O AWS fornece uma função simples em seu VPC que expõe um serviço VPN. Eu configurei isso e confirmei que ele funciona.
Nosso cliente está usando um dispositivo Cisco 5500 Series ASA para se conectar ao serviço AWS VPN. A FAQ fornecida pelo meu AWS descreve que os seguintes grupos Diffie-Hellman são suportados para a Fase 1 e Fase 2:
Q. Which Diffie-Hellman Groups do you support?
We support the following Diffie-Hellman (DH) groups in Phase1 and Phase2.
Phase1 DH groups 2, 14-18, 22, 23, 24
Phase2 DH groups 1, 2, 5, 14-18, 22, 23, 24
Taken from http://aws.amazon.com/vpc/faqs/
A AWS fornece uma configuração de exemplo para o dispositivo Cisco 5500 ASA ( link ). Posso confirmar que isso estabelece um túnel (s).
No entanto, o exemplo fornecido config parece estar fazendo uso do DH Grupo 2 tanto para a Fase 1 como para a Fase 2 do estabelecimento do túnel, e também está usando IKEv1, não IKEv2.
As notas da versão Cisco para o firmware 9.1.x para o dispositivo 5500 ASA recomendam que o Grupo 1 e o Grupo 2 sejam evitados e, de fato, outras fontes sugerem que o grupo 5 também deve ser evitado (o AWS não suporta o Grupo 5 em Fase 1, de modo que é bastante discutível).
When configuring for IKEv2, for security reasons you should use groups 21, 20, 19, 24, 14, and 5. We do not recommend Diffie Hellman Group1 or Group2. For example, use
crypto ikev2 policy 10
group 21 20 19 24 14 5
taken from Cisco ASA release notes for iOS version 9.1x
O AWS não oferece uma configuração de Prática Recomendada, mas o exemplo deles é um "acionador de partida para dez". Eu proponho a seguinte atualização para a configuração de exemplo da AWS, mas gostaria de ter alguma confiança de que isso vai conseguir o que eu acho que alcança antes de fornecê-lo ao nosso cliente.
Ln 48 - 54 alterado para:
crypto ikev2 policy 10
encryption aes256
authentication pre-share
group 24
lifetime 28800
hash sha256
exit
E o Ln 117 mudou para:
crypto map <amzn_vpn_map> 1 set pfs group24
Parece realmente haver uma seca de validação dessa configuração em qualquer lugar do espaço, por isso, espero que essa mensagem em uma garrafa seja direcionada para a costa de alguém que saiba!