Kam patrí MODP3072 v AWS Site-to-Site VPN
MODP3072 je skupina 15 IANA, ale skupina patrí k fáze. Priraďte požiadavku k zoznamom DH pre Phase 1 alebo Phase 2, skôr než začnete tunel upravovať.
Niekto vám pošle požiadavku, v ktorej stojí IKEv2, ESP a MODP3072, a konzola nemá žiadne pole s týmto názvom. Chyba je začať také pole hľadať. IKEv2 je verzia vyjednávania, ESP je protokol, ktorý prenáša váš chránený provoz, a MODP3072 je skupina na výmenu kľúčov, teda skupina 15 IANA. Tieto tri skutočnosti žijú na troch rôznych miestach a skupina sa objavuje dvakrát.
Tá fráza nie je jediné nastavenie
Skôr než sa čohokoľvek dotknete, preveďte požiadavku na zoznamy možností. Tabuľka nižšie je celý prevod.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 je skupina 15 a AWS v súčasnosti prijíma 15 v zozname skupín DH pre Phase 1 aj Phase 2. Prijímať ju na oboch miestach nie je to isté ako vyžadovať ju na oboch a určite to neznamená, že váš partner myslel obe.
Phase 1 a Phase 2 vyjednávajú o rôznych veciach
Phase 1 buduje bezpečnostnú asociáciu IKE: ako sa obe brány autentizujú, dohodnú sa na kľúčoch a chránia svoj vlastný rozhovor. Phase 2 buduje CHILD SA, ktorý prenáša váš skutočný provoz, a jeho výmena kľúčov môže byť nová, nie zdedená.
Práve toto rozdelenie je dôvod, prečo záleží, keď partner hovorí o dokonalej doprednej dôvernosti. PFS je vlastnosť Phase 2 a skupina v zozname Phase 1 ju neposkytuje. Opýtajte sa, ku ktorej výmene sa každá požiadavka vzťahuje, spolu s režimom šifrovania, či integritu zabezpečuje šifra AEAD a aké sú očakávania obnovy kľúčov na oboch stranách.
Neodvodzujte úplnú prijateľnú sadu zo slova AES ani z jedného čísla DH. Zásada zložená z dvoch polovíc dvoch rozhovorov je spôsob, akým tunel napokon navrhne niečo, s čím nesúhlasil ani jeden tím.
Povolený zoznam nie je výsledok vyjednávania
Zoznamy možností opisujú, čo je každá strana ochotná prijať. Neuvádzajú, čo bolo vybrané. Prečítajte si skutočne vybrané návrhy IKE a CHILD-SA pre nové spojenie a potom potvrďte, že požiadavka je splnená, nie len povolená. Silná možnosť v zozname dokazuje iba to, že bola k dispozícii.
Sledujte aj obnovu. Prvý CHILD SA v IKEv2 a neskoršia výmena CHILD s PFS môžu odhaliť rôzne podmienky kompatibility, pretože druhá výmena vytvára nový kľúčový materiál so zapojenou skupinou PFS. Ak váš akceptačný test pokrýva len prvú minútu tunela, netestoval časť, na ktorej vášmu partnerovi záleží.
Referenčná príručka možností tunela AWS uvádza Phase 1 a Phase 2 oddelene a práve túto štruktúru sa oplatí osvojiť si, kým príde ďalšia požiadavka.
Meňte tunel, ktorý naozaj máte na mysli
Pripojenie Site-to-Site VPN má dva tunely s vlastnými možnosťami a vlastným stavom. Než čokoľvek skontrolujete alebo upravíte, zlaďte vonkajšiu adresu tunela AWS s protistranou na strane zákazníckej brány a nepredpokladajte, že jedno uloženie aktualizuje obe.
Schválená zmena vyžaduje, aby bola strana zákazníckej brány pripravená na rovnakú zásadu, a okno pre prerušenie, ktoré prinesie zvolený tunel. Ak protistrana nie je pripravená na skupinu 15 vo fáze, ktorú meníte, tunel jednoducho prestane vznikať a konzola vám nepovie, ktorá strana odmietla.
Zaznamenajte dohodnutú zásadu ako fázu, verziu protokolu, šifrovanie, integritu a skupinu DH a potom ju potvrďte pri výmenách, ktoré má chrániť. Smerovanie, selektory provozu a oprávnenia aplikácií zostávajú oddelene; toto mapovanie nie je úplná konfigurácia brány a nie je odporúčaním zapínať ďalšie algoritmy pre rozmanitosť.