Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Anforderungen für ein AWS Site-to-Site VPN Kunden-Gateway-Gerät
AWS unterstützt eine Reihe von Site-to-Site VPN-Kunden-Gateway-Geräten, für die wir Konfigurationsdateien zum Herunterladen bereitstellen. Eine Liste der unterstützten Geräte und die Schritte zum Herunterladen der Konfigurationsdateien finden Sie unterStatische und dynamische Routing-Konfigurationsdateien.
Wenn Sie ein Gerät haben, das nicht in der Liste der unterstützten Geräte aufgeführt ist, werden im folgenden Abschnitt die Anforderungen beschrieben, die das Gerät erfüllen muss, um eine Site-to-Site VPN-Verbindung herzustellen.
Die Konfiguration Ihres Kunden-Gateway-Geräts umfasst vier zentrale Elemente. Die folgenden Symbole stellen die einzelnen Teile der Konfiguration dar.
|
IKE-Sicherheitszuordnung (Internet Key Exchange). Dies ist erforderlich, um Schlüssel auszutauschen, die zum Aufbau der IPsec-Sicherheitszuordnung verwendet werden. |
|
IPsec-Sicherheitszuordnung. Damit wird die Verschlüsselung, die Authentifizierung usw. des Tunnels abgewickelt. |
|
Tunnelschnittstelle. Dadurch wird der zum und vom Tunnel gehende Datenverkehr empfangen. |
|
(Optional) BGP-Peering (Border Gateway Protocol). Bei Geräten, die BGP verwenden, tauscht dies Routen zwischen dem Kunden-Gateway-Gerät und dem Virtual Private Gateway aus. |
In der folgenden Tabelle sind die Anforderungen für das Kunden-Gateway-Gerät, der zugehörige RFC (als Referenz) und Kommentare zu den Anforderungen aufgeführt.
Jede VPN-Verbindung besteht aus zwei separaten Tunneln. Jeder Tunnel umfasst eine IKE-Sicherheitsaushandlung, eine IPsec-Sicherheitsaushandlung und ein BGP-Peering. Sie sind auf ein Sicherheitszuordnungspaar (SA) pro Tunnel (ein eingehendes und ein ausgehendes) und somit auf zwei eindeutige SA-Paare für insgesamt zwei Tunnel (vier SAs) beschränkt. Einige Geräte nutzen eine richtlinienbasierte VPN und erstellen so viele SAs, wie ACL-Einträge vorhanden sind. Daher müssen Sie möglicherweise Ihre Regeln konsolidieren und dann filtern, damit Sie keinen unerwünschten Datenverkehr zulassen.
Standardmäßig wird der VPN-Tunnel bei der Generierung von Datenverkehr gestartet und die IKE-Aushandlung von Ihrer Seite der VPN-Verbindung initiiert wird. Sie können die VPN-Verbindung so konfigurieren, dass die IKE-Verhandlung stattdessen von der AWS Seite der Verbindung aus initiiert wird. Weitere Informationen finden Sie unter AWS Site-to-Site VPN Optionen zur Tunnelinitiierung.
VPN-Endpunkte unterstützen die Erstellung neuer Schlüssel und können kurz vor Ablauf von Phase 1 Neuverhandlungen starten, wenn das Kunden-Gateway-Gerät keinen Neuverhandlungsdatenverkehr gesendet hat.
| Anforderung | RFC | Kommentare |
|---|---|---|
|
IKE-Sicherheitszuordnung herstellen
|
Die IKE-Sicherheitsverbindung wird zunächst zwischen dem virtuellen privaten Gateway und dem Kunden-Gateway-Gerät mithilfe eines vorab gemeinsam genutzten Schlüssels oder eines privaten Zertifikats, das AWS Private Certificate Authority als Authentifikator verwendet wird, hergestellt. Wenn es eingerichtet ist, handelt IKE einen kurzlebigen Schlüssel aus, um zukünftige IKE-Nachrichten zu sichern. Die Parameter müssen vollständig übereinstimmen, einschließlich der Verschlüsselungs- und Authentifizierungsparameter. Wenn Sie in eine VPN-Verbindung herstellen AWS, können Sie für jeden Tunnel Ihren eigenen Pre-Shared Key angeben oder einen für Sie AWS generieren lassen. Alternativ können Sie das private Zertifikat angeben, das für Ihr Kunden-Gateway-Gerät verwendet werden AWS Private Certificate Authority soll. Weitere Informationen zum Konfigurieren von VPN-Tunneln finden Sie unter Tunneloptionen für Ihr AWS Site-to-Site VPN Verbindung. Die folgenden Versionen werden unterstützt: IKEv1 und IKEv2. Wir unterstützen den Hauptmodus nur mit IKEv1. Der Site-to-Site VPN-Dienst ist eine routenbasierte Lösung. Wenn Sie eine richtlinienbasierte Konfiguration verwenden, müssen Sie Ihre Konfiguration auf eine einzelne Sicherheitszuordnung beschränken. |
|
|
Herstellen von IPsec Sicherheitsaushandlungs im Tunnel-Modus
|
Mit dem temporären IKE-Schlüssel werden Schlüssel für eine IPsec-Sicherheitsaushandlung (SA) zwischen dem Virtual Private Gateway und dem Kunden-Gateway-Gerät ausgetauscht. Der Datenverkehr zwischen den Gateways wird über diese SA ver- und entschlüsselt. Die zur Verschlüsselung des Datenverkehrs in der IPsec-SA verwendeten temporären Schlüssel werden automatisch regelmäßig von IKE rotiert. So ist die Vertraulichkeit der Kommunikation sichergestellt. |
|
|
Verwenden der AES 128-Bit- oder AES 256-Bit-Verschlüsselungsfunktion |
Die Verschlüsselungsfunktion wird zum Schutz der Daten zwischen IKE- und IPsec-Sicherheitsaushandlungen verwendet. |
|
|
Verwenden Sie die SHA-1 SHA-2 Hashing-Funktion oder (256) |
Diese Hash-Funktion wird zur Authentifizierung der Daten zwischen IKE- und IPsec-Sicherheitsaushandlungen verwendet. |
|
|
Verwenden Sie Diffie-Hellman Perfect Forward Secrecy. |
IKE verwendet Diffie-Hellman , um kurzlebige Schlüssel einzurichten, um die gesamte Kommunikation zwischen Kunden-Gateway-Geräten und virtuellen privaten Gateways zu sichern. Folgende Gruppen werden unterstützt:
|
|
|
(Dynamically-routed VPN-Verbindungen) Verwenden Sie IPSec Dead Peer Detection |
Die Nutzung von Dead Peer Detection ermöglicht den VPN-Geräten die schnelle Erkennung von Netzwerkbedingungen, die verhindern, dass Pakete über das Internet zugestellt werden können. Wenn dies auftritt, löschen die Gateways die Sicherheitsaushandlungen und versuchen, neue Aushandlungen zu erstellen. Während dieses Prozesses wird, wenn möglich, der alternative IPsec-Tunnel verwendet. |
|
|
(Dynamically-routed VPN-Verbindungen) Binden Sie den Tunnel an die logische Schnittstelle (routenbasiertes VPN)
|
Keine |
Ihr Gerät muss in der Lage sein, den IPsec-Tunnel an eine logische Schnittstelle zu binden. Die logische Schnittstelle umfasst eine IP-Adresse, die zur Etablierung des BGP-Peerings mit dem Virtual Private Gateway verwendet wird. Die logische Schnittstelle sollte keine zusätzliche Kapselung durchführen (z. B. GRE oder IP in IP). Die Schnittstelle sollte mit einer MTU (Maximum Transmission Unit) von 1399 Byte konfiguriert sein. |
|
(Dynamically-routed VPN-Verbindungen) Richten Sie BGP-Peerings ein
|
BGP wird zum Austausch von Routen zwischen dem Kunden-Gateway-Gerät und dem Virtual Private Gateway verwendet. Der gesamte BGP-Datenverkehr wird über die IPsec-Sicherheitsaushandlung verschlüsselt und übertragen. Zum Austausch der über die IPsec-SA erreichbaren IP-Präfixe ist für beide Gateways BGP erforderlich. |
Eine AWS VPN-Verbindung unterstützt Path MTU Discovery (RFC 1191) nicht.
Wenn sich eine Firewall zwischen Ihrem Kunden-Gateway-Gerät und dem Internet befindet, vgl. Firewall-Regeln für ein AWS Site-to-Site VPN Kunden-Gateway-Gerät.
