Kam sodi MODP3072 v AWS Site-to-Site VPN
MODP3072 je skupina 15 IANA, vendar skupina pripada fazi. Zahtevo povežite s seznami DH za Phase 1 ali Phase 2, preden uredite tunel.
Nekdo vam pošlje zahtevo, v kateri piše IKEv2, ESP in MODP3072, konzola pa nima polja s tem imenom. Napaka je, da takšno polje začnete iskati. IKEv2 je različica pogajanj, ESP je protokol, ki prenaša vaš zaščiten promet, MODP3072 pa je skupina za izmenjavo ključev, to je skupina 15 IANA. Ta tri dejstva živijo na treh različnih mestih, skupina pa se pojavi dvakrat.
Ta stavek ni ena sama nastavitev
Preden se česar koli dotaknete, zahtevo pretvorite v sezname možnosti. Spodnja tabela je celotno ujemanje.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 je skupina 15 in AWS trenutno sprejema 15 na seznamu skupin DH za Phase 1 in Phase 2. Sprejemati jo na obeh mestih ni isto kot zahtevati jo na obeh, in zagotovo ne pomeni, da je vaš partner mislil oba.
Phase 1 in Phase 2 se pogajata o različnih stvareh
Phase 1 zgradi varnostno asociacijo IKE: kako se oba prehoda preverita, se dogovorita o ključih in zaščitita svoj pogovor. Phase 2 zgradi CHILD SA, ki prenaša vaš dejanski promet, njegova izmenjava ključev pa je lahko nova in ne podedovana.
Prav ta delitev je razlog, da je pomembno, ko partner govori o popolni vnaprejšnji tajnosti. PFS je lastnost Phase 2 in skupina na seznamu Phase 1 tega ne zagotavlja. Vprašajte, na katero izmenjavo se nanaša vsaka zahteva, skupaj z načinom šifriranja, ali celovitost zagotavlja šifra AEAD in kakšna so pričakovanja glede obnove ključev na obeh straneh.
Iz besede AES ali iz ene številke DH ne sklepajte o celotnem sprejemljivem naboru. Politika, sestavljena iz dveh polovic dveh pogovorov, je način, kako tunel na koncu predlaga nekaj, s čimer se ni strinjala nobena ekipa.
Dovoljeni seznam ni rezultat pogajanj
Seznami možnosti opisujejo, kaj je vsaka stran pripravljena sprejeti. Ne poročajo, kaj je bilo izbrano. Preberite dejansko izbrane predloge IKE in CHILD-SA za novo povezavo, nato potrdite, da je zahteva izpolnjena in ne le dovoljena. Močna možnost na seznamu dokazuje le, da je bila na voljo.
Pazite tudi na obnovo. Prvi CHILD SA v IKEv2 in poznejša izmenjava CHILD s PFS lahko razkrijeta različne pogoje združljivosti, ker druga izmenjava ustvari svež ključni material s skupino PFS. Če vaš sprejemni test pokriva le prvo minuto tunela, ni preizkusil dela, ki je pomemben vašemu partnerju.
Referenca možnosti tunela AWS navaja Phase 1 in Phase 2 ločeno, in prav to strukturo je vredno usvojiti, preden prispe naslednja zahteva.
Spremenite tunel, ki ga resnično mislite
Povezava Site-to-Site VPN ima dva tunela z lastnimi možnostmi in lastnim stanjem. Preden kar koli pregledate ali uredite, uskladite zunanji naslov tunela AWS z nasprotnim koncem na strani strankinega prehoda in ne domnevajte, da eno shranjevanje posodobi oba.
Odobrena sprememba zahteva, da je stran strankinega prehoda pripravljena na isto politiko, in časovno okno za prekinitev, ki jo bo prevzel izbrani tunel. Če nasprotni konec ni pripravljen na skupino 15 v fazi, ki jo spreminjate, tunel preprosto neha vstajati, konzola pa vam ne bo povedala, katera stran je zavrnila.
Dogovorjeno politiko zabeležite kot fazo, različico protokola, šifriranje, celovitost in skupino DH, nato pa jo potrdite pri izmenjavah, ki naj bi jih ščitila. Usmerjanje, selektorji prometa in dovoljenja aplikacij ostanejo ločeni; to ujemanje ni popolna konfiguracija prehoda in ni priporočilo za vklop dodatnih algoritmov zaradi raznolikosti.