Unde intră MODP3072 într-un VPN Site-to-Site AWS
MODP3072 este grupul 15 IANA, dar grupul aparține unei faze. Asociați cerința listelor DH pentru Phase 1 sau Phase 2 înainte de a edita un tunel.
Cineva vă trimite o cerință în care scrie IKEv2, ESP și MODP3072, iar consola nu are niciun câmp cu acel nume. Greșeala este să porniți în căutarea unui astfel de câmp. IKEv2 este o versiune de negociere, ESP este protocolul care transportă traficul protejat, iar MODP3072 este un grup de schimb de chei, adică grupul 15 IANA. Aceste trei fapte trăiesc în trei locuri diferite, iar grupul apare de două ori.
Fraza nu este o singură setare
Transformați cerința în liste de opțiuni înainte de a atinge ceva. Tabelul de mai jos este întreaga corespondență.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 este grupul 15, iar AWS acceptă în prezent 15 atât în lista grupurilor DH pentru Phase 1, cât și în cea pentru Phase 2. A-l accepta în ambele locuri nu este același lucru cu a-l cere în ambele, și cu siguranță nu înseamnă că partenerul dumneavoastră se referea la amândouă.
Phase 1 și Phase 2 negociază lucruri diferite
Phase 1 construiește asociația de securitate IKE: cum se autentifică cele două gateway-uri, cad de acord asupra cheilor și își protejează propria conversație. Phase 2 construiește CHILD SA care transportă traficul real, iar schimbul său de chei poate fi nou, nu moștenit.
Tocmai această separare face ca lucrurile să conteze atunci când un partener vorbește despre confidențialitate perfectă înainte. PFS este o proprietate a Phase 2, iar un grup din lista Phase 1 nu o oferă. Întrebați la ce schimb se aplică fiecare cerință, împreună cu modul de criptare, dacă integritatea este asigurată de un cifru AEAD și care sunt așteptările de reînnoire a cheilor pe ambele părți.
Nu deduceți o suită acceptabilă completă din cuvântul AES sau dintr-un singur număr DH. O politică alcătuită din două jumătăți a două conversații este modul în care un tunel ajunge să propună ceva cu care niciuna dintre echipe nu a fost de acord.
O listă permisă nu este un rezultat al negocierii
Listele de opțiuni descriu ce este fiecare parte dispusă să accepte. Ele nu raportează ce a fost ales. Citiți propunerile IKE și CHILD-SA selectate efectiv pentru o conexiune nouă, apoi confirmați că cerința este îndeplinită, nu doar permisă. O opțiune puternică într-o listă dovedește doar că era disponibilă.
Urmăriți și reînnoirea. Primul CHILD SA IKEv2 și un schimb CHILD ulterior cu PFS pot dezvălui condiții de compatibilitate diferite, deoarece al doilea schimb creează material de cheie nou cu grupul PFS în joc. Dacă testul dumneavoastră de acceptare acoperă doar primul minut al unui tunel, nu a testat partea de care îi pasă partenerului.
Referința pentru opțiunile tunelului AWS listează Phase 1 și Phase 2 separat, iar aceasta este structura care merită interiorizată înainte de a sosi următoarea cerință.
Modificați tunelul la care vă referiți cu adevărat
O conexiune VPN Site-to-Site are două tuneluri cu propriile opțiuni și propria stare. Înainte de a revizui sau edita ceva, potriviți adresa exterioară a tunelului AWS cu peer-ul de pe partea gateway-ului clientului și nu presupuneți că o singură salvare le actualizează pe amândouă.
O modificare aprobată necesită ca partea gateway-ului clientului să fie pregătită pentru aceeași politică și o fereastră pentru întreruperea pe care o va suferi tunelul ales. Dacă peer-ul nu este pregătit pentru grupul 15 în faza pe care o modificați, tunelul pur și simplu nu va mai porni, iar consola nu vă va spune care parte a refuzat.
Înregistrați politica convenită ca fază, versiune de protocol, criptare, integritate și grup DH, apoi confirmați-o la schimburile pe care ar trebui să le protejeze. Rutarea, selectorii de trafic și permisiunile aplicațiilor rămân separate; această corespondență nu este o configurație completă a gateway-ului și nu este o recomandare de a activa algoritmi suplimentari pentru varietate.