Где место MODP3072 в AWS Site-to-Site VPN
MODP3072 — это группа 15 IANA, но группа относится к фазе. Сопоставьте требование со списками DH для Phase 1 или Phase 2, прежде чем менять туннель.
Кто-то присылает вам требование, в котором написано IKEv2, ESP и MODP3072, а в консоли нет поля с таким именем. Ошибка — начинать искать такое поле. IKEv2 — это версия согласования, ESP — протокол, который переносит ваш защищённый трафик, а MODP3072 — группа обмена ключами, то есть группа 15 IANA. Эти три факта живут в трёх разных местах, и группа встречается дважды.
Эта фраза — не одна настройка
Прежде чем что-либо трогать, переведите требование в списки вариантов. Таблица ниже — это вся схема соответствия.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 — это группа 15, и AWS сейчас принимает 15 и в списке групп DH для Phase 1, и в списке для Phase 2. Принимать её в обоих местах — не то же самое, что требовать её в обоих, и это вовсе не значит, что ваш партнёр имел в виду оба.
Phase 1 и Phase 2 согласуют разные вещи
Phase 1 строит ассоциацию безопасности IKE: как два шлюза аутентифицируются, договариваются о ключах и защищают собственный разговор. Phase 2 строит CHILD SA, который переносит ваш реальный трафик, и его обмен ключами может быть новым, а не унаследованным.
Именно из-за этого разделения важно, когда партнёр говорит о совершенной прямой секретности. PFS — свойство Phase 2, и группа из списка Phase 1 его не обеспечивает. Спросите, к какому обмену относится каждое требование, а также о режиме шифрования, о том, обеспечивает ли целостность шифр AEAD, и об ожиданиях по обновлению ключей с обеих сторон.
Не выводите полный приемлемый набор из слова AES или из одного номера DH. Политика, собранная из двух половин двух разговоров, — это путь, которым туннель в итоге предлагает то, с чем не согласилась ни одна команда.
Разрешённый список — не результат переговоров
Списки вариантов описывают, что готова принять каждая сторона. Они не сообщают, что было выбрано. Прочитайте фактически выбранные предложения IKE и CHILD-SA для нового подключения, а затем подтвердите, что требование выполнено, а не просто разрешено. Сильный вариант в списке доказывает лишь то, что он был доступен.
Следите и за обновлением. Первый CHILD SA в IKEv2 и более поздний обмен CHILD с PFS могут выявить разные условия совместимости, потому что второй обмен создаёт свежий ключевой материал с участием группы PFS. Если ваш приёмочный тест покрывает только первую минуту туннеля, он не проверил ту часть, которая важна вашему партнёру.
Справочник по параметрам туннеля AWS перечисляет Phase 1 и Phase 2 отдельно, и именно эту структуру стоит усвоить до того, как придёт следующее требование.
Меняйте тот туннель, который действительно имеете в виду
Подключение Site-to-Site VPN имеет два туннеля со своими параметрами и своим состоянием. Прежде чем что-либо просматривать или менять, сопоставьте внешний адрес туннеля AWS с партнёром на стороне шлюза клиента и не считайте, что одно сохранение обновит оба.
Одобренное изменение требует, чтобы сторона шлюза клиента была готова к той же политике, и окна для перерыва, который повлечёт выбранный туннель. Если партнёр не готов к группе 15 в той фазе, которую вы меняете, туннель просто перестанет подниматься, и консоль не скажет, какая сторона отказала.
Запишите согласованную политику как фазу, версию протокола, шифрование, целостность и группу DH, а затем подтвердите её на обменах, которые она должна защищать. Маршрутизация, селекторы трафика и разрешения приложений остаются отдельно; это сопоставление не является полной конфигурацией шлюза и не является рекомендацией включать дополнительные алгоритмы ради разнообразия.