Ibi tí MODP3072 wà nínú AWS Site-to-Site VPN
MODP3072 jẹ́ ẹgbẹ́ 15 ti IANA, ṣùgbọ́n ẹgbẹ́ náà wà ní ìpele kan. So ìbéèrè náà mọ́ àwọn àkọsílẹ̀ DH ti Phase 1 tàbí Phase 2 kí o tó ṣàtúnṣe tunnel.
Ẹnìkan fi ìbéèrè ránṣẹ́ sí ọ tí ó sọ IKEv2, ESP àti MODP3072, ṣùgbọ́n kọ̀nsólì kò ní pápá kan pẹ̀lú orúkọ yẹn. Àṣìṣe ni láti bẹ̀rẹ̀ sí wá irú pápá bẹ́ẹ̀. IKEv2 jẹ́ ẹ̀yà ìjíròrò, ESP ni èdè ìbánisọ̀rọ̀ tí ń gbé ìrìnnààjò rẹ tí a dáàbò bò, MODP3072 sì jẹ́ ẹgbẹ́ pàṣípààrọ̀ kọ́kọ́rọ́, ìyẹn ẹgbẹ́ 15 ti IANA. Àwọn òtítọ́ mẹ́ta wọ̀nyí ń gbé ní ibi mẹ́ta ọ̀tọ̀ọ̀tọ̀, ẹgbẹ́ náà sì farahàn lẹ́ẹ̀mejì.
Gbolohun náà kì í ṣe ètò kan ṣoṣo
Yí ìbéèrè náà padà sí àwọn àkọsílẹ̀ àṣàyàn kí o tó fọwọ́ kàn án. Tábìlì tí ó wà nísàlẹ̀ ni gbogbo ìbámu.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 jẹ́ ẹgbẹ́ 15, AWS sì ń gba 15 nínú àkọsílẹ̀ ẹgbẹ́ DH ti Phase 1 àti Phase 2. Gbígba á ní ibi méjèèjì kì í ṣe bíkéèrè rẹ̀ ní ibi méjèèjì, kò sì túmọ̀ rárá pé alábàákẹ́gbẹ́ rẹ ní èròǹgbà méjèèjì.
Phase 1 àti Phase 2 ń jíròrò àwọn nǹkan ọ̀tọ̀ọ̀tọ̀
Phase 1 kọ́ ìsopọ̀ ààbò IKE: bí àwọn ẹnubodè méjì ṣe ń fi ara wọn hàn, bí wọ́n ṣe ń fohùn ṣọ̀kan lórí àwọn kọ́kọ́rọ́ àti bí wọ́n ṣe ń dáàbò bo ìjíròrò tiwọn. Phase 2 kọ́ CHILD SA tí ń gbé ìrìnnààjò gidi rẹ, pàṣípààrọ̀ kọ́kọ́rọ́ rẹ̀ sì lè jẹ́ tuntun kì í ṣe àjogún.
Ìpínyà yẹn ni ìdí tí ó fi ṣe pàtàkì nígbà tí alábàákẹ́gbẹ́ bá ń sọ̀rọ̀ nípa àṣírí kíkún tí ń lọ síwájú. PFS jẹ́ ẹ̀yà Phase 2, ẹgbẹ́ kan nínú àkọsílẹ̀ Phase 1 kò sì pèsè rẹ̀. Bèèrè ìpàṣípààrọ̀ wo ni ìbéèrè kọ̀ọ̀kan kan, pẹ̀lú ipò ìkọ̀kọ̀, bóyá ìdúróṣinṣin wá láti ọ̀dọ̀ cipher AEAD, àti àwọn ìfojúsọ́nà ìsọdọ̀tun kọ́kọ́rọ́ ní ẹ̀gbẹ́ méjèèjì.
Má ṣe pète ẹ̀ka kíkún tí ó ṣe ìtẹ́wọ́gbà láti ọ̀rọ̀ AES tàbí láti nọ́mbà DH kan. Ìlànà tí a kó láti ìdajì méjì ti ìjíròrò méjì ni ọ̀nà tí tunnel fi ń dábàá nǹkan tí kò sí ẹgbẹ́ kankan tí ó gbà.
Àkọsílẹ̀ tí a yọ̀ǹda kì í ṣe àbájáde ìjíròrò
Àwọn àkọsílẹ̀ àṣàyàn ń ṣàlàyé ohun tí ẹ̀gbẹ́ kọ̀ọ̀kan ṣetán láti gbà. Wọn kò ròyìn ohun tí a yàn. Ka àwọn àbá IKE àti CHILD-SA tí a yàn gan-an fún ìsopọ̀ tuntun, kí o sì jẹ́rìí pé a ti tẹ́ ìbéèrè náà lọ́rùn kì í ṣe kíkàn gbà á. Àṣàyàn tí ó lágbára nínú àkọsílẹ̀ ń fi kìkì pé ó wà ní àròwá.
Ṣọ́ra fún ìsọdọ̀tun pẹ̀lú. CHILD SA àkọ́kọ́ ti IKEv2 àti ìpàṣípààrọ̀ CHILD tí ó ní PFS lẹ́yìn náà lè fi àwọn ipò ìbámu ọ̀tọ̀ọ̀tọ̀ hàn, nítorí ìpàṣípààrọ̀ kejì ń dá ohun èlò kọ́kọ́rọ́ tuntun pẹ̀lú ẹgbẹ́ PFS. Bí ìdánwò ìtẹ́wọ́gbà rẹ bá kan ìṣẹ́jú àkọ́kọ́ ti tunnel nìkan, kò ti dán apá tí alábàákẹ́gbẹ́ rẹ kà sí pàtàkì.
Ìwé ìtọ́kasí àwọn àṣàyàn tunnel AWS ṣe àkọsílẹ̀ Phase 1 àti Phase 2 lọ́tọ̀ọ̀tọ̀, ìyẹn sì ni ìgbékalẹ̀ tí ó yẹ kí a kọ́ kí ìbéèrè tó ń bọ̀ tó dé.
Yí tunnel tí o ní lọ́kàn gan-an padà
Ìsopọ̀ VPN Site-to-Site ní tunnel méjì pẹ̀lú àwọn àṣàyàn àti ipò tiwọn. Kí o tó yẹ̀wò tàbí ṣàtúnṣe ohunkóhun, so àdírẹ́sì ìta tunnel AWS mọ́ alábàákẹ́gbẹ́ ní ẹ̀gbẹ́ ẹnubodè oníbàárà kí o má sì rò pé ìpamọ́ kan ń ṣàtúnṣe méjèèjì.
Ìyípadà tí a fọwọ́sí nílò kí ẹ̀gbẹ́ ẹnubodè oníbàárà ṣetán fún ìlànà kan náà àti àkókò fún ìdádúró tí tunnel tí a yàn yóò gbà. Bí alábàákẹ́gbẹ́ kò bá ṣetán fún ẹgbẹ́ 15 ní ìpele tí o ń yí padà, tunnel yóò kàn dáwọ́ jíjáde, kọ̀nsólì kò sì ní sọ ẹ̀gbẹ́ wo tí ó kọ̀.
Ṣàkọsílẹ̀ ìlànà tí a gbà gẹ́gẹ́ bí ìpele, ẹ̀yà èdè ìbánisọ̀rọ̀, ìkọ̀kọ̀, ìdúróṣinṣin àti ẹgbẹ́ DH, lẹ́yìn náà jẹ́rìí rẹ̀ ní àwọn ìpàṣípààrọ̀ tí ó yẹ kí ó dáàbò bò. Ìtọ́nà, àwọn olùyàn ìrìnnààjò àti àwọn ìyọ̀ǹda ohun èlò ń wà lọ́tọ̀ọ̀tọ̀; ìsopọ̀ yìí kì í ṣe ètò ẹnubodè kíkún, kì í sì ṣe àbá láti mú àwọn alugorídìmù àfikún ṣiṣẹ́ fún onírúurú.