Где припада MODP3072 у AWS Site-to-Site VPN-у
MODP3072 је IANA група 15, али група припада фази. Ускладите захтев са DH листама за Phase 1 или Phase 2 пре него што уредите тунел.
Неко вам пошаље захтев у којем пише IKEv2, ESP и MODP3072, а конзола нема поље с тим именом. Грешка је кренути тражити такво поље. IKEv2 је верзија преговора, ESP је протокол који преноси ваш заштићени саобраћај, а MODP3072 је група за размену кључева, то јест IANA група 15. Те три чињенице живе на три различита места, а група се појављује двапут.
Та фраза није једна поставка
Претворите захтев у листе опција пре него што било шта дирнете. Табела испод је цела мапа.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 је група 15, а AWS тренутно прихвата 15 и у листи DH група за Phase 1 и у листи за Phase 2. Прихватати је на оба места није исто као захтевати је на оба, и сигурно не значи да је ваш партнер мислио на оба.
Phase 1 и Phase 2 преговарају о различитим стварима
Phase 1 гради IKE безбедносну асоцијацију: како се два гејтвеја аутентификују, договарају кључеве и штите сопствени разговор. Phase 2 гради CHILD SA који преноси ваш стварни саобраћај, а његова размена кључева може бити нова, а не наслеђена.
Због те поделе је важно када партнер говори о perfect forward secrecy. PFS је својство Phase 2, а група на листи Phase 1 га не даје. Питајте на коју се размену односи сваки захтев, уз начин енкрипције, да ли интегритет пружа AEAD шифра и каква су очекивања обнове кључева на обе стране.
Не изводите комплетан прихватљив скуп из речи AES или из једног DH броја. Политика састављена од две половине два разговора је начин на који тунел заврши предлажући нешто с чим се није сложио ниједан тим.
Дозвољена листа није резултат преговора
Листе опција описују шта је свака страна спремна да прихвати. Оне не извештавају шта је изабрано. Прочитајте стварно изабране IKE и CHILD-SA предлоге за нову везу, па потврдите да је захтев испуњен, а не само дозвољен. Јака опција на листи доказује само да је била доступна.
Пратите и обнову. Први IKEv2 CHILD SA и каснија CHILD размена с PFS-ом могу открити различите услове компатибилности, јер друга размена ствара свеж кључни материјал уз PFS групу у игри. Ако ваш тест прихватања покрива само први минут тунела, није тестирао део до којег је вашем партнеру стало.
AWS референца за опције тунела наводи Phase 1 и Phase 2 одвојено, и то је структура коју вреди усвојити пре него што стигне следећи захтев.
Мењајте тунел на који заиста мислите
Веза Site-to-Site VPN има два тунела са својим опцијама и својим стањем. Пре него што било шта прегледате или уредите, ускладите спољну адресу AWS тунела са peer-ом на страни корисничког гејтвеја и не претпостављајте да једно чување ажурира оба.
Одобрена промена захтева да страна корисничког гејтвеја буде припремљена за исту политику и термин за прекид који ће изабрани тунел узети. Ако peer није спреман за групу 15 у фази коју мењате, тунел ће једноставно престати да се подиже, а конзола вам неће рећи која је страна одбила.
Забележите договорену политику као фазу, верзију протокола, енкрипцију, интегритет и DH групу, па је потврдите на разменама које треба да штити. Рутирање, селектори саобраћаја и дозволе апликација остају одвојени; ово мапирање није комплетна конфигурација гејтвеја и није препорука да укључујете додатне алгоритме ради разноликости.