MODP3072 inakaa wapi katika AWS Site-to-Site VPN
MODP3072 ni kundi la 15 la IANA, lakini kundi hilo ni la awamu. Unganisha sharti na orodha za DH za Phase 1 au Phase 2 kabla ya kuhariri handaki.
Mtu anakutumia sharti linalosema IKEv2, ESP na MODP3072, na konsoli haina sehemu yenye jina hilo. Kosa ni kuanza kutafuta sehemu kama hiyo. IKEv2 ni toleo la majadiliano, ESP ni itifaki inayobeba trafiki yako iliyolindwa, na MODP3072 ni kundi la kubadilishana funguo, yaani kundi la 15 la IANA. Mambo haya matatu yanaishi katika sehemu tatu tofauti, na kundi linaonekana mara mbili.
Sentensi hiyo si mpangilio mmoja
Badilisha sharti kuwa orodha za chaguo kabla ya kugusa chochote. Jedwali lililo hapa chini ni ulinganifu wote.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 ni kundi la 15, na AWS kwa sasa inakubali 15 katika orodha za makundi ya DH za Phase 1 na Phase 2. Kuikubali katika sehemu zote mbili si sawa na kuihitaji katika sehemu zote mbili, na hakuna maana kwamba mwenzako alimaanisha zote mbili.
Phase 1 na Phase 2 hujadili mambo tofauti
Phase 1 hujenga muungano wa usalama wa IKE: jinsi lango mbili zinavyothibitishana, kukubaliana kuhusu funguo na kulinda mazungumzo yao wenyewe. Phase 2 hujenga CHILD SA inayobeba trafiki yako halisi, na ubadilishanaji wake wa funguo unaweza kuwa mpya badala ya kurithiwa.
Mgawanyiko huo ndio sababu inavyojalisha mwenzako anapozungumza kuhusu usiri kamili wa mbele. PFS ni sifa ya Phase 2, na kundi lililo katika orodha ya Phase 1 halitoi hilo. Uliza ni ubadilishanaji upi kila sharti linahusika nao, pamoja na hali ya usimbaji fiche, kama uadilifu unatolewa na sifa ya AEAD, na matarajio ya kuhuisha funguo pande zote mbili.
Usikisie seti kamili inayokubalika kutokana na neno AES au nambari moja ya DH. Sera iliyounganishwa kutoka nusu mbili za mazungumzo mawili ndiyo njia ambayo handaki huishia kupendekeza kitu ambacho hakuna timu iliyokubaliana nacho.
Orodha inayoruhusiwa si matokeo ya majadiliano
Orodha za chaguo zinaeleza kile kila upande uko tayari kukubali. Haziripoti kile kilichochaguliwa. Soma mapendekezo ya IKE na CHILD-SA yaliyochaguliwa kweli kwa muunganisho mpya, kisha thibitisha kwamba sharti limetimizwa na si kuruhusiwa tu. Chaguo imara lililo katika orodha linathibitisha tu kwamba lilipatikana.
Angalia pia uhuishaji. CHILD SA ya kwanza ya IKEv2 na ubadilishanaji wa CHILD wa baadaye unaobeba PFS vinaweza kufichua masharti tofauti ya upatanifu, kwa sababu ubadilishanaji wa pili huunda nyenzo mpya za funguo huku kundi la PFS likiwa limehusika. Ikiwa jaribio lako la ukubalifu linashughulikia dakika ya kwanza ya handaki tu, halijajaribu sehemu ambayo mwenzako anaijali.
Marejeo ya chaguo za handaki za AWS yanaorodhesha Phase 1 na Phase 2 tofauti, na huo ndio muundo unaostahili kufahamishwa kabla ya sharti lingine kufika.
Badilisha handaki unalolenga kwa kweli
Muunganisho wa Site-to-Site VPN una handaki mbili zenye chaguo zao na hali yao wenyewe. Kabla ya kukagua au kuhariri chochote, oanisha anwani ya nje ya handaki la AWS na mwenza upande wa lango la mteja na usidhani kwamba hifadhi moja husasisha zote mbili.
Mabadiliko yaliyoidhinishwa yanahitaji upande wa lango la mteja uwe tayari kwa sera hiyo hiyo na dirisha la usumbufu ambao handaki lililochaguliwa litachukua. Ikiwa mwenza hauko tayari kwa kundi la 15 katika awamu unayobadilisha, handaki litaacha tu kupanda, na konsoli haitakuambia upande upi ulikataa.
Rekodi sera iliyokubaliwa kama awamu, toleo la itifaki, usimbaji fiche, uadilifu na kundi la DH, kisha ithibitishe katika ubadilishanaji inayopaswa kulinda. Uelekezaji, vichagua trafiki na ruhusa za programu hubaki tofauti; uchoraji huu si usanidi kamili wa lango, na si pendekezo la kuwasha algoriti za ziada kwa ajili ya utofauti.