MODP3072 nằm ở đâu trong một VPN Site-to-Site của AWS
MODP3072 là nhóm 15 của IANA, nhưng nhóm này thuộc về một pha. Hãy ánh xạ yêu cầu sang danh sách DH của Phase 1 hoặc Phase 2 trước khi sửa một đường hầm.
Ai đó gửi cho bạn một yêu cầu ghi IKEv2, ESP và MODP3072, trong khi bảng điều khiển không có trường nào mang tên đó. Sai lầm là đi tìm một trường như vậy. IKEv2 là một phiên bản thương lượng, ESP là giao thức mang lưu lượng được bảo vệ của bạn, và MODP3072 là một nhóm trao đổi khóa, tức nhóm 15 của IANA. Ba sự thật này sống ở ba nơi khác nhau, và nhóm xuất hiện hai lần.
Câu đó không phải là một thiết lập duy nhất
Hãy chuyển yêu cầu thành các danh sách tùy chọn trước khi chạm vào bất cứ thứ gì. Bảng dưới đây là toàn bộ ánh xạ.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 là nhóm 15, và AWS hiện chấp nhận 15 trong cả danh sách nhóm DH của Phase 1 và Phase 2. Chấp nhận nó ở cả hai nơi không giống với yêu cầu bắt buộc ở cả hai nơi, và chắc chắn không có nghĩa là đối tác của bạn muốn cả hai.
Phase 1 và Phase 2 thương lượng những thứ khác nhau
Phase 1 xây dựng hiệp hội bảo mật IKE: hai cổng xác thực nhau thế nào, thống nhất về khóa và bảo vệ cuộc trò chuyện của chính chúng ra sao. Phase 2 xây dựng CHILD SA mang lưu lượng thực tế của bạn, và việc trao đổi khóa của nó có thể là mới thay vì kế thừa.
Chính sự tách biệt đó khiến nó quan trọng khi một đối tác nói về tính bí mật hoàn toàn về phía trước. PFS là thuộc tính của Phase 2, và một nhóm trong danh sách Phase 1 không cung cấp điều đó. Hỏi mỗi yêu cầu áp dụng cho trao đổi nào, cùng với chế độ mã hóa, liệu tính toàn vẹn có được cung cấp bởi mật mã AEAD hay không, và kỳ vọng tái tạo khóa ở cả hai bên.
Đừng suy ra một bộ hoàn chỉnh có thể chấp nhận từ chữ AES hay từ một con số DH. Một chính sách ghép từ hai nửa của hai cuộc trò chuyện là cách một đường hầm cuối cùng đề xuất điều mà không nhóm nào đã đồng ý.
Danh sách được phép không phải là kết quả thương lượng
Các danh sách tùy chọn mô tả điều mỗi bên sẵn sàng chấp nhận. Chúng không báo cáo điều gì đã được chọn. Đọc các đề xuất IKE và CHILD-SA thực sự được chọn cho một kết nối mới, rồi xác nhận rằng yêu cầu được đáp ứng chứ không chỉ được cho phép. Một tùy chọn mạnh nằm trong danh sách chỉ chứng minh rằng nó đã có sẵn.
Cũng hãy theo dõi việc gia hạn. CHILD SA IKEv2 đầu tiên và một trao đổi CHILD sau đó có PFS có thể bộc lộ các điều kiện tương thích khác nhau, vì trao đổi thứ hai tạo ra vật liệu khóa mới với nhóm PFS tham gia. Nếu bài kiểm tra chấp nhận của bạn chỉ bao phủ phút đầu tiên của đường hầm, nó chưa kiểm tra phần mà đối tác của bạn quan tâm.
Tài liệu tham chiếu tùy chọn đường hầm của AWS liệt kê Phase 1 và Phase 2 riêng rẽ, và đó là cấu trúc đáng để tiếp thu trước khi yêu cầu tiếp theo đến.
Sửa đường hầm mà bạn thực sự muốn nói tới
Một kết nối VPN Site-to-Site có hai đường hầm với tùy chọn và trạng thái riêng. Trước khi xem xét hay sửa bất cứ thứ gì, khớp địa chỉ bên ngoài của đường hầm AWS với peer phía cổng khách hàng và đừng cho rằng một lần lưu cập nhật cả hai.
Một thay đổi được phê duyệt cần phía cổng khách hàng được chuẩn bị cho cùng chính sách và một khung thời gian cho gián đoạn mà đường hầm được chọn sẽ gặp. Nếu peer chưa sẵn sàng cho nhóm 15 ở pha bạn đang thay đổi, đường hầm sẽ đơn giản là ngừng dựng lên, và bảng điều khiển sẽ không cho bạn biết bên nào từ chối.
Ghi lại chính sách đã thống nhất dưới dạng pha, phiên bản giao thức, mã hóa, toàn vẹn và nhóm DH, rồi xác nhận nó tại các trao đổi mà nó phải bảo vệ. Định tuyến, bộ chọn lưu lượng và quyền ứng dụng vẫn tách biệt; ánh xạ này không phải cấu hình cổng đầy đủ, và cũng không phải khuyến nghị bật thêm thuật toán vì mục đích đa dạng.