Ku hyn MODP3072 në një VPN Site-to-Site të AWS
MODP3072 është grupi 15 i IANA-s, por grupi i përket një faze. Përputhni kërkesën me listat DH të Phase 1 ose Phase 2 përpara se të redaktoni një tunel.
Dikush ju dërgon një kërkesë ku shkruhet IKEv2, ESP dhe MODP3072, ndërsa konsola nuk ka asnjë fushë me atë emër. Gabimi është të nisni të kërkoni një fushë të tillë. IKEv2 është një version negociatash, ESP është protokolli që transporton trafikun tuaj të mbrojtur, dhe MODP3072 është një grup shkëmbimi çelësash, domethënë grupi 15 i IANA-s. Këto tre fakte jetojnë në tre vende të ndryshme, dhe grupi shfaqet dy herë.
Fraza nuk është një rregullim i vetëm
Shndërroni kërkesën në lista opsionesh përpara se të prekni gjithçka. Tabela më poshtë është e gjithë përputhja.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 është grupi 15, dhe AWS aktualisht pranon 15 si në listën e grupeve DH të Phase 1 ashtu edhe në atë të Phase 2. Pranimi i tij në të dyja vendet nuk është njësoj si kërkimi i tij në të dyja, dhe në asnjë mënyrë nuk do të thotë që partneri juaj kishte parasysh të dyja.
Phase 1 dhe Phase 2 negociojnë gjëra të ndryshme
Phase 1 ndërton shoqatën e sigurisë IKE: si vërtetohen dy portat, si bien dakord për çelësat dhe si mbrojnë bisedën e tyre. Phase 2 ndërton CHILD SA që transporton trafikun tuaj aktual, dhe shkëmbimi i çelësave të tij mund të jetë i ri dhe jo i trashëguar.
Pikërisht kjo ndarje është arsyeja pse ka rëndësi kur një partner flet për konfidencialitet të përsosur përpara. PFS është veti e Phase 2, dhe një grup në listën e Phase 1 nuk e ofron atë. Pyetni se për cilin shkëmbim vlen secila kërkesë, së bashku me mënyrën e kriptimit, nëse integriteti sigurohet nga një shifër AEAD, dhe pritshmëritë e rinovimit të çelësave në të dyja anët.
Mos nxirrni një grup të plotë të pranueshëm nga fjala AES ose nga një numër i vetëm DH. Një politikë e montuar nga dy gjysma të dy bisedave është mënyra se si një tunel përfundon duke propozuar diçka me të cilën asnjë ekip nuk është dakord.
Një listë e lejuar nuk është rezultat negociatash
Listat e opsioneve përshkruajnë atë që secila palë është e gatshme të pranojë. Ato nuk raportojnë atë që u zgjodh. Lexoni propozimet IKE dhe CHILD-SA të zgjedhura në të vërtetë për një lidhje të re, pastaj konfirmoni që kërkesa është përmbushur dhe jo thjesht e lejuar. Një opsion i fortë në një listë provon vetëm se ishte i disponueshëm.
Vëzhgoni edhe rinovimin. CHILD SA i parë i IKEv2 dhe një shkëmbim CHILD i mëvonshëm me PFS mund të zbulojnë kushte të ndryshme përputhshmërie, sepse shkëmbimi i dytë krijon material të ri çelësash me grupin PFS në lojë. Nëse testi juaj i pranimit mbulon vetëm minutën e parë të një tuneli, ai nuk ka testuar pjesën për të cilën kujdeset partneri juaj.
Referenca e opsioneve të tunelit të AWS liston Phase 1 dhe Phase 2 veçmas, dhe kjo është struktura që ia vlen të përvetësohet përpara se të mbërrijë kërkesa tjetër.
Ndryshoni tunelin që keni vërtet parasysh
Një lidhje VPN Site-to-Site ka dy tunele me opsionet dhe gjendjen e tyre. Përpara se të shqyrtoni ose redaktoni gjithçka, përputhni adresën e jashtme të tunelit të AWS me peer-in në anën e portës së klientit dhe mos supozoni se një ruajtje i përditëson të dyja.
Një ndryshim i miratuar kërkon që ana e portës së klientit të jetë e përgatitur për të njëjtën politikë dhe një dritare për ndërprerjen që do të marrë tuneli i zgjedhur. Nëse peer-i nuk është gati për grupin 15 në fazën që po ndryshoni, tuneli thjesht do të ndalojë së ngrituri, dhe konsola nuk do t'ju thotë cila anë refuzoi.
Regjistroni politikën e rënë dakord si fazë, version protokolli, kriptim, integritet dhe grup DH, pastaj konfirmojeni në shkëmbimet që supozohet të mbrojë. Rrugëtimi, përzgjedhësit e trafikut dhe lejet e aplikacioneve mbeten të ndara; ky përputhje nuk është konfigurim i plotë i portës, dhe nuk është një rekomandim për të aktivizuar algoritme shtesë për hir të shumëllojshmërisë.