Де місце MODP3072 в AWS Site-to-Site VPN
MODP3072 — це група 15 IANA, але група належить до фази. Зіставте вимогу зі списками DH для Phase 1 або Phase 2, перш ніж змінювати тунель.
Хтось надсилає вам вимогу, у якій написано IKEv2, ESP і MODP3072, а в консолі немає поля з такою назвою. Помилка — починати шукати таке поле. IKEv2 — це версія узгодження, ESP — протокол, який переносить ваш захищений трафік, а MODP3072 — група обміну ключами, тобто група 15 IANA. Ці три факти живуть у трьох різних місцях, і група з'являється двічі.
Ця фраза — не одне налаштування
Перш ніж щось чіпати, перетворіть вимогу на списки варіантів. Таблиця нижче — це вся схема відповідності.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 — це група 15, і AWS зараз приймає 15 і в списку груп DH для Phase 1, і в списку для Phase 2. Приймати її в обох місцях — не те саме, що вимагати її в обох, і це аж ніяк не означає, що ваш партнер мав на увазі обидва.
Phase 1 і Phase 2 узгоджують різні речі
Phase 1 будує асоціацію безпеки IKE: як два шлюзи автентифікуються, домовляються про ключі й захищають власну розмову. Phase 2 будує CHILD SA, який переносить ваш реальний трафік, і його обмін ключами може бути новим, а не успадкованим.
Саме через цей поділ важливо, коли партнер говорить про досконалу пряму секретність. PFS — властивість Phase 2, і група зі списку Phase 1 її не забезпечує. Запитайте, до якого обміну належить кожна вимога, а також про режим шифрування, чи забезпечує цілісність шифр AEAD і які очікування щодо оновлення ключів з обох боків.
Не виводьте повний прийнятний набір зі слова AES або з одного номера DH. Політика, зібрана з двох половин двох розмов, — це шлях, яким тунель зрештою пропонує те, з чим не погодилася жодна команда.
Дозволений список — не результат переговорів
Списки варіантів описують, що готова прийняти кожна сторона. Вони не повідомляють, що було обрано. Прочитайте фактично обрані пропозиції IKE і CHILD-SA для нового з'єднання, а потім підтвердьте, що вимогу виконано, а не просто дозволено. Сильний варіант у списку доводить лише те, що він був доступний.
Стежте й за оновленням. Перший CHILD SA в IKEv2 і пізніший обмін CHILD з PFS можуть виявити різні умови сумісності, бо другий обмін створює свіжий ключовий матеріал із задіяною групою PFS. Якщо ваш приймальний тест охоплює лише першу хвилину тунелю, він не перевірив ту частину, яка важлива вашому партнеру.
Довідник з параметрів тунелю AWS перелічує Phase 1 і Phase 2 окремо, і саме цю структуру варто засвоїти, перш ніж надійде наступна вимога.
Змінюйте той тунель, який справді маєте на увазі
З'єднання Site-to-Site VPN має два тунелі з власними параметрами й власним станом. Перш ніж щось переглядати чи змінювати, зіставте зовнішню адресу тунелю AWS із партнером на боці шлюзу клієнта і не вважайте, що одне збереження оновить обидва.
Схвалена зміна потребує, щоб бік шлюзу клієнта був підготовлений до тієї самої політики, і вікна для перерви, яку зазнає вибраний тунель. Якщо партнер не готовий до групи 15 у тій фазі, яку ви змінюєте, тунель просто перестане підніматися, і консоль не скаже, яка сторона відмовила.
Запишіть узгоджену політику як фазу, версію протоколу, шифрування, цілісність і групу DH, а потім підтвердьте її на обмінах, які вона має захищати. Маршрутизація, селектори трафіку й дозволи застосунків залишаються окремо; це зіставлення не є повною конфігурацією шлюзу і не є рекомендацією вмикати додаткові алгоритми заради різноманітності.