AWS Site-to-Site VPN-இல் MODP3072 எங்கே வருகிறது
MODP3072 என்பது IANA-வின் 15வது குழு, ஆனால் குழு ஒரு கட்டத்தைச் சேர்ந்தது. சுரங்கப்பாதையைத் திருத்தும் முன் தேவையை Phase 1 அல்லது Phase 2-இன் DH பட்டியல்களுடன் இணைக்கவும்.
யாரோ உங்களுக்கு IKEv2, ESP மற்றும் MODP3072 என்று எழுதப்பட்ட தேவையை அனுப்புகிறார்கள், ஆனால் பணியகத்தில் அந்தப் பெயரில் புலம் இல்லை. அத்தகைய புலத்தைத் தேடச் செல்வதே தவறு. IKEv2 ஒரு பேச்சுவார்த்தை பதிப்பு, ESP உங்கள் பாதுகாக்கப்பட்ட போக்குவரத்தை எடுத்துச் செல்லும் நெறிமுறை, MODP3072 ஒரு விசைப் பரிமாற்றக் குழு, அதாவது IANA-வின் 15வது குழு. இந்த மூன்று உண்மைகள் மூன்று வெவ்வேறு இடங்களில் வாழ்கின்றன, குழு இரண்டு முறை தோன்றுகிறது.
அந்த வாக்கியம் ஒரு அமைப்பு அல்ல
எதையும் தொடும் முன் தேவையை விருப்பப் பட்டியல்களாக மாற்றுங்கள். கீழே உள்ள அட்டவணையே முழுப் பொருத்தம்.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 15வது குழு, மேலும் AWS தற்போது Phase 1 மற்றும் Phase 2 இரண்டின் DH குழுப் பட்டியல்களிலும் 15-ஐ ஏற்கிறது. இரண்டு இடங்களிலும் அதை ஏற்பது இரண்டு இடங்களிலும் அதைக் கோருவதற்குச் சமமல்ல, உங்கள் கூட்டாளர் இரண்டையும் குறித்தார் என்று அது எக்காரணத்திலும் பொருள் கொள்ளாது.
Phase 1 மற்றும் Phase 2 வெவ்வேறு விஷயங்களைப் பேசுகின்றன
Phase 1 IKE பாதுகாப்புச் சங்கத்தை உருவாக்குகிறது: இரு நுழைவாயில்கள் எவ்வாறு அடையாளம் காண்கின்றன, விசைகளில் எவ்வாறு ஒப்புக்கொள்கின்றன, தங்கள் உரையாடலை எவ்வாறு பாதுகாக்கின்றன. Phase 2 உங்கள் உண்மையான போக்குவரத்தை எடுத்துச் செல்லும் CHILD SA-ஐ உருவாக்குகிறது, அதன் விசைப் பரிமாற்றம் மரபுரிமையாக அல்லாமல் புதியதாக இருக்கலாம்.
இந்தப் பிரிவே கூட்டாளர் முழுமையான முன்னோக்கிய இரகசியத்தன்மையைப் பேசும்போது அது முக்கியமானதாக இருக்கக் காரணம். PFS என்பது Phase 2-இன் பண்பு, Phase 1 பட்டியலில் உள்ள குழு அதைத் தராது. ஒவ்வொரு தேவையும் எந்தப் பரிமாற்றத்திற்குப் பொருந்துகிறது, அத்துடன் மறையாக்க முறை, ஒருமைப்பாட்டை AEAD மறையீடு வழங்குகிறதா, இரு பக்கங்களின் விசைப் புதுப்பிப்பு எதிர்பார்ப்புகள் ஆகியவற்றைக் கேளுங்கள்.
AES என்ற சொல்லிலிருந்தோ ஒரு DH எண்ணிலிருந்தோ முழுமையான ஏற்கத்தக்க தொகுப்பை ஊகிக்க வேண்டாம். இரு உரையாடல்களின் இரு பாதிகளை இணைத்து உருவாக்கிய கொள்கையே, எந்தக் குழுவும் ஒப்புக்கொள்ளாத ஒன்றைச் சுரங்கப்பாதை முன்மொழியும் வழி.
அனுமதிக்கப்பட்ட பட்டியல் பேச்சுவார்த்தையின் முடிவு அல்ல
விருப்பப் பட்டியல்கள் ஒவ்வொரு பக்கமும் எதை ஏற்கத் தயாராக உள்ளது என்பதை விவரிக்கின்றன. எது தேர்ந்தெடுக்கப்பட்டது என்பதை அவை தெரிவிப்பதில்லை. புதிய இணைப்பிற்காக உண்மையில் தேர்ந்தெடுக்கப்பட்ட IKE மற்றும் CHILD-SA முன்மொழிவுகளைப் படித்து, பின்னர் தேவை வெறுமனே அனுமதிக்கப்பட்டதல்ல, நிறைவேற்றப்பட்டது என்பதை உறுதிப்படுத்துங்கள். பட்டியலில் உள்ள வலுவான விருப்பம் அது கிடைத்தது என்பதை மட்டுமே நிரூபிக்கிறது.
புதுப்பிப்பையும் கவனியுங்கள். முதல் IKEv2 CHILD SA மற்றும் பின்னர் PFS கொண்ட CHILD பரிமாற்றம் வெவ்வேறு இணக்க நிலைகளை வெளிப்படுத்தலாம், ஏனெனில் இரண்டாவது பரிமாற்றம் PFS குழுவுடன் புதிய விசைப் பொருளை உருவாக்குகிறது. உங்கள் ஏற்புச் சோதனை சுரங்கப்பாதையின் முதல் நிமிடத்தை மட்டும் உள்ளடக்கினால், உங்கள் கூட்டாளர் கவலைப்படும் பகுதியை அது சோதிக்கவில்லை.
AWS சுரங்கப்பாதை விருப்பச் சுட்டி Phase 1 மற்றும் Phase 2-ஐத் தனித்தனியாகப் பட்டியலிடுகிறது, அடுத்த தேவை வரும் முன் இந்தக் கட்டமைப்பை உள்வாங்குவது மதிப்புள்ளது.
உண்மையில் நீங்கள் குறிக்கும் சுரங்கப்பாதையையே மாற்றுங்கள்
Site-to-Site VPN இணைப்பில் தங்கள் சொந்த விருப்பங்களும் தங்கள் சொந்த நிலையும் கொண்ட இரு சுரங்கப்பாதைகள் உள்ளன. எதையும் மதிப்பாய்வு செய்யும் அல்லது திருத்தும் முன் AWS சுரங்கப்பாதையின் வெளி முகவரியை வாடிக்கையாளர் நுழைவாயில் பக்கச் சகாவுடன் பொருத்துங்கள், ஒரு சேமிப்பு இரண்டையும் புதுப்பிக்கும் என்று கருத வேண்டாம்.
அங்கீகரிக்கப்பட்ட மாற்றத்திற்கு வாடிக்கையாளர் நுழைவாயில் பக்கம் அதே கொள்கைக்குத் தயாராக இருக்க வேண்டும், தேர்ந்தெடுக்கப்பட்ட சுரங்கப்பாதை ஏற்கும் இடையூற்றிற்கு ஒரு நேரச் சாளரமும் தேவை. நீங்கள் மாற்றும் கட்டத்தில் சகா 15வது குழுவிற்குத் தயாராக இல்லாவிட்டால், சுரங்கப்பாதை மேலே வருவதை நிறுத்தும், எந்தப் பக்கம் மறுத்தது என்று பணியகம் சொல்லாது.
ஒப்புக்கொள்ளப்பட்ட கொள்கையை கட்டம், நெறிமுறை பதிப்பு, மறையாக்கம், ஒருமைப்பாடு மற்றும் DH குழு எனப் பதிவு செய்து, பின்னர் அது பாதுகாக்க வேண்டிய பரிமாற்றங்களில் அதை உறுதிப்படுத்துங்கள். வழித்தடம், போக்குவரத்துத் தேர்விகள் மற்றும் பயன்பாட்டு அனுமதிகள் தனித்தனியாக இருக்கும்; இந்தப் பொருத்தம் முழுமையான நுழைவாயில் அமைப்பு அல்ல, பல்வேறுபாட்டிற்காகக் கூடுதல் படிமுறைகளை இயக்க பரிந்துரையும் அல்ல.