Comprendere il comportamento degli aggiornamenti nell'API

L'API sincronizza automaticamente le proprietà degli algoritmi singolari e basati su array. Prima di aggiornare le vostre politiche, esaminate i comportamenti e le restrizioni seguenti.

Compatibilità della versione IKE

Le proprietà degli algoritmi basati su array sono supportate solo con IKEv2. Se si utilizza IKEv1, è necessario configurare un unico algoritmo per ciascuna categoria utilizzando proprietà singolari.

• Utilizzare IKEv2 con le proprietà basate su array:

{
   "ike_version": 2,
   "authentication_algorithms": ["sha512", "sha256"],
   "encryption_algorithms": ["aes256", "aes128"]
}

• Utilizza " IKEv1 " con le proprietà al singolare:

{
   "ike_version": 1,
   "authentication_algorithm": "sha256",
   "encryption_algorithm": "aes128"
}

IKEv1 supporta solo un algoritmo per categoria. Le connessioni VPN che utilizzano IKEv1 non supportano le proprietà degli algoritmi IKE o IPsec basati su array. Utilizzate IKEv2 quando possibile.

Sincronizzazione automatica

Quando si aggiornano le proprietà basate su array (authentication_algorithms, encryption_algorithms, dh_groups, pfs_groups), le proprietà singolari corrispondenti (authentication_algorithm, encryption_algorithm, dh_group, pfs) vengono aggiornate automaticamente. Allo stesso modo, l'aggiornamento delle proprietà singolari aggiorna automaticamente le relative proprietà basate su array. Per esempi, si veda:

• Esempi di aggiornamento dei criteri IKE
• Esempi di aggiornamento dei criteri IPsec

Indicatori di sola lettura

Quando sono configurati più algoritmi, le proprietà singolari (authentication_algorithm, encryption_algorithm) restituiscono valori indicatori di sola lettura nelle risposte dell'API. Ad esempio:

• authentication_algorithm Restituisce "multiple"
• encryption_algorithm Restituisce "multiple"
• dh_group Restituisce 65535

Questi valori vengono restituiti solo nelle risposte e non possono essere inviati in una richiesta a PATCH.

{
   "authentication_algorithms": ["sha256", "sha384", "sha512"],
   "authentication_algorithm": "multiple",
   "dh_groups": [14, 15, 16],
   "dh_group": 65535,
   "encryption_algorithms": ["aes128", "aes256"],
   "encryption_algorithm": "multiple"
}

Se in una proprietà basata su array è configurato un solo algoritmo, la proprietà singolare restituisce il valore configurato anziché "multiple".

{
   "authentication_algorithms": ["sha256"],
   "authentication_algorithm": "sha256",
   "dh_groups": [14],
   "dh_group": 14,
   "encryption_algorithms": ["aes128"],
   "encryption_algorithm": "aes128"
}

Restrizione alla miscelazione di proprietà

Non mischiare proprietà singolari e basate su array per la stessa categoria di algoritmi in una singola richiesta. Scegliete un approccio per ogni richiesta.

• Esempio corretto: Questo esempio include le proprietà dell'algoritmo per IKE, dove vengono utilizzate solo proprietà basate su array per tutte le categorie:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

• Esempio errato: Questo esempio include le proprietà dell'algoritmo per IKE, in cui sia le proprietà singolari che quelle basate su array sono mescolate per la stessa categoria:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithm": "sha512",
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

GCM requisiti e restrizioni dell'algoritmo

Se la proprietà encryption_algorithms contiene algoritmi basati su GCM (aes128gcm16, aes192gcm16, o aes256gcm16), la proprietà authentication_algorithms deve essere impostata su ["disabled"].

• Esempio corretto: mostra le proprietà dell'algoritmo IPsec quando l'array encryption_algorithms include algoritmi basati su GCM:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Esempio errato: mostra le proprietà dell'algoritmo per IPsec in cui l'array encryption_algorithms include algoritmi basati su GCM:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

GCM Gli algoritmi di crittografia e autenticazione incorporati fanno parte di un'unica operazione. Non configurare algoritmi di autenticazione separati come sha256 o sha512 con algoritmi di crittografia GCM.

Non mescolare algoritmi di crittografia GCM e non GCM nella stessa politica. La loro combinazione può causare conflitti di configurazione e errori di negoziazione.

: Quando l'opzione " authentication_algorithms " è impostata su " ["disabled"]", è necessario aggiornare anche l'opzione " authentication_algorithms " quando si passa da algoritmi di crittografia " GCM " a algoritmi non " GCM ".

• Esempio corretto: Aggiorna entrambe le proprietà encryption_algorithms e authentication_algorithms:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha512", "sha256"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Esempio errato: Mostra un caso in cui solo la proprietà encryption_algorithms viene aggiornata con algoritmi non GCM (aes128, aes192, aes256):

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

Regole di validazione dell'algoritmo

Assicurarsi che tutti i valori dell'algoritmo nella richiesta siano validi, unici e non vuoti. Utilizzare solo nomi di algoritmi supportati, evitare i duplicati e fornire almeno un valore in ogni array. Le voci non valide, duplicate o vuote possono causare un errore di convalida.

• Esempio corretto: Aggiorna i valori degli algoritmi, dove gli algoritmi e i valori supportati sono utilizzati per tutte le categorie:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes192", "aes128"]
}

• Esempio errato: Aggiorna i valori dell'algoritmo, dove vengono utilizzati valori duplicati nella stessa categoria di algoritmo:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes256", "aes128"]
}