Onde o MODP3072 entra numa VPN Site-to-Site da AWS

Alguém envia um requisito que diz IKEv2, ESP e MODP3072, e a consola não tem nenhum campo com esse nome. O erro é ir procurar um. O IKEv2 é uma versão de negociação, o ESP é o protocolo que transporta o tráfego protegido, e o MODP3072 é um grupo de troca de chaves, ou seja, o grupo 15 da IANA. Estes três factos vivem em três locais diferentes, e o grupo aparece duas vezes.

A frase não é uma única definição

Converta o requisito em listas de opções antes de tocar em qualquer coisa. A tabela abaixo é todo o mapeamento.

O MODP3072 é o grupo 15, e a AWS aceita atualmente 15 tanto na lista de grupos DH de Phase 1 como na de Phase 2. Aceitá-lo nos dois locais não é o mesmo que exigi-lo nos dois, e não significa de modo algum que o seu parceiro se referisse a ambos.

Phase 1 e Phase 2 negoceiam coisas diferentes

O Phase 1 constrói a associação de segurança IKE: como os dois gateways se autenticam, acordam as chaves e protegem a sua própria conversa. O Phase 2 constrói a CHILD SA que transporta o tráfego real, e a sua troca de chaves pode ser nova em vez de herdada.

É esta separação que faz com que importe quando um parceiro fala de confidencialidade persistente perfeita. O PFS é uma propriedade do Phase 2, e um grupo na lista de Phase 1 não a fornece. Pergunte a que troca se aplica cada requisito, juntamente com o modo de cifra, se a integridade é fornecida por uma cifra AEAD e as expectativas de renovação de chaves de ambos os lados.

Não deduza um conjunto aceitável completo da palavra AES nem de um único número DH. Uma política montada com duas metades de duas conversas é como um túnel acaba por propor algo com que nenhuma das equipas concordou.

Uma lista permitida não é um resultado de negociação

As listas de opções descrevem o que cada lado está disposto a aceitar. Não relatam o que foi escolhido. Leia as propostas IKE e CHILD-SA realmente selecionadas para uma nova ligação e depois confirme que o requisito está satisfeito e não apenas permitido. Uma opção forte dentro de uma lista prova apenas que estava disponível.

Observe também a renovação. A primeira CHILD SA de IKEv2 e uma troca CHILD posterior com PFS podem revelar condições de compatibilidade diferentes, porque a segunda troca cria material de chave novo com o grupo PFS em jogo. Se o seu teste de aceitação só cobre o primeiro minuto de um túnel, não testou a parte de que o seu parceiro se preocupa.

A referência de opções de túnel da AWS lista Phase 1 e Phase 2 separadamente, e é essa a estrutura que vale a pena interiorizar antes de chegar o próximo requisito.

Altere o túnel que realmente quer dizer

Uma ligação VPN Site-to-Site tem dois túneis com as suas próprias opções e o seu próprio estado. Antes de rever ou editar qualquer coisa, faça corresponder o endereço exterior do túnel da AWS ao par do lado do gateway do cliente e não assuma que um único guardar atualiza os dois.

Uma alteração aprovada exige que o lado do gateway do cliente esteja preparado para a mesma política e uma janela para a interrupção que o túnel escolhido vai sofrer. Se o par não estiver pronto para o grupo 15 na fase que está a alterar, o túnel simplesmente deixa de subir, e a consola não lhe dirá qual lado recusou.

Registe a política acordada como fase, versão de protocolo, cifra, integridade e grupo DH, e depois confirme-a nas trocas que se destina a proteger. O encaminhamento, os seletores de tráfego e as permissões de aplicações ficam à parte; este mapeamento não é uma configuração completa do gateway e não é uma recomendação para ativar algoritmos extra por variedade.