Saan pumapasok ang MODP3072 sa isang AWS Site-to-Site VPN
Ang MODP3072 ay IANA group 15, ngunit ang grupo ay kabilang sa isang yugto. Itugma ang pangangailangan sa mga listahan ng DH ng Phase 1 o Phase 2 bago mag-edit ng tunnel.
May nagpapadala sa iyo ng pangangailangang nakasaad ang IKEv2, ESP at MODP3072, at walang field ang console na may ganoong pangalan. Ang pagkakamali ay ang maghanap ng ganoong field. Ang IKEv2 ay isang bersyon ng negosasyon, ang ESP ay ang protocol na nagdadala ng iyong protektadong trapiko, at ang MODP3072 ay isang grupo ng palitan ng susi, ibig sabihin, IANA group 15. Ang tatlong katotohanang ito ay naninirahan sa tatlong magkaibang lugar, at ang grupo ay lumilitaw nang dalawang beses.
Ang parirala ay hindi isang setting
Gawing mga listahan ng opsyon ang pangangailangan bago hawakan ang anuman. Ang talahanayan sa ibaba ay ang buong pagtutugma.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
Ang MODP3072 ay grupo 15, at kasalukuyang tinatanggap ng AWS ang 15 sa listahan ng mga grupo ng DH ng Phase 1 at Phase 2. Ang pagtanggap nito sa parehong lugar ay hindi katulad ng paghingi nito sa pareho, at tiyak na hindi ito nangangahulugang ang iyong katuwang ay pareho ang tinutukoy.
Nag-uusap ang Phase 1 at Phase 2 tungkol sa magkaibang bagay
Binubuo ng Phase 1 ang IKE security association: kung paano nagpapatotoo ang dalawang gateway, nagkakasundo sa mga susi at pinoprotektahan ang kanilang sariling usapan. Binubuo ng Phase 2 ang CHILD SA na nagdadala ng iyong aktwal na trapiko, at ang palitan ng susi nito ay maaaring bago kaysa minana.
Dahil sa paghahating ito kaya mahalaga kapag nagsasalita ang katuwang tungkol sa perpektong pasulong na pagiging lihim. Ang PFS ay katangian ng Phase 2, at ang grupo sa listahan ng Phase 1 ay hindi ito nagbibigay. Itanong kung aling palitan ang naaangkop sa bawat pangangailangan, kasama ang mode ng pag-encrypt, kung ang integridad ay ibinibigay ng AEAD cipher, at ang mga inaasahan sa pag-renew ng susi sa magkabilang panig.
Huwag maghinuha ng kumpletong katanggap-tanggap na suite mula sa salitang AES o sa isang numero ng DH. Ang patakarang binuo mula sa dalawang kalahati ng dalawang usapan ay ang paraan kung paano nauuwi ang isang tunnel sa pagmumungkahi ng bagay na hindi sinang-ayunan ng alinmang koponan.
Ang pinapayagang listahan ay hindi resulta ng negosasyon
Inilalarawan ng mga listahan ng opsyon kung ano ang handang tanggapin ng bawat panig. Hindi nila iniuulat kung ano ang pinili. Basahin ang aktwal na napiling mga panukalang IKE at CHILD-SA para sa bagong koneksyon, pagkatapos ay kumpirmahin na ang pangangailangan ay natugunan at hindi lamang pinapayagan. Ang matibay na opsyon sa isang listahan ay nagpapatunay lamang na ito ay magagamit.
Panoorin din ang pag-renew. Ang unang IKEv2 CHILD SA at ang susunod na palitan ng CHILD na may PFS ay maaaring maglantad ng magkaibang kundisyon ng pagiging tugma, dahil ang pangalawang palitan ay gumagawa ng sariwang materyal ng susi kasama ang grupong PFS. Kung ang iyong pagsubok sa pagtanggap ay sumasaklaw lamang sa unang minuto ng tunnel, hindi nito sinubukan ang bahaging pinapahalagahan ng iyong katuwang.
Ang reference ng mga opsyon ng tunnel ng AWS ay naglilista ng Phase 1 at Phase 2 nang hiwalay, at ito ang estrukturang sulit na isaulo bago dumating ang susunod na pangangailangan.
Baguhin ang tunnel na talagang tinutukoy mo
Ang isang koneksyon ng VPN Site-to-Site ay may dalawang tunnel na may sariling opsyon at sariling estado. Bago suriin o i-edit ang anuman, itugma ang panlabas na address ng tunnel ng AWS sa peer sa panig ng customer gateway at huwag ipagpalagay na isang pag-save lang ang mag-a-update sa dalawa.
Ang aprubadong pagbabago ay nangangailangan ng paghahanda ng panig ng customer gateway para sa parehong patakaran at isang window para sa pagkagambala na tatanggapin ng napiling tunnel. Kung ang peer ay hindi handa para sa grupo 15 sa yugtong binabago mo, titigil na lamang ang tunnel sa pag-angat, at hindi sasabihin ng console kung aling panig ang tumanggi.
Itala ang napagkasunduang patakaran bilang yugto, bersyon ng protocol, pag-encrypt, integridad at grupo ng DH, pagkatapos ay kumpirmahin ito sa mga palitan na dapat nitong protektahan. Ang routing, mga tagapili ng trapiko at mga pahintulot ng aplikasyon ay nananatiling hiwalay; ang pagtutugmang ito ay hindi kumpletong konfigurasyon ng gateway, at hindi ito rekomendasyon na magbukas ng karagdagang algorithm para sa pagkakaiba-iba.