Creación de una política IPsec en la consola

Para crear una política IPsec en la consola, sigue estos pasos:

1. En la página de la lista de VPN para VPC, selecciona «Puertas de enlace de sitio a sitio» > «Políticas de IPsec ».

2. Haz clic en «Crear» e introduce la siguiente información:

   • Ubicación: selecciona una región para esta política IPsec.
   • Nombre: especifique un nombre para la política de IPsec.
   • Grupo de recursos: seleccione el grupo de recursos para esta política IPsec.
   • Cifrado- Seleccione el algoritmo de cifrado que se utilizará para la Fase 2. Por defecto, se selecciona el algoritmo de menor potencia. Puede seleccionar varios valores para cada campo y reordenarlos por prioridad. La pasarela VPN negocia con la pasarela homóloga para seleccionar el mejor algoritmo mutuamente compatible.
   • Autenticación- Seleccione el algoritmo de autenticación a utilizar para la Fase 2. Por defecto, se selecciona el algoritmo de menor potencia. Puede seleccionar varios algoritmos de autenticación y reordenarlos por prioridad.
   • Perfect Forward Secrecy- Activa esta opción para realizar un nuevo intercambio Diffie-Hellman durante cada re-clave de Fase 2, de modo que si una clave se ve comprometida, el tráfico previamente encriptado sigue siendo seguro.
   • Grupo Diffie-Hellman (si PFS está activado): selecciona el grupo DH que se utilizará para el intercambio de claves de la fase 2. Por defecto, se selecciona el grupo DH más bajo. Puede seleccionar varios grupos DH y reordenarlos por prioridad.
   • Duración de la clave: seleccione la duración, en segundos, del túnel de fase 2.

3. Pulse Crear.

4. En la página Detalles de conexión de VPN, establezca el campo Políticas de IPsec para que utilice la política de IPsec deseada.

   Para garantizar el éxito de la negociación IKE/IPsec, configure ambos peers con al menos un algoritmo coincidente en cada categoría (autenticación, cifrado y grupos PF). Alinear estos ajustes entre pares ayuda a evitar fallos de conexión.

Creación de una política IPsec desde la CLI

Antes de empezar, configure el entorno de CLI.

Para crear una política IPsec desde la CLI, introduce el siguiente comando :

ibmcloud is ipsec-policy-create IPSEC_POLICY_NAME AUTHENTICATION_ALGORITHMS ENCRYPTION_ALGORITHMS PFSGS [--key-lifetime KEY_LIFETIME] [--resource-group-id RESOURCE_GROUP_ID | --resource-group-name RESOURCE_GROUP_NAME] [--output JSON] [-q, --quiet]

Donde:

• IPSEC_POLICY_NAME: el nombre de la política IPsec.
• AUTHENTICATION_ALGORITHMS- Los algoritmos de autenticación. Sólo debe desactivarse si ENCRYPTION_ALGORITHMS contiene algoritmos de modo combinado (aes128gcm16, aes192gcm16, aes256gcm16). Uno de: disabled, sha256, sha384, sha512, o una lista de algoritmos de autenticación separada por comas (sha384,sha256,sha512). El orden de los algoritmos determina su prioridad durante la negociación.
• ENCRYPTION_ALGORITHMS- Los algoritmos de cifrado. Uno de: aes128, aes128gcm16, aes192, aes192gcm16, aes256, aes256gcm16, o una lista de algoritmos de cifrado separada por comas (aes128,aes192,aes256). El orden de los algoritmos determina su prioridad durante la negociación.
• PFSGS: grupos de confidencialidad perfecta hacia adelante. Uno de: disabled, group_14, group_15, group_16, group_17, group_18, group_19, group_20, group_21, group_22, group_23, group_24, group_31, o una lista separada por comas de grupos PFS (group_14,group_15,group_16). El orden de los grupos determina su prioridad durante la negociación.
• --key-lifetime value: el tiempo de vida de la clave en segundos. Máximo: 86400, Mínimo: 1800. El valor predeterminado es 3600.
• --resource-group-id: el ID del grupo de recursos. Esta opción es mutuamente excluyente con --resource-group-name.
• --resource-group-name valor: el nombre del grupo de recursos. Esta opción es mutuamente excluyente con --resource-group-id.
• --output value: especificar la salida en formato JSON.
• -q, --quiet: suprimir la salida detallada.

md5 y sha1, los grupos DH group_2 y group_5 y el algoritmo de cifrado triple_des quedaron obsoletos el 20 de septiembre de 2022 y ya no son compatibles con la consola.

El « AUTHENTICATION_ALGORITHMS » debe ser « disabled » si y solo si « ENCRYPTION_ALGORITHMS » es « aes128gcm16 », « aes192gcm16 » o « aes256gcm16 ».

Actualización de una política IPsec desde la CLI

Antes de empezar, configure el entorno de CLI.

Para actualizar una política IPsec desde la CLI, introduce el siguiente comando :

ibmcloud is ipsec-policy-update IPSEC_POLICY [--name NEW_NAME] [--authentication-algorithms AUTHENTICATION_ALGORITHMS] [--pfsgs PFSGS] [--encryption-algorithms ENCRYPTION_ALGORITHMS] [--authentication-algorithm AUTHENTICATION_ALGORITHM] [--pfs disabled | group_14 | group_15 | group_16 | group_17 | group_18 | group_19 | group_20 | group_21 | group_22 | group_23 | group_24 | group_31] [--encryption-algorithm aes128 | aes128gcm16 | aes192 | aes192gcm16 | aes256 | aes256gcm16] [--key-lifetime KEY_LIFETIME] [--output JSON] [-q, --quiet]

Donde:

• --name: el nombre de la política IPsec.

• --authentication-algorithms- Una lista separada por comas de algoritmos de autenticación (recomendado). El orden de los algoritmos determina su prioridad durante la negociación.

• --authentication-algorithm: el algoritmo de autenticación (obsoleto). Solo debe desactivarse si --encryption_algorithm es aes128gcm16, aes192gcm16 o aes256gcm16. Uno de: disabled, sha256, sha384, sha512

• --encryption-algorithms- Una lista separada por comas de algoritmos de encriptación (recomendado). El orden de los algoritmos determina su prioridad durante la negociación.

• --encryption-algorithm: el algoritmo de cifrado (obsoleto). Uno de: aes128, aes128gcm16, aes192, aes192gcm16, aes256, aes256gcm16.

• --pfsgs- Una lista separada por comas de grupos de Perfect Forward Secrecy. El orden de los grupos determina su prioridad durante la negociación.

• --pfs- El grupo Perfect Forward Secrecy (obsoleto). Uno de los siguientes: discapacitados, group_14, group_15, group_16, group_17, group_18, group_19, group_20, group_21, group_22, group_23, group_24, group_31.

  No mezcle propiedades singulares y basadas en matrices para la misma categoría de algoritmo en un mismo comando.

Creación de una política IPsec mediante la API

Las propiedades singulares authentication_algorithm, dh_group, encryption_algorithm, y pfs para la negociación IPsec están obsoletas. Utilice las propiedades basadas en matrices para crear la política IPsec. Para saber más sobre las propiedades de algoritmos singulares y basados en matrices para la política IPsec cuando se utiliza la API, consulte Actualización a múltiples algoritmos IKE e IPsec.

Para crear una política IPsec con múltiples algoritmos utilizando las propiedades basadas en array (recomendado), siga estos pasos:

1. Configure el entorno de la API con las variables adecuadas.

2. Almacene las variables adicionales que se van a utilizar en los mandatos de la API, por ejemplo:

ResourceGroupId: localice el ID de grupo de recursos con el mandato get resource groups y luego rellene la variable:

 export ResourceGroupId=<your_resourcegroup_id>

1. Cree la política IPsec:

      curl -X POST "$vpc_api_endpoint/v1/ipsec_policies?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token" \
        -d '{
           "name": "my-new-ipsec-policy",
           "authentication_algorithms": ["sha256", "sha512"],
           "encryption_algorithms": ["aes128", "aes256"],
           "pfs_groups": ["group_14", "group_15", "group_16", "group_17", "group_18"],
           "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'
   

Cree una política IPsec con encryption_algorithms establecido en GCM-algoritmos basados y authentication_algorithms establecido en disabled:

   curl -X POST "$vpc_api_endpoint/v1/ipsec_policies?version=$api_version&generation=2" \
   -H "Authorization: Bearer $iam_token" \
   -d '{
      "name": "gcm-ipsec-policy",
      "encryption_algorithms": ["aes128gcm16","aes192gcm16","aes256gcm16"],
      "authentication_algorithms": ["disabled"],
      "pfs_groups": ["group_14","group_15","group_16","group_17","group_18"],
      "resource_group": {
        "id": "'$ResourceGroupId'"
      }
    }'

La propiedad authentication_algorithms debe establecerse en disabled si y sólo si la lista encryption_algorithms contiene algún algoritmo basado en GCM (aes128gcm16, aes192gcm16, o aes256gcm16). GCM proporcionan tanto cifrado como integridad de datos integrada (autenticación) como parte de una única operación, por lo que no se debe especificar un algoritmo de autenticación independiente (como sha256 o sha512).

Para crear una política IPsec con la API utilizando propiedades singulares (obsoletas), siga estos pasos:

1. Configure el entorno de la API con las variables adecuadas.

2. Almacene las variables adicionales que se van a utilizar en los mandatos de la API, por ejemplo:

ResourceGroupId: localice el ID de grupo de recursos con el mandato get resource groups y luego rellene la variable:

 export ResourceGroupId=<your_resourcegroup_id>

1. Cree la política IPsec:

   curl -X POST "$vpc_api_endpoint/v1/ipsec_policies?version=$api_version&generation=2" \
     -H "Authorization: Bearer $iam_token" \
     -d '{
        "name": "my-new-ipsec-policy",
        "authentication_algorithm": "sha256",
        "encryption_algorithm": "aes128",
        "pfs": "group_14",
        "resource_group": {
          "id": "'$ResourceGroupId'"
        }
      }'