ ਟਨਲ ਉੱਪਰ ਆਉਣਾ ਬੰਦ ਕਰ ਦੇਵੇਗਾ, ਅਤੇ ਕੰਸੋਲ ਤੁਹਾਨੂੰ ਨਹੀਂ ਦੱਸੇਗਾ ਕਿ ਕਿਹੜੇ ਪਾਸੇ ਮਨਾਹੀ ਕੀਤੀ।
ਸਹਿਮਤ ਨੀਤੀ ਨੂੰ ਪੜਾਅ, ਪ੍ਰੋਟੋਕੋਲ ਸੰਸਕਰਣ, ਐਨਕ੍ਰਿਪਸ਼ਨ, ਅਖੰਡਤਾ ਅਤੇ DH ਸਮੂਹ ਵਜੋਂ ਦਰਜ ਕਰੋ, ਫਿਰ ਉਨ੍ਹਾਂ ਅਦਲਾ-ਬਦਲੀਆਂ 'ਤੇ ਇਸਦੀ ਪੁਸ਼ਟੀ ਕਰੋ ਜਿਨ੍ਹਾਂ ਦੀ ਇਸਨੂੰ ਰੱਖਿਆ ਕਰਨੀ ਹੈ। ਰਾਊਟਿੰਗ, ਟ੍ਰੈਫਿਕ ਚੋਣਕਾਰ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਇਜਾਜ਼ਤਾਂ ਵੱਖਰੀਆਂ ਰਹਿੰਦੀਆਂ ਹਨ; ਇਹ ਮੈਪਿੰਗ ਪੂਰੀ ਗੇਟਵੇ ਸੰਰਚਨਾ ਨਹੀਂ ਹੈ, ਅਤੇ ਵੰਨ-ਸੁਵੰਨਤਾ ਲਈ ਵਾਧੂ ਐਲਗੋਰਿਦਮ ਚਾਲੂ ਕਰਨ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਵੀ ਨਹੀਂ ਹੈ।