په AWS Site-to-Site VPN کې MODP3072 چېرته ځای لري
MODP3072 د IANA 15مه ډله ده، خو ډله یو پړاو ته تړاو لري۔ د تونل له سمولو مخکې اړتیا د Phase 1 یا Phase 2 د DH لیستونو سره وتړئ۔
یو څوک تاسو ته اړتیا راولېږي چې پکې IKEv2، ESP او MODP3072 لیکل شوي، او کنسول کې د دې نوم هېڅ ساحه نه ده۔ تېروتنه دا ده چې داسې ساحه ولټوې۔ IKEv2 د خبرو اترو نسخه ده، ESP هغه پروتوکول دی چې ستاسو ساتل شوی ترافیک وړي، او MODP3072 د کیلي تبادلې ډله ده، یعنې د IANA 15مه ډله۔ دا درې حقایق په درې جلا ځایونو کې ژوند کوي، او ډله دوه ځله ښکاري۔
دا جمله یو واحد تنظیم نه دی
له هر څه لمس کولو مخکې اړتیا د انتخاب لیستونو ته واړوئ۔ لاندې جدول ټول مطابقت دی۔
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 15مه ډله ده، او AWS اوس مهال 15 په Phase 1 او Phase 2 دواړو کې د DH ډلو په لیستونو کې مني۔ په دواړو ځایونو کې یې منل د دواړو ځایونو کې یې غوښتل نه دي، او دا هېڅکله نه مانا چې ستاسو ملګري دواړه په نظر کې وو۔
Phase 1 او Phase 2 په بېلو شیانو خبرې اترې کوي
Phase 1 د IKE د امنیت ټولنه جوړوي: څنګه دوه دروازې یو بل تصدیقوي، د کیليو په اړه سره موافقې ته رسیږي او خپله خبرې اترې ساتي۔ Phase 2 هغه CHILD SA جوړوي چې ستاسو ریښتینی ترافیک وړي، او د هغې کیلي تبادله میراثي نه بلکې نوی کېدای شي۔
همدا وېش لامل دی چې کله ملګری د بشپړې مخته روانې پټتیا خبره کوي، هغه اهمیت لري۔ PFS د Phase 2 ځانګړنه ده، او په Phase 1 لیست کې ډله هغه نه برابروي۔ وپوښتئ چې هر اړتیا کومې تبادلې ته اړه لري، له هغې سره د کوډ کولو حالت، ایا بشپړتیا د AEAD کوډ کوونکي له خوا ورکول کیږي، او د دواړو خواوو د کیلي نوي کولو تمې۔
د AES کلمې یا یو DH شمېرې څخه بشپړ منل کېدونکی سیټ مه اټکلوئ۔ هغه تګلاره چې د دوو خبرو اترو د دوو نیمو څخه جوړه شوې وي، هغه لار ده چې تونل په پای کې داسې څه وړاندیز کوي چې هېڅ ټیم پرې موافقت نه دی کړی۔
اجازه ورکړل شوی لیست د خبرو اترو پایله نه ده
د انتخاب لیستونه بیانوي چې هر اړخ څه منلو ته تیار دی۔ دوی نه وایي چې څه غوره شول۔ د نوي اتصال لپاره هغه IKE او CHILD-SA وړاندیزونه ولولئ چې واقعاً غوره شوي، بیا تایید کړئ چې اړتیا یوازې اجازه نه بلکې پوره شوې ده۔ په لیست کې پیاوړی انتخاب یوازې دا ثابتوي چې هغه شتون درلود۔
نوي کولو ته هم پام وکړئ۔ لومړی IKEv2 CHILD SA او وروسته PFS لرونکې CHILD تبادله کېدای شي بېلابېلې سازګارۍ شرایط ښکاره کړي، ځکه چې دوهمه تبادله د PFS ډلې سره نوی کیلي مواد جوړوي۔ که ستاسو د منلو ازموینه یوازې د تونل لومړۍ دقیقه پوښي، نو هغه برخه یې نه ده ازمویلې چې ستاسو ملګري ته مهمه ده۔
د AWS د تونل انتخابونو مرجع Phase 1 او Phase 2 جلا لیستوي، او همدا جوړښت دی چې د بلې اړتیا له راتلو مخکې یې زده کول ارزښت لري۔
هغه تونل بدل کړئ چې واقعاً یې مطلب کوئ
د Site-to-Site VPN اتصال دوه تونلونه لري چې خپل انتخابونه او خپل حالت لري۔ له کتنې یا سمونې مخکې د AWS تونل بهرنی پته د پیرودونکي دروازې اړخ پییر سره سمه کړئ، او دا مه ګڼئ چې یوه خوندي کول دواړه تازه کوي۔
منل شوی بدلون غواړي چې د پیرودونکي دروازې اړخ ورته تګلارې ته چمتو وي او د هغه ځنډ لپاره وخت وي چې غوره شوی تونل به یې واخلي۔ که پییر په هغه پړاو کې چې تاسو یې بدلوئ 15مې ډلې ته چمتو نه وي، تونل به یوازې پورته کېدل بند کړي، او کنسول به تاسو ته ونه وایي چې کوم اړخ انکار وکړ۔
منل شوې تګلاره د پړاو، پروتوکول نسخې، کوډ کولو، بشپړتیا او DH ډلې په توګه ثبت کړئ، بیا یې په هغو تبادلو کې تایید کړئ چې باید یې وساتي۔ لارښوونه، د ترافیک ټاکونکي او د اپلیکیشن اجازې جلا پاتې کیږي؛ دا نقشه بشپړه د دروازې ترتیب نه ده، او د تنوع لپاره د اضافي الګوریتمونو فعالولو وړاندیز هم نه دی۔