MODP3072 bir AWS Site-to-Site VPN'de nereye girer
MODP3072, IANA grup 15'tir, ancak grup bir aşamaya aittir. Bir tüneli düzenlemeden önce gereksinimi Phase 1 veya Phase 2 DH listeleriyle eşleştirin.
Birisi size IKEv2, ESP ve MODP3072 yazan bir gereksinim gönderir ve konsolda bu adda bir alan yoktur. Hata, böyle bir alanı aramaya başlamaktır. IKEv2 bir müzakere sürümüdür, ESP korunan trafiğinizi taşıyan protokoldür ve MODP3072 bir anahtar değişim grubudur, yani IANA grup 15'tir. Bu üç gerçek üç farklı yerde yaşar ve grup iki kez görünür.
Bu ifade tek bir ayar değildir
Herhangi bir şeye dokunmadan önce gereksinimi seçenek listelerine dönüştürün. Aşağıdaki tablo eşlemenin tamamıdır.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 grup 15'tir ve AWS şu anda 15'i hem Phase 1 hem de Phase 2 DH grup listelerinde kabul eder. Onu her iki yerde kabul etmek, her iki yerde zorunlu kılmakla aynı şey değildir ve kesinlikle iş ortağınızın ikisini de kastettiği anlamına gelmez.
Phase 1 ve Phase 2 farklı şeyleri müzakere eder
Phase 1 IKE güvenlik ilişkisini kurar: iki ağ geçidinin nasıl kimlik doğruladığı, anahtarlar üzerinde nasıl anlaştığı ve kendi konuşmalarını nasıl koruduğu. Phase 2, gerçek trafiğinizi taşıyan CHILD SA'yı kurar ve anahtar değişimi miras alınmış değil yeni olabilir.
Bu ayrım, bir iş ortağı tam ileri yönlü gizlilikten söz ettiğinde önem kazanmasının nedenidir. PFS, Phase 2'nin bir özelliğidir ve Phase 1 listesindeki bir grup bunu sağlamaz. Her gereksinimin hangi değişime uygulandığını, şifreleme modunu, bütünlüğün bir AEAD şifresiyle sağlanıp sağlanmadığını ve iki taraftaki anahtar yenileme beklentilerini sorun.
AES kelimesinden veya tek bir DH numarasından eksiksiz bir kabul edilebilir paket çıkarmayın. İki konuşmanın iki yarısından derlenen bir politika, bir tünelin sonunda hiçbir ekibin kabul etmediği bir şeyi önermesinin yoludur.
İzin verilen liste bir müzakere sonucu değildir
Seçenek listeleri her tarafın neyi kabul etmeye hazır olduğunu açıklar. Neyin seçildiğini bildirmezler. Yeni bir bağlantı için gerçekten seçilen IKE ve CHILD-SA önerilerini okuyun, ardından gereksinimin yalnızca izin verilmekle kalmayıp karşılandığını doğrulayın. Bir listede duran güçlü bir seçenek yalnızca onun mevcut olduğunu kanıtlar.
Yenilemeyi de izleyin. İlk IKEv2 CHILD SA ve daha sonra PFS taşıyan CHILD değişimi farklı uyumluluk koşullarını ortaya çıkarabilir, çünkü ikinci değişim PFS grubu devredeyken yeni anahtar malzemesi oluşturur. Kabul testiniz bir tünelin yalnızca ilk dakikasını kapsıyorsa, iş ortağınızın önemsediği kısmı test etmemiştir.
AWS tünel seçenekleri başvurusu Phase 1 ve Phase 2'yi ayrı ayrı listeler ve sıradaki gereksinim gelmeden önce içselleştirmeye değer yapı budur.
Gerçekten kastettiğiniz tüneli değiştirin
Bir Site-to-Site VPN bağlantısının kendi seçenekleri ve kendi durumu olan iki tüneli vardır. Herhangi bir şeyi gözden geçirmeden veya düzenlemeden önce AWS tünelinin dış adresini müşteri ağ geçidi tarafındaki eşle eşleştirin ve tek bir kaydetmenin ikisini de güncellediğini varsaymayın.
Onaylanmış bir değişiklik, müşteri ağ geçidi tarafının aynı politikaya hazırlanmasını ve seçilen tünelin alacağı kesinti için bir zaman penceresi gerektirir. Eş, değiştirdiğiniz aşamada grup 15 için hazır değilse tünel yükselmeyi bırakır ve konsol hangi tarafın reddettiğini size söylemez.
Kararlaştırılan politikayı aşama, protokol sürümü, şifreleme, bütünlük ve DH grubu olarak kaydedin, ardından koruması gereken değişimlerde doğrulayın. Yönlendirme, trafik seçicileri ve uygulama izinleri ayrı kalır; bu eşleme tam bir ağ geçidi yapılandırması değildir ve çeşitlilik için ek algoritmalar etkinleştirme önerisi de değildir.