AWS Site-to-Site VPN තුළ MODP3072 යෙදෙන්නේ කොහේද
MODP3072 යනු IANA 15 වන කණ්ඩායමයි, නමුත් එම කණ්ඩායම එක් අදියරකට අයත් වේ. ටනලය සංස්කරණය කිරීමට පෙර අවශ්‍යතාව Phase 1 හෝ Phase 2 හි DH ලැයිස්තුවලට සම්බන්ධ කරන්න.
කිසිවෙකු ඔබට IKEv2, ESP සහ MODP3072 ලෙස ලියා ඇති අවශ්‍යතාවක් එවයි, නමුත් කොන්සෝලයේ එම නම සහිත ක්ෂේත්‍රයක් නැත. වැරැද්ද වන්නේ එවැනි ක්ෂේත්‍රයක් සොයා යාමයි. IKEv2 යනු සාකච්ඡා අනුවාදයකි, ESP යනු ඔබේ ආරක්ෂිත ගමන් ප්‍රවාහය ගෙන යන ප්‍රොටෝකෝලයයි, MODP3072 යනු යතුරු හුවමාරු කණ්ඩායමයි, එනම් IANA 15 වන කණ්ඩායමයි. මෙම කරුණු තුන වෙනස් ස්ථාන තුනක පවතී, කණ්ඩායම දෙවරක් දිස්වේ.
එම වාක්‍යය එක් සැකසුමක් නොවේ
කිසිවක් ස්පර්ශ කිරීමට පෙර අවශ්‍යතාව විකල්ප ලැයිස්තු බවට පත් කරන්න. පහත වගුව සම්පූර්ණ ගැලපීමයි.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 15 වන කණ්ඩායමයි, AWS දැනට Phase 1 සහ Phase 2 යන දෙකෙහිම DH කණ්ඩායම් ලැයිස්තුවල 15 පිළිගනී. දෙකෙහිම පිළිගැනීම දෙකෙහිම අවශ්‍ය කිරීමට සමාන නොවේ, ඔබේ සහකරු දෙකම අදහස් කළ බව එයින් කිසිසේත් අදහස් නොවේ.
Phase 1 සහ Phase 2 විවිධ දේ සාකච්ඡා කරයි
Phase 1 IKE ආරක්ෂක සංගමය ගොඩනඟයි: දෙපස ගේට්වේ කෙසේ සත්‍යාපනය කරයිද, යතුරු ගැන කෙසේ එකඟ වේද, තම සංවාදය කෙසේ ආරක්ෂා කරයිද යන්න. Phase 2 ඔබේ සැබෑ ගමන් ප්‍රවාහය ගෙන යන CHILD SA ගොඩනඟයි, එහි යතුරු හුවමාරුව උරුම නොව අලුත් විය හැක.
එම වෙන්වීම නිසාම සහකරු පූර්ණ ඉදිරිගාමී රහස්‍යභාවය ගැන කතා කරන විට එය වැදගත් වේ. PFS යනු Phase 2 හි ගුණාංගයකි, Phase 1 ලැයිස්තුවේ ඇති කණ්ඩායමක් එය ලබා නොදේ. එක් එක් අවශ්‍යතාව අදාළ වන්නේ කුමන හුවමාරුවටද, සමඟම සංකේතන මාදිලිය, අඛණ්ඩතාව AEAD සංකේතයකින් ලැබේද, දෙපසම යතුරු අලුත් කිරීමේ අපේක්ෂාවන් අසන්න.
AES යන වචනයෙන් හෝ එක් DH අංකයකින් සම්පූර්ණ පිළිගත හැකි කට්ටලයක් අනුමාන නොකරන්න. සංවාද දෙකක අර්ධ දෙකකින් එකට එකතු කළ ප්‍රතිපත්තිය යනු කිසිදු කණ්ඩායමක් එකඟ නොවූ දෙයක් ටනලය යෝජනා කරන ආකාරයයි.
අවසර දුන් ලැයිස්තුවක් සාකච්ඡා ප්‍රතිඵලයක් නොවේ
විකල්ප ලැයිස්තු විස්තර කරන්නේ එක් එක් පැත්ත පිළිගැනීමට සූදානම් වන දේය. ඒවා තෝරා ගත් දේ වාර්තා නොකරයි. නව සම්බන්ධතාවක් සඳහා සැබවින්ම තෝරාගත් IKE සහ CHILD-SA යෝජනා කියවා, පසුව අවශ්‍යතාව සරලව අවසර දීම පමණක් නොව ඉටු වී ඇති බව තහවුරු කරන්න. ලැයිස්තුවක ඇති ශක්තිමත් විකල්පයක් එය ලබා ගත හැකි වූ බව පමණක් ඔප්පු කරයි.
අලුත් කිරීම ද සෝදිසි කරන්න. පළමු IKEv2 CHILD SA සහ පසුව PFS සහිත CHILD හුවමාරුව විවිධ ගැළපුම් කොන්දේසි හෙළිදරව් කළ හැක, මන්ද දෙවන හුවමාරුව PFS කණ්ඩායම සමඟ නව යතුරු ද්‍රව්‍ය සාදයි. ඔබේ පිළිගැනීමේ පරීක්ෂණය ටනලයේ පළමු මිනිත්තුව පමණක් ආවරණය කරන්නේ නම්, එය ඔබේ සහකරු සැලකිලිමත් වන කොටස පරීක්ෂා කර නැත.
AWS ටනල් විකල්ප සමුද්‍රස්ථය Phase 1 සහ Phase 2 වෙන වෙනම ලැයිස්තුගත කරයි, ඊළඟ අවශ්‍යතාව පැමිණීමට පෙර මෙම ව්‍යුහය උකහා ගැනීම වටී.
ඇත්තටම අදහස් කරන ටනලය වෙනස් කරන්න
Site-to-Site VPN සම්බන්ධතාවකට තමන්ගේම විකල්ප සහ තමන්ගේම තත්ත්වය ඇති ටනල් දෙකක් ඇත. කිසිවක් සමාලෝචනය කිරීමට හෝ සංස්කරණය කිරීමට පෙර AWS ටනලයේ පිටත ලිපිනය ග්‍රාහක-ගේට්වේ පැත්තේ සමානයා සමඟ ගැළපෙන්න, එක් සුරැකීමක් දෙකම යාවත්කාලීන කරන බව නොසිතන්න.
අනුමත වෙනසකට ග්‍රාහක-ගේට්වේ පැත්ත එම ප්‍රතිපත්තියට සූදානම් වීම සහ තෝරාගත් ටනලය දරන බාධාව සඳහා කාල කවුළුවක් අවශ්‍ය වේ. ඔබ වෙනස් කරන අදියරේදී සමානයා 15 වන කණ්ඩායමට සූදානම් නොවේ නම්, ටනලය සරලව ඉහළ ඒම නවතී, කුමන පැත්ත ප්‍රතික්ෂේප කළේදැයි කොන්සෝලය ඔබට නොකියයි.
එකඟ වූ ප්‍රතිපත්තිය අදියර, ප්‍රොටෝකෝල අනුවාදය, සංකේතනය, අඛණ්ඩතාව සහ DH කණ්ඩායම ලෙස සටහන් කර, පසුව එය ආරක්ෂා කළ යුතු හුවමාරුවල එය තහවුරු කරන්න. මාර්ගගත කිරීම, ගමන් ප්‍රවාහ තෝරක සහ යෙදුම් අවසර ප්‍රතිපත්ති වෙන් වෙන්ව පවතී; මෙම සිතියම්කරණය සම්පූර්ණ ගේට්වේ වින්‍යාසයක් නොවේ, විවිධත්වය සඳහා අමතර ඇල්ගොරිතම සක්‍රීය කිරීමේ නිර්දේශයක් ද නොවේ.