AWS Site-to-Site VPNలో MODP3072 ఎక్కడ వస్తుంది
MODP3072 అనేది IANA యొక్క 15వ సమూహం, కానీ సమూహం ఒక దశకు చెందుతుంది. సొరంగాన్ని సవరించే ముందు అవసరాన్ని Phase 1 లేదా Phase 2 DH జాబితాలకు అనుసంధానించండి.
ఎవరో మీకు IKEv2, ESP మరియు MODP3072 అని రాసిన అవసరాన్ని పంపుతారు, కానీ కన్సోల్లో ఆ పేరుతో ఫీల్డ్ లేదు. అలాంటి ఫీల్డ్ కోసం వెతకడం మొదలుపెట్టడమే తప్పు. IKEv2 చర్చల సంస్కరణ, ESP మీ రక్షిత ట్రాఫిక్ను మోసే ప్రోటోకాల్, MODP3072 కీ మార్పిడి సమూహం, అంటే IANA యొక్క 15వ సమూహం. ఈ మూడు వాస్తవాలు మూడు వేర్వేరు ప్రదేశాలలో ఉంటాయి, సమూహం రెండుసార్లు కనిపిస్తుంది.
ఆ వాక్యం ఒకే సెట్టింగ్ కాదు
ఏదైనా తాకే ముందు అవసరాన్ని ఎంపిక జాబితాలుగా మార్చండి. క్రింది పట్టిక మొత్తం సరిపోలిక.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 15వ సమూహం, మరియు AWS ప్రస్తుతం Phase 1 మరియు Phase 2 రెండింటి DH సమూహ జాబితాలలో 15ని అంగీకరిస్తుంది. రెండు చోట్లా అంగీకరించడం రెండు చోట్లా కోరడంతో సమానం కాదు, మరియు మీ భాగస్వామి రెండింటినీ ఉద్దేశించారని అది అసలు అర్థం కాదు.
Phase 1 మరియు Phase 2 వేర్వేరు విషయాలపై చర్చిస్తాయి
Phase 1 IKE భద్రతా సంఘాన్ని నిర్మిస్తుంది: రెండు గేట్వేలు ఎలా ధృవీకరించుకుంటాయి, కీలపై ఎలా ఏకీభవిస్తాయి మరియు తమ సంభాషణను ఎలా రక్షించుకుంటాయి. Phase 2 మీ నిజమైన ట్రాఫిక్ను మోసే CHILD SAని నిర్మిస్తుంది, దాని కీ మార్పిడి వారసత్వంగా కాకుండా కొత్తదిగా ఉండవచ్చు.
ఈ విభజన వల్లే భాగస్వామి పూర్తి ముందుకు సాగే గోప్యత గురించి మాట్లాడినప్పుడు అది ప్రాముఖ్యత పొందుతుంది. PFS అనేది Phase 2 లక్షణం, మరియు Phase 1 జాబితాలోని సమూహం దాన్ని ఇవ్వదు. ప్రతి అవసరం ఏ మార్పిడికి వర్తిస్తుంది, దానితో పాటు ఎన్క్రిప్షన్ మోడ్, సమగ్రతను AEAD సాంకేతికం అందిస్తుందా, మరియు రెండు వైపుల కీ పునరుద్ధరణ అంచనాలను అడగండి.
AES పదం నుండి లేదా ఒక DH సంఖ్య నుండి పూర్తి ఆమోదయోగ్యమైన సెట్ను ఊహించవద్దు. రెండు సంభాషణల రెండు సగాలతో కలిపిన విధానమే, ఏ జట్టు అంగీకరించని ఏదో సొరంగం ప్రతిపాదించే మార్గం.
అనుమతించిన జాబితా చర్చల ఫలితం కాదు
ఎంపిక జాబితాలు ప్రతి వైపు ఏమి అంగీకరించడానికి సిద్ధంగా ఉందో వివరిస్తాయి. ఏమి ఎంచుకోబడిందో అవి తెలియజేయవు. కొత్త కనెక్షన్ కోసం నిజంగా ఎంచుకున్న IKE మరియు CHILD-SA ప్రతిపాదనలను చదవండి, ఆపై అవసరం కేవలం అనుమతించబడటం కాదు, నెరవేరిందని నిర్ధారించండి. జాబితాలో ఉన్న బలమైన ఎంపిక అది అందుబాటులో ఉందని మాత్రమే నిరూపిస్తుంది.
పునరుద్ధరణను కూడా గమనించండి. మొదటి IKEv2 CHILD SA మరియు తరువాత PFS ఉన్న CHILD మార్పిడి వేర్వేరు అనుకూలత పరిస్థితులను వెల్లడించవచ్చు, ఎందుకంటే రెండవ మార్పిడి PFS సమూహంతో కొత్త కీ పదార్థాన్ని సృష్టిస్తుంది. మీ ఆమోదన పరీక్ష సొరంగం మొదటి నిమిషాన్ని మాత్రమే కవర్ చేస్తే, మీ భాగస్వామి పట్టించుకునే భాగాన్ని అది పరీక్షించలేదు.
AWS సొరంగ ఎంపికల సూచిక Phase 1 మరియు Phase 2ని విడివిడిగా జాబితా చేస్తుంది, తదుపరి అవసరం రాకముందు ఈ నిర్మాణాన్ని ఆత్మసాత్ చేసుకోవడం విలువైనది.
మీరు నిజంగా ఉద్దేశించిన సొరంగాన్నే మార్చండి
Site-to-Site VPN కనెక్షన్లో తమ స్వంత ఎంపికలు మరియు తమ స్వంత స్థితి ఉన్న రెండు సొరంగాలు ఉంటాయి. ఏదైనా సమీక్షించే లేదా సవరించే ముందు AWS సొరంగం బయటి చిరునామాను కస్టమర్ గేట్వే వైపు పీర్తో సరిపోల్చండి, మరియు ఒక సేవ్ రెండింటినీ నవీకరిస్తుందని భావించవద్దు.
ఆమోదించిన మార్పుకు కస్టమర్ గేట్వే వైపు అదే విధానానికి సిద్ధంగా ఉండటం మరియు ఎంచుకున్న సొరంగం భరించే అంతరాయానికి ఒక సమయ విండో అవసరం. మీరు మారుస్తున్న దశలో పీర్ 15వ సమూహానికి సిద్ధంగా లేకపోతే, సొరంగం పైకి రావడం ఆగిపోతుంది, ఏ వైపు నిరాకరించిందో కన్సోల్ చెప్పదు.
అంగీకరించిన విధానాన్ని దశ, ప్రోటోకాల్ సంస్కరణ, ఎన్క్రిప్షన్, సమగ్రత మరియు DH సమూహంగా నమోదు చేయండి, ఆపై అది రక్షించాల్సిన మార్పిడులలో దాన్ని నిర్ధారించండి. రూటింగ్, ట్రాఫిక్ ఎంపికకారులు మరియు అప్లికేషన్ అనుమతులు వేరుగా ఉంటాయి; ఈ మ్యాపింగ్ పూర్తి గేట్వే కాన్ఫిగరేషన్ కాదు, మరియు వైవిధ్యం కోసం అదనపు అల్గోరిథమ్లను ప్రారంభించమని సిఫార్సు కూడా కాదు.