Comprender el comportamiento de actualización en la API

La API sincroniza automáticamente las propiedades de algoritmos singulares y basados en matrices. Revise las siguientes conductas y restricciones antes de actualizar sus políticas.

Compatibilidad con la versión de IKE

Las propiedades de algoritmos basados en matrices sólo son compatibles con IKEv2. Si utilizas IKEv1, debes configurar un único algoritmo para cada categoría utilizando propiedades singulares.

• Utilice IKEv2 con propiedades basadas en matrices:

{
   "ike_version": 2,
   "authentication_algorithms": ["sha512", "sha256"],
   "encryption_algorithms": ["aes256", "aes128"]
}

• Utiliza « IKEv1 » con propiedades en singular:

{
   "ike_version": 1,
   "authentication_algorithm": "sha256",
   "encryption_algorithm": "aes128"
}

IKEv1 sólo admite un algoritmo por categoría. Las conexiones VPN que utilizan IKEv1 no son compatibles con IKE basado en matrices ni con las propiedades de los algoritmos IPsec. Utilice IKEv2 siempre que sea posible.

Sincronización automática

Al actualizar las propiedades basadas en matrices (authentication_algorithms, encryption_algorithms, dh_groups, pfs_groups), se actualizan automáticamente las propiedades singulares correspondientes (authentication_algorithm, encryption_algorithm, dh_group, pfs). Del mismo modo, la actualización de propiedades singulares actualiza automáticamente las propiedades basadas en matrices relacionadas. Para ver ejemplos, consulte:

• Ejemplos de actualización de políticas IKE
• Ejemplos de actualización de políticas IPsec

Indicadores de sólo lectura

Cuando se configuran varios algoritmos, las propiedades singulares (authentication_algorithm, encryption_algorithm) devuelven valores de indicador de solo lectura en las respuestas de la API. Por ejemplo:

• authentication_algorithm devuelve "multiple"
• encryption_algorithm devuelve "multiple"
• dh_group devuelve 65535

Estos valores sólo se devuelven en las respuestas y no pueden enviarse en una solicitud a PATCH.

{
   "authentication_algorithms": ["sha256", "sha384", "sha512"],
   "authentication_algorithm": "multiple",
   "dh_groups": [14, 15, 16],
   "dh_group": 65535,
   "encryption_algorithms": ["aes128", "aes256"],
   "encryption_algorithm": "multiple"
}

Si solo hay un algoritmo configurado en una propiedad basada en una matriz, la propiedad singular devuelve el valor configurado en lugar de "multiple".

{
   "authentication_algorithms": ["sha256"],
   "authentication_algorithm": "sha256",
   "dh_groups": [14],
   "dh_group": 14,
   "encryption_algorithms": ["aes128"],
   "encryption_algorithm": "aes128"
}

Restricción de la mezcla de propiedades

No mezcle propiedades singulares y basadas en matrices para la misma categoría de algoritmo en una misma solicitud. Elija un enfoque por solicitud.

• Ejemplo correcto: Este ejemplo incluye las propiedades del algoritmo para IKE, donde sólo se utilizan propiedades basadas en matrices para todas las categorías:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

• Ejemplo incorrecto: Este ejemplo incluye las propiedades del algoritmo para IKE, donde se mezclan propiedades singulares y basadas en matrices para la misma categoría:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithm": "sha512",
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

GCM requisitos y restricciones del algoritmo

Si la propiedad encryption_algorithms contiene algoritmos basados en GCM (aes128gcm16, aes192gcm16, o aes256gcm16), la propiedad authentication_algorithms debe establecerse en ["disabled"].

• Ejemplo correcto: Muestra las propiedades del algoritmo IPsec cuando la matriz « encryption_algorithms » incluye algoritmos basados en « GCM »:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Ejemplo incorrecto: muestra las propiedades del algoritmo para IPsec en el que la matriz « encryption_algorithms » incluye algoritmos basados en « GCM »:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

GCM proporcionan cifrado y autenticación integrada como parte de una única operación. No configure algoritmos de autenticación independientes como sha256 o sha512 con algoritmos de cifrado GCM.

No mezcles algoritmos de cifrado « GCM » y «non- GCM » en la misma política. Mezclarlos puede provocar conflictos de configuración y fallos en la negociación.

: Cuando authentication_algorithms está configurado como ["disabled"], también debes actualizar authentication_algorithms al cambiar de GCM a algoritmos de cifrado que no sean GCM.

• Ejemplo correcto: Actualiza las propiedades encryption_algorithms y authentication_algorithms:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha512", "sha256"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Ejemplo incorrecto: Muestra un caso en el que sólo se actualiza la propiedad encryption_algorithms con algoritmos que no son GCM (aes128, aes192, aes256):

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

Reglas de validación de algoritmos

Asegúrese de que todos los valores de algoritmo de su solicitud son válidos, únicos y no están vacíos. Utilice sólo nombres de algoritmos compatibles, evite los duplicados y proporcione al menos un valor en cada matriz. Las entradas no válidas, duplicadas o vacías pueden dar lugar a un error de validación.

• Ejemplo correcto: Actualiza los valores del algoritmo, donde los algoritmos y valores soportados se utilizan para todas las categorías:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes192", "aes128"]
}

• Ejemplo incorrecto: Actualiza los valores del algoritmo, donde se utilizan valores duplicados en la misma categoría de algoritmo:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes256", "aes128"]
}