Gdje MODP3072 pripada u AWS Site-to-Site VPN-u
MODP3072 je IANA grupa 15, ali grupa pripada fazi. Uskladite zahtev sa DH listama za Phase 1 ili Phase 2 pre nego što uredite tunel.
Neko vam pošalje zahtev u kojem piše IKEv2, ESP i MODP3072, a konzola nema polje s tim imenom. Greška je krenuti tražiti takvo polje. IKEv2 je verzija pregovora, ESP je protokol koji prenosi vaš zaštićeni saobraćaj, a MODP3072 je grupa za razmenu ključeva, to jest IANA grupa 15. Te tri činjenice žive na tri različita mesta, a grupa se pojavljuje dvaput.
Ta fraza nije jedna postavka
Pretvorite zahtev u liste opcija pre nego što bilo šta dirnete. Tabela ispod je cela mapa.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 je grupa 15, a AWS trenutno prihvata 15 i u listi DH grupa za Phase 1 i u listi za Phase 2. Prihvatati je na oba mesta nije isto kao zahtevati je na oba, i sigurno ne znači da je vaš partner mislio na oba.
Phase 1 i Phase 2 pregovaraju o različitim stvarima
Phase 1 gradi IKE sigurnosnu asocijaciju: kako se dva gejtveja autentifikuju, dogovaraju ključeve i štite sopstveni razgovor. Phase 2 gradi CHILD SA koji prenosi vaš stvarni saobraćaj, a njegova razmena ključeva može biti nova, a ne nasleđena.
Zbog te podele je važno kada partner govori o perfect forward secrecy. PFS je svojstvo Phase 2, a grupa na listi Phase 1 ga ne daje. Pitajte na koju se razmenu odnosi svaki zahtev, uz način enkripcije, da li integritet pruža AEAD šifra i kakva su očekivanja obnove ključeva na obe strane.
Ne izvodite kompletan prihvatljiv skup iz reči AES ili iz jednog DH broja. Politika sastavljena od dve polovine dva razgovora je način na koji tunel završi predlažući nešto s čime se nije složio nijedan tim.
Dozvoljena lista nije rezultat pregovora
Liste opcija opisuju šta je svaka strana spremna prihvatiti. One ne izveštavaju šta je izabrano. Pročitajte stvarno izabrane IKE i CHILD-SA predloge za novu vezu, pa potvrdite da je zahtev ispunjen, a ne samo dozvoljen. Jaka opcija na listi dokazuje samo da je bila dostupna.
Pratite i obnovu. Prvi IKEv2 CHILD SA i kasnija CHILD razmena s PFS-om mogu otkriti različite uslove kompatibilnosti, jer druga razmena stvara svež ključni materijal uz PFS grupu u igri. Ako vaš test prihvatanja pokriva samo prvi minut tunela, nije testirao deo do kojeg je vašem partneru stalo.
AWS referenca za opcije tunela navodi Phase 1 i Phase 2 odvojeno, i to je struktura koju vredi usvojiti pre nego što stigne sledeći zahtev.
Menjajte tunel na koji zaista mislite
Veza Site-to-Site VPN ima dva tunela sa svojim opcijama i svojim stanjem. Pre nego što bilo šta pregledate ili uredite, uskladite spoljnu adresu AWS tunela sa peerom na strani korisničkog gejtveja i ne pretpostavljajte da jedno čuvanje ažurira oba.
Odobrena promena zahteva da strana korisničkog gejtveja bude pripremljena za istu politiku i termin za prekid koji će izabrani tunel uzeti. Ako peer nije spreman za grupu 15 u fazi koju menjate, tunel će jednostavno prestati da se podiže, a konzola vam neće reći koja je strana odbila.
Zabeležite dogovorenu politiku kao fazu, verziju protokola, enkripciju, integritet i DH grupu, pa je potvrdite na razmenama koje treba da štiti. Rutiranje, selektori saobraćaja i dozvole aplikacija ostaju odvojeni; ovo mapiranje nije kompletna konfiguracija gejtveja i nije preporuka da uključujete dodatne algoritme radi raznolikosti.