Directivas IPsec de sitio a sitio

En este artículo se muestran las combinaciones de directivas IPsec admitidas.

Directivas IPsec predeterminadas

Nota:

Cuando trabajas con políticas por defecto, Azure actúa tanto como iniciador como respondedor durante la configuración de un túnel IPsec. Aunque Virtual WAN VPN soporta muchas combinaciones de algoritmos, utiliza GCMAES256 tanto para el cifrado IPSEC como para la integridad para un rendimiento óptimo. AES256 y SHA256 ofrecen un rendimiento menor, así que prepárate una degradación del rendimiento como latencia y caídas de paquetes cuando usas estos tipos de algoritmos. Para más información sobre Virtual WAN, consulte preguntas más frecuentes sobre Azure Virtual WAN.

Initiator

En las secciones siguientes se enumeran las combinaciones de directivas admitidas cuando Azure es el iniciador del túnel.

Fase 1

  • AES_256, SHA1, DH_GROUP_2
  • AES_256, SHA_256, DH_GROUP_2
  • AES_128, SHA1, DH_GROUP_2
  • AES_128, SHA_256, DH_GROUP_2

Fase 2

  • GCM_AES_256, GCM_AES_256, PFS_NONE
  • AES_256, SHA_1, PFS_NONE
  • AES_256, SHA_256, PFS_NONE
  • AES_128, SHA_1, PFS_NONE

Responder

En las secciones siguientes se enumeran las combinaciones de directivas admitidas cuando Azure es el respondedor del túnel.

Fase 1

  • AES_256, SHA1, DH_GROUP_2
  • AES_256, SHA_256, DH_GROUP_2
  • AES_128, SHA1, DH_GROUP_2
  • AES_128, SHA_256, DH_GROUP_2

Fase 2

  • GCM_AES_256, GCM_AES_256, PFS_NONE
  • AES_256, SHA_1, PFS_NONE
  • AES_256, SHA_256, PFS_NONE
  • AES_128, SHA_1, PFS_NONE
  • AES_256, SHA_1, PFS_1
  • AES_256, SHA_1, PFS_2
  • AES_256, SHA_1, PFS_14
  • AES_128, SHA_1, PFS_1
  • AES_128, SHA_1, PFS_2
  • AES_128, SHA_1, PFS_14
  • AES_256, SHA_256, PFS_1
  • AES_256, SHA_256, PFS_2
  • AES_256, SHA_256, PFS_14
  • AES_256, SHA_1, PFS_24
  • AES_256, SHA_256, PFS_24
  • AES_128, SHA_256, PFS_NONE
  • AES_128, SHA_256, PFS_1
  • AES_128, SHA_256, PFS_2
  • AES_128, SHA_256, PFS_14

Valores de duración de SA

Estos valores de tiempo de vida se aplican tanto para el iniciador como para el respondedor

  • Duración de SA en segundos: 3600 segundos
  • Duración de SA en bytes: 102 400 000 KB

Directivas IPsec personalizadas

Al trabajar con directivas IPsec personalizadas, tenga en cuenta los siguientes requisitos:

  • IKE : para IKE, puede seleccionar cualquier parámetro del cifrado IKE, además de cualquier parámetro de integridad de IKE, además de cualquier parámetro del grupo DH.
  • IPsec : para IPsec, puede seleccionar cualquier parámetro del cifrado IPsec, además de cualquier parámetro de integridad de IPsec, además de PFS. Si alguno de los parámetros para el cifrado IPsec o la integridad de IPsec es GCM, los parámetros de ambas opciones deben ser GCM.

Las políticas personalizadas de modo principal IKE soportan Diffie-Hellman Grupo 14, Grupo 24 o ECP (Grupos de Curvas Elípticas) ECP256 (Grupo 19) y ECP384 (Grupo 20). Requisitos similares de grupos criptográficos se aplican a las políticas de modo rápido de IPsec.

La directiva personalizada predeterminada incluye SHA1, DHGroup2 y 3DES para la compatibilidad con versiones anteriores. Estos son algoritmos más débiles que no se admiten al crear una directiva personalizada. Se recomienda usar solo los algoritmos siguientes:

Configuración y parámetros disponibles

Configuración Parámetros
Cifrado de IKE GCMAES256, GCMAES128, AES256, AES128
Integridad de IKE SHA384, SHA256
Grupo DH ECP384, ECP256, DHGroup24, DHGroup14
Cifrado de IPsec GCMAES256, GCMAES128, AES256, AES128, Ninguno
Integridad de IPsec GCMAES256, GCMAES128, SHA256
Grupo PFS ECP384, ECP256, PFS24, PFS14, Ninguno
Duración de SA entero; min. 300/ valor predeterminado 3600 segundos

En la tabla siguiente se muestran los grupos Diffie-Hellman admitidos en la directiva personalizada:

Grupo Diffie-Hellman Grupo DH Grupo PFS Longitud de la clave
14 DHGroup14 PFS14 MODP de 2048 bits
19 ECP256 ECP256 ECP de 256 bits
20 ECP384 ECP384 ECP de 384 bits
24 DHGroup24 PFS24 MODP de 2048 bits

Pasos siguientes

Para conocer los pasos para configurar una directiva IPsec personalizada, consulte Configuración de una directiva IPsec personalizada para Virtual WAN.

Para más información sobre Virtual WAN, consulte Acerca de Azure Virtual WAN y las preguntas más frecuentes sobre Azure Virtual WAN.

  • Se actualizó por última vez el