Halka MODP3072 ku qoran yahay AWS Site-to-Site VPN
MODP3072 waa kooxda 15 ee IANA, laakiin kooxdu waxay ka tirsan tahay weji. U xiriir shuruudda liisaska DH ee Phase 1 ama Phase 2 ka hor intaadan tafatirin tunnel.
Qof ayaa kuu soo dira shuruud ay ku qoran tahay IKEv2, ESP iyo MODP3072, konsolkuna ma laha goob magacaas leh. Khaladku waa inaad bilowdo raadinta goob sidaas ah. IKEv2 waa nooca gorgortanka, ESP waa borotokoolka qaada taraafikadaada la ilaaliyay, MODP3072-na waa koox is-dhaafsiga fureyaasha, taas oo ah kooxda 15 ee IANA. Saddexdan xaqiiqo waxay ku nool yihiin saddex meelood oo kala duwan, kooxduna waxay soo baxdaa laba jeer.
Jumladani ma aha hal dejis
Ka hor intaadan wax taaban, u beddel shuruudda liisas doorasho. Shaxda hoose waa isku-dhaca oo dhan.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 waa kooxda 15, AWS-na hadda waxay aqbashaa 15 labada liis ee kooxaha DH ee Phase 1 iyo Phase 2. In labada meeloodba lagu aqbalo ma aha isku mid in labada meeloodba lagu dalbado, mana macnayn in lammaankaagu u jeedo labadaba.
Phase 1 iyo Phase 2 waxay ka gorgortamaan waxyaabo kala duwan
Phase 1 waxay dhistaa xiriirka amniga IKE: sida labada irrid ay isu xaqiijiyaan, fureyaasha isku raacaan oo ay ilaaliyaan wada hadlkooda. Phase 2 waxay dhistaa CHILD SA oo qaada taraafikadaada dhabta ah, is-dhaafsiga fureyaasheeduna wuxuu noqon karaa mid cusub oo aan la dhaxlin.
Kala qaybsanaantaas ayaa sabab u ah inay muhiim tahay marka lammaanku ka hadlo sirta buuxda ee horay u socota. PFS waa sifo Phase 2, koox ku jirta liiska Phase 1-na ma bixiso. Weydii is-dhaafsiga kee ay shuruud kastaa khuseeyso, oo ay la socoto qaabka sireedka, in daacadnimada uu bixiyo sireedka AEAD, iyo rajada cusboonaysiinta fureyaasha labada dhinac.
Ha ka soo saarin shirkoobka buuxa ee la aqbali karo erayga AES ama hal lambar DH. Siyaasad ka kooban laba nus oo laba wada hadal ayaa ah sida tunnelku ugu dambayntii u soo jeediyo wax aanay kooxna ku heshiin.
Liiska la oggolaaday ma aha natiijada gorgortanka
Liisaska doorashadu waxay sharraxaan waxa dhinac kastaa diyaar u yahay inuu aqbalo. Ma soo sheegaan waxa la doortay. Akhri soo jeedimaha IKE iyo CHILD-SA ee dhab ahaan loo doortay isku xirka cusub, ka dibna xaqiiji in shuruudda la buuxiyay oo aan kaliya la oggolaan. Doorasho xoog leh oo liis ku jirta waxay caddaynaysaa oo keliya inay diyaar ahayd.
Dabagal cusboonaysiintana. CHILD SA-kii ugu horreeyay ee IKEv2 iyo is-dhaafsi CHILD oo dambe oo PFS wata waxay muujin karaan shuruudo is-waafaqa oo kala duwan, sababtoo ah is-dhaafsiga labaad wuxuu abuuraa maaddo fure cusub isagoo kooxda PFS ku jirta. Haddii imtixaankaaga aqbalaaddu uu qariyo oo keliya daqiiqadda ugu horreysa ee tunnel, ma uusan tijaabin qaybta lammaankaagu danaynayo.
Tixraaca doorashooyinka tunnel ee AWS wuxuu taxaa Phase 1 iyo Phase 2 si gooni ah, waana qaabka mudan in la bartaa ka hor inta aan shuruudda xigta imaan.
Beddel tunnelka aad run ahaantii ula jeedo
Isku xirka Site-to-Site VPN wuxuu leeyahay laba tunnel oo leh doorashooyin iyo xaalad u gaar ah. Ka hor intaadan wax dib u eegin ama tafatirin, waafaji ciwaanka dibadda ee tunnelka AWS lammaanka dhinaca irridda macmiilka oo ha u qaadan in hal kaydin labadaba cusboonaysiiso.
Isbeddel la ansixiyay wuxuu u baahan yahay in dhinaca irridda macmiilka loo diyaariyay siyaasad isku mid ah iyo waqti loogu talagalay hakadka tunnelka la doortay uu qaadayo. Haddii lammaanku aanu diyaar u ahayn kooxda 15 wejiga aad beddelayso, tunnelku wuu joojin doonaa soo bixidda, konsolkuna kuuma sheegi doono dhinac kee diiday.
Diiwaangeli siyaasadda la isku raacay sida weji, nooca borotokoolka, sireedka, daacadnimada iyo kooxda DH, ka dibna ku xaqiiji is-dhaafsiyada ay tahay inay ilaaliso. Habaynta waddooyinka, doorashooyinka taraafikada iyo oggolaanshaha abka ayaa gooni u ahaanaya; khariidaddan ma aha habaynta buuxda ee irridda, mana aha talo in la shido algorithms dheeraad ah kala duwanaansho awgeed.