MODP3072 AWS Site-to-Site VPN ichida qayerda joylashadi
MODP3072 — IANA ning 15-guruhi, lekin guruh fazaga tegishli. Tunnelni tahrirlashdan oldin talabni Phase 1 yoki Phase 2 DH ro'yxatlariga bog'lang.
Kimdir sizga IKEv2, ESP va MODP3072 deb yozilgan talab yuboradi, konsolda esa bu nomdagi maydon yo'q. Xato — shunday maydonni qidirishni boshlash. IKEv2 muzokaralar versiyasi, ESP himoyalangan trafikingizni tashuvchi protokol, MODP3072 esa kalit almashinuvi guruhi, ya'ni IANA ning 15-guruhi. Bu uch fakt uch xil joyda yashaydi va guruh ikki marta ko'rinadi.
Bu ibora bitta sozlama emas
Biror narsaga tegishdan oldin talabni variantlar ro'yxatiga aylantiring. Quyidagi jadval to'liq muvofiqlikdir.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 — 15-guruh, va AWS hozirda 15 ni Phase 1 hamda Phase 2 DH guruhlari ro'yxatlarida qabul qiladi. Uni ikkala joyda qabul qilish ikkala joyda talab qilish bilan bir xil emas va bu sherigingiz ikkalasini ham nazarda tutgan degani mutlaqo emas.
Phase 1 va Phase 2 turli narsalar ustida muzokara qiladi
Phase 1 IKE xavfsizlik assotsiatsiyasini quradi: ikki shlyuz qanday autentifikatsiya qiladi, kalitlar bo'yicha qanday kelishadi va o'z suhbatini qanday himoya qiladi. Phase 2 haqiqiy trafikingizni tashuvchi CHILD SA ni quradi va uning kalit almashinuvi meros emas, yangi bo'lishi mumkin.
Aynan shu bo'linish sherik to'liq oldinga yo'naltirilgan maxfiylik haqida gapirganda muhim bo'lishining sababidir. PFS — Phase 2 xususiyati, Phase 1 ro'yxatidagi guruh esa uni ta'minlamaydi. Har bir talab qaysi almashinuvga tegishli ekanini, shifrlash rejimini, yaxlitlikni AEAD shifri ta'minlaydimi va ikki tomondagi kalit yangilash kutilmalarini so'rang.
AES so'zidan yoki bitta DH raqamidan to'liq maqbul to'plamni xulosa qilmang. Ikki suhbatning ikki yarmidan yig'ilgan siyosat tunnelning hech bir jamoa kelishmagan narsani taklif qilishiga olib keladigan yo'ldir.
Ruxsat etilgan ro'yxat muzokara natijasi emas
Variantlar ro'yxatlari har bir tomon nimani qabul qilishga tayyor ekanini tavsiflaydi. Ular nima tanlanganini xabar qilmaydi. Yangi ulanish uchun haqiqatda tanlangan IKE va CHILD-SA takliflarini o'qing, so'ng talab faqat ruxsat etilgan emas, bajarilganligini tasdiqlang. Ro'yxatdagi kuchli variant faqat uning mavjud bo'lganini isbotlaydi.
Yangilanishni ham kuzatib boring. Birinchi IKEv2 CHILD SA va keyinroq PFS olib yuruvchi CHILD almashinuvi turli moslik shartlarini ochib berishi mumkin, chunki ikkinchi almashinuv PFS guruhi ishtirokida yangi kalit materialini yaratadi. Agar qabul sinovingiz tunnelning faqat birinchi daqiqasini qamrasa, u sherigingiz uchun muhim bo'lgan qismni sinamagan.
AWS tunnel variantlari ma'lumotnomasi Phase 1 va Phase 2 ni alohida sanaydi va keyingi talab kelishidan oldin aynan shu tuzilmani o'zlashtirish arziydi.
Haqiqatan nazarda tutgan tunneli o'zgartiring
Site-to-Site VPN ulanishining o'z variantlari va o'z holati bo'lgan ikkita tunneli bor. Biron narsani ko'rib chiqish yoki tahrirlashdan oldin AWS tunnelining tashqi manzilini mijoz shlyuzi tomonidagi peer bilan moslang va bitta saqlash ikkalasini yangilaydi deb o'ylamang.
Tasdiqlangan o'zgarish mijoz shlyuzi tomonining o'sha siyosatga tayyor bo'lishini va tanlangan tunnel ko'radigan uzilish uchun vaqt oynasini talab qiladi. Agar peer siz o'zgartirayotgan fazada 15-guruhga tayyor bo'lmasa, tunnel shunchaki ko'tarilishni to'xtatadi va konsol qaysi tomon rad etganini aytmaydi.
Kelishilgan siyosatni faza, protokol versiyasi, shifrlash, yaxlitlik va DH guruhi sifatida qayd eting, so'ng uni himoya qilishi kerak bo'lgan almashinuvlarda tasdiqlang. Marshrutlash, trafik selektorlari va ilova ruxsatlari alohida qoladi; bu moslashtirish to'liq shlyuz konfiguratsiyasi emas va xilma-xillik uchun qo'shimcha algoritmlarni yoqish tavsiyasi ham emas.