Var MODP3072 hör hemma i en AWS Site-to-Site VPN
MODP3072 är IANA-grupp 15, men gruppen tillhör en fas. Koppla kravet till DH-listorna för Phase 1 eller Phase 2 innan du redigerar en tunnel.
Någon skickar ett krav där det står IKEv2, ESP och MODP3072, och konsolen har inget fält med det namnet. Misstaget är att börja leta efter ett sådant fält. IKEv2 är en förhandlingsversion, ESP är protokollet som bär din skyddade trafik, och MODP3072 är en nyckelutbytesgrupp, nämligen IANA-grupp 15. Dessa tre fakta bor på tre olika ställen, och gruppen förekommer två gånger.
Meningen är inte en enda inställning
Gör om kravet till vallistor innan du rör något. Tabellen nedan är hela korsreferensen.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 är grupp 15, och AWS accepterar för närvarande 15 i både Phase 1- och Phase 2-DH-grupplistorna. Att acceptera den på båda ställena är inte samma sak som att kräva den på båda, och det betyder absolut inte att din partner menade båda.
Phase 1 och Phase 2 förhandlar om olika saker
Phase 1 bygger IKE-säkerhetsassociationen: hur de två gatewayerna autentiserar sig, enas om nycklar och skyddar sitt eget samtal. Phase 2 bygger CHILD SA som bär din faktiska trafik, och dess nyckelutbyte kan vara nytt i stället för ärvt.
Den uppdelningen är anledningen till att det spelar roll när en partner talar om perfekt framåtriktad sekretess. PFS är en egenskap hos Phase 2, och en grupp i Phase 1-listan ger den inte. Fråga vilket utbyte varje krav gäller, tillsammans med krypteringsläget, om integritet tillhandahålls av ett AEAD-chiffer, och förväntningarna på nyckelförnyelse på båda sidor.
Slut inte en fullständigt acceptabel svit från ordet AES eller från ett enda DH-nummer. En policy sammansatt av två halvor av två samtal är hur en tunnel till slut föreslår något som inget av teamen har godkänt.
En tillåten lista är inte ett förhandlingsresultat
Vallistorna beskriver vad varje sida är beredd att acceptera. De rapporterar inte vad som valdes. Läs de faktiskt valda IKE- och CHILD-SA-förslagen för en ny anslutning och bekräfta sedan att kravet är uppfyllt och inte bara tillåtet. Ett starkt alternativ i en lista bevisar bara att det var tillgängligt.
Håll också koll på förnyelsen. Den första IKEv2 CHILD SA och ett senare CHILD-utbyte med PFS kan avslöja olika kompatibilitetsvillkor, eftersom det andra utbytet skapar färskt nyckelmaterial med PFS-gruppen inblandad. Om ditt acceptanstest bara täcker den första minuten av en tunnel har det inte testat den del din partner bryr sig om.
AWS-referensen för tunnelalternativ listar Phase 1 och Phase 2 separat, och det är strukturen som är värd att internalisera innan nästa krav kommer.
Ändra den tunnel du faktiskt menar
En Site-to-Site VPN-anslutning har två tunnlar med egna alternativ och eget tillstånd. Innan du granskar eller redigerar något, matcha AWS-tunnelns yttre adress mot peer-en på kundgateway-sidan och anta inte att en sparning uppdaterar båda.
En godkänd ändring kräver att kundgateway-sidan är förberedd på samma policy och ett fönster för avbrottet den valda tunneln tar. Om peer-en inte är redo för grupp 15 i den fas du ändrar slutar tunneln helt enkelt att komma upp, och konsolen säger inte vilken sida som nekade.
Anteckna den överenskomna policyn som fas, protokollversion, kryptering, integritet och DH-grupp och bekräfta den sedan vid de utbyten den ska skydda. Routning, trafikväljare och applikationstillstånd hålls åtskilda; denna koppling är inte en fullständig gateway-konfiguration och inte en rekommendation att aktivera extra algoritmer för variationens skull.