Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel werden die unterstützten IPsec-Richtlinienkombinationen aufgeführt.
Standardmäßige IPsec-Richtlinien
Hinweis
Wenn Sie mit Standardrichtlinien arbeiten, agiert Azure sowohl als Initiator als auch als Responder während einer IPsec-Tunnel-Einrichtung. Obwohl Virtual WAN VPN viele Algorithmenkombinationen unterstützt, werden GCMAES256 sowohl für IPSEC-Verschlüsselung als auch für Integrität verwendet, um optimale Leistung zu erzielen. AES256 und SHA256 bieten eine geringere Leistung, daher sollten Sie mit Leistungsverschlechterungen wie Latenz und Paketverlusten rechnen, wenn Sie diese Algorithmentypen verwenden. Weitere Informationen zu Virtual WAN finden Sie in den häufig gestellten Fragen zu Azure Virtual WAN.
Initiator
In den folgenden Abschnitten werden die unterstützten Richtlinienkombinationen aufgeführt, wenn Azure der Initiator für den Tunnel ist.
Phase-1
- AES_256, SHA1, DH_GROUP_2
- AES_256, SHA_256, DH_GROUP_2
- AES_128, SHA1, DH_GROUP_2
- AES_128, SHA_256, DH_GROUP_2
Phase-2
- GCM_AES_256, GCM_AES_256, PFS_NONE
- AES_256, SHA_1, PFS_NONE
- AES_256, SHA_256, PFS_NONE
- AES_128, SHA_1, PFS_NONE
Antwortender
In den folgenden Abschnitten werden die unterstützten Richtlinienkombinationen aufgeführt, wenn Azure der Responder für den Tunnel ist.
Phase-1
- AES_256, SHA1, DH_GROUP_2
- AES_256, SHA_256, DH_GROUP_2
- AES_128, SHA1, DH_GROUP_2
- AES_128, SHA_256, DH_GROUP_2
Phase-2
- GCM_AES_256, GCM_AES_256, PFS_NONE
- AES_256, SHA_1, PFS_NONE
- AES_256, SHA_256, PFS_NONE
- AES_128, SHA_1, PFS_NONE
- AES_256, SHA_1, PFS_1
- AES_256, SHA_1, PFS_2
- AES_256, SHA_1, PFS_14
- AES_128, SHA_1, PFS_1
- AES_128, SHA_1, PFS_2
- AES_128, SHA_1, PFS_14
- AES_256, SHA_256, PFS_1
- AES_256, SHA_256, PFS_2
- AES_256, SHA_256, PFS_14
- AES_256, SHA_1, PFS_24
- AES_256, SHA_256, PFS_24
- AES_128, SHA_256, PFS_NONE
- AES_128, SHA_256, PFS_1
- AES_128, SHA_256, PFS_2
- AES_128, SHA_256, PFS_14
SA-Lebensdauerwerte
Diese Lebenszeitwerte gelten sowohl für Initiator als auch für den Responder.
- SA-Lebensdauer in Sekunden: 3600 Sekunden
- SA-Lebensdauer in Bytes: 102.400.000 KB
Benutzerdefinierte IPsec-Richtlinien
Beachten Sie beim Arbeiten mit benutzerdefinierten IPsec-Richtlinien die folgenden Anforderungen:
- IKE - Für IKE können Sie einen beliebigen Parameter aus der IKE-Verschlüsselung sowie einen beliebigen Parameter aus der IKE-Integrität sowie einen beliebigen Parameter aus der DH Group auswählen.
- IPsec – Für IPsec können Sie einen beliebigen Parameter aus der IPsec-Verschlüsselung sowie einen beliebigen Parameter aus der IPsec-Integrität plus PFS auswählen. Wenn einer der Parameter für die IPsec-Verschlüsselung oder IPsec-Integrität GCM ist, müssen die Parameter für beide Einstellungen GCM sein.
Benutzerdefinierte IKE-Hauptmodus-Richtlinien unterstützen Diffie-Hellman Gruppe 14, Gruppe 24 oder ECP (Elliptic Curve Groups) ECP256 (Gruppe 19) und ECP384 (Gruppe 20). Ähnliche Anforderungen an kryptografische Gruppen gelten für IPsec-Schnellmodus-Richtlinien.
Die benutzerdefinierte Standardrichtlinie enthält SHA1, DHGroup2 und 3DES zur Abwärtskompatibilität. Dies sind schwächere Algorithmen, die beim Erstellen einer benutzerdefinierten Richtlinie nicht unterstützt werden. Es wird empfohlen, nur die folgenden Algorithmen zu verwenden:
Verfügbare Einstellungen und Parameter
| Setting | Parameter |
|---|---|
| IKE-Verschlüsselung | GCMAES256, GCMAES128, AES256, AES128 |
| IKE-Integrität | SHA384, SHA256 |
| DH Gruppe | ECP384, ECP256, DHGroup24, DHGroup14 |
| IPsec-Verschlüsselung | GCMAES256, GCMAES128, AES256, AES128, Keine |
| IPsec-Integrität | GCMAES256, GCMAES128, SHA256 |
| PFS-Gruppe | ECP384, ECP256, PFS24, PFS14, Keine |
| SA-Gültigkeitsdauer | Ganzzahl; min. 300/ Standard 3600 Sekunden |
Die folgende Tabelle enthält die entsprechenden Diffie-Hellman-Gruppen, die von der benutzerdefinierten Richtlinie unterstützt werden:
| Diffie-Hellman-Gruppe | DHGroup | PFSGroup | Schlüssellänge |
|---|---|---|---|
| 14 | DHGroup14 | PFS14 | 2048-Bit-MODP |
| 19 | ECP256 | ECP256 | 256-Bit-ECP |
| 20 | ECP384 | ECP384 | 384-Bit-ECP |
| 24 | DHGroup24 | PFS24 | 2048-Bit-MODP |
Nächste Schritte
Schritte zum Konfigurieren einer benutzerdefinierten IPsec-Richtlinie finden Sie unter Konfigurieren einer benutzerdefinierten IPsec-Richtlinie für virtuelles WAN.
Weitere Informationen zu Virtual WAN finden Sie unter Azure Virtual WAN und azure Virtual WAN – Häufig gestellte Fragen .For more information about Virtual WAN, see About Azure Virtual WAN and the Azure Virtual WAN FAQ.