Creazione di un criterio IPsec nella console

Per creare un criterio IPsec nella console, procedere come segue:

1. Nella pagina dell'elenco VPN per VPC, selezionare Gateway sito-sito > Criteri IPsec.

2. Fare clic su " Crea " e specificare le seguenti informazioni:

   • Posizione- Selezionare una regione per questo criterio IPsec.
   • Nome- Inserire un nome per la politica IPsec.
   • Gruppo di risorse- Selezionare il gruppo di risorse per questa politica IPsec.
   • Crittografia- Selezionare l'algoritmo di crittografia da utilizzare per la Fase 2. Per impostazione predefinita, viene selezionato l'algoritmo a più bassa resistenza. È possibile selezionare più valori per ogni campo e riordinarli in base alla priorità. Il gateway VPN negozia con il gateway peer per selezionare il miglior algoritmo supportato reciprocamente.
   • Autenticazione- Selezionare l'algoritmo di autenticazione da utilizzare per la Fase 2. Per impostazione predefinita, viene selezionato l'algoritmo a più bassa resistenza. È possibile selezionare più algoritmi di autenticazione e riordinarli in base alla priorità.
   • Perfect Forward Secrecy- Abilitare questa opzione per eseguire un nuovo scambio Diffie-Hellman durante ogni rekey di Fase 2, in modo che se una chiave è compromessa, il traffico precedentemente crittografato rimane sicuro.
   • Gruppo Diffie-Hellman (se PFS è abilitato)- Selezionare il gruppo DH da utilizzare per lo scambio di chiavi di fase 2. Per impostazione predefinita, viene selezionato il gruppo DH più basso. È possibile selezionare più gruppi DH e riordinarli per priorità.
   • Durata della chiave- Selezionare la durata, in secondi, per il tunnel di Fase 2.

3. Fai clic su Crea.

4. Dalla pagina Dettagli connessione VPN, imposta il campo Politiche IPsec per utilizzare la politica IPsec desiderata.

   Per garantire il successo della negoziazione IKE/IPsec, configurare entrambi i peer con almeno un algoritmo corrispondente in ciascuna categoria (autenticazione, crittografia e gruppi PF). L'allineamento di queste impostazioni tra i peer aiuta a evitare le interruzioni di connessione.

Creazione di una politica IPsec dalla CLI

Prima di iniziare, configura il tuo ambiente CLI.

Per creare una politica IPsec dalla CLI, immetti il seguente comando:

ibmcloud is ipsec-policy-create IPSEC_POLICY_NAME AUTHENTICATION_ALGORITHMS ENCRYPTION_ALGORITHMS PFSGS [--key-lifetime KEY_LIFETIME] [--resource-group-id RESOURCE_GROUP_ID | --resource-group-name RESOURCE_GROUP_NAME] [--output JSON] [-q, --quiet]

Dove:

• IPSEC_POLICY_NAME- Il nome della politica IPsec.
• AUTHENTICATION_ALGORITHMS- Gli algoritmi di autenticazione. Deve essere disabilitato solo se ENCRYPTION_ALGORITHMS contiene algoritmi in modalità combinata (aes128gcm16, aes192gcm16, aes256gcm16). Uno di: disabled, sha256, sha384, sha512, o un elenco separato da virgole di algoritmi di autenticazione (sha384,sha256,sha512). L'ordine degli algoritmi determina la loro priorità durante la negoziazione.
• ENCRYPTION_ALGORITHMS- Gli algoritmi di crittografia. Uno di: aes128, aes128gcm16, aes192, aes192gcm16, aes256, aes256gcm16, o un elenco separato da virgole di algoritmi di crittografia (aes128,aes192,aes256). L'ordine degli algoritmi determina la loro priorità durante la negoziazione.
• PFSGS- Gruppi di segretezza perfetta in avanti. Uno di: disabled, group_14, group_15, group_16, group_17, group_18, group_19, group_20, group_21, group_22, group_23, group_24, group_31, o un elenco separato da virgole di gruppi PFS (group_14,group_15,group_16). L'ordine dei gruppi determina la loro priorità durante la negoziazione.
• --key-lifetime: la durata della chiave, espressa in secondi. Massimo: 86400, Minimo: 1800. Il valore predefinito è 3600.
• --resource-group-id: valore- L'ID del gruppo di risorse. Questa opzione è reciprocamente esclusiva con --resource-group-name.
• --resource-group-name valore- Il nome del gruppo di risorse. Questa opzione è reciprocamente esclusiva con --resource-group-id.
• -- output value- Specifica l'output in formato JSON.
• • q, --quiet- Sopprime l'output verboso.

md5 e sha1, i gruppi DH group_2 e group_5 e l'algoritmo di crittografia triple_des sono stati deprecati il 20 settembre 2022 e non sono più supportati dalla console.

L' AUTHENTICATION_ALGORITHMS e deve essere disabled se e solo se ENCRYPTION_ALGORITHMS è aes128gcm16, aes192gcm16 o aes256gcm16.

Aggiornamento di un criterio IPsec dalla CLI

Prima di iniziare, configura il tuo ambiente CLI.

Per aggiornare un criterio IPsec dalla CLI, immettere il comando seguente:

ibmcloud is ipsec-policy-update IPSEC_POLICY [--name NEW_NAME] [--authentication-algorithms AUTHENTICATION_ALGORITHMS] [--pfsgs PFSGS] [--encryption-algorithms ENCRYPTION_ALGORITHMS] [--authentication-algorithm AUTHENTICATION_ALGORITHM] [--pfs disabled | group_14 | group_15 | group_16 | group_17 | group_18 | group_19 | group_20 | group_21 | group_22 | group_23 | group_24 | group_31] [--encryption-algorithm aes128 | aes128gcm16 | aes192 | aes192gcm16 | aes256 | aes256gcm16] [--key-lifetime KEY_LIFETIME] [--output JSON] [-q, --quiet]

Dove:

• --name- Il nome della politica IPsec.

• --authentication-algorithms- Un elenco separato da virgole di algoritmi di autenticazione (consigliato). L'ordine degli algoritmi determina la loro priorità durante la negoziazione.

• --authentication-algorithm- L'algoritmo di autenticazione (obsoleto). Deve essere disabilitato solo se --encryption_algorithm è impostato su aes128gcm16, aes192gcm16 o aes256gcm16. Uno di: disabled, sha256, sha384, sha512

• --encryption-algorithms- Un elenco separato da virgole di algoritmi di crittografia (consigliato). L'ordine degli algoritmi determina la loro priorità durante la negoziazione.

• --encryption-algorithm- L'algoritmo di crittografia (obsoleto). Uno tra: aes128, aes128gcm16, aes192, aes192gcm16, aes256, aes256gcm16.

• --pfsgs- Un elenco separato da virgole di gruppi Perfect Forward Secrecy. L'ordine dei gruppi determina la loro priorità durante la negoziazione.

• --pfs- Il gruppo Perfect Forward Secrecy (deprecato). Uno di: disabili, group_14, group_15, group_16, group_17, group_18, group_19, group_20, group_21, group_22, group_23, group_24, group_31.

  Non mischiare proprietà singolari e basate su array per la stessa categoria di algoritmi in un unico comando.

Creazione di una politica IPsec con l'API

Le proprietà singolari authentication_algorithm, dh_group, encryption_algorithm e pfs per la negoziazione IPsec sono deprecate. Utilizzare le proprietà basate su array per creare un criterio IPsec. Per saperne di più sulle proprietà degli algoritmi singolari e basati su array per i criteri IPsec quando si utilizza l'API, vedere Aggiornamento a più algoritmi IKE e IPsec.

Per creare un criterio IPsec con più algoritmi utilizzando le proprietà basate su array (consigliate), procedere come segue:

1. Configura il tuo ambiente API con le variabili corrette.

2. Memorizzare eventuali variabili aggiuntive da utilizzare nei comandi API, ad esempio:

ResourceGroupId- Trova l'ID gruppo di risorse utilizzando il comando get resource groups e popola la variabile:

 export ResourceGroupId=<your_resourcegroup_id>

1. Creare il criterio IPsec:

      curl -X POST "$vpc_api_endpoint/v1/ipsec_policies?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token" \
        -d '{
           "name": "my-new-ipsec-policy",
           "authentication_algorithms": ["sha256", "sha512"],
           "encryption_algorithms": ["aes128", "aes256"],
           "pfs_groups": ["group_14", "group_15", "group_16", "group_17", "group_18"],
           "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'
   

Creare un criterio IPsec con encryption_algorithms impostato su GCM- algoritmi basati e authentication_algorithms impostato su disabled:

   curl -X POST "$vpc_api_endpoint/v1/ipsec_policies?version=$api_version&generation=2" \
   -H "Authorization: Bearer $iam_token" \
   -d '{
      "name": "gcm-ipsec-policy",
      "encryption_algorithms": ["aes128gcm16","aes192gcm16","aes256gcm16"],
      "authentication_algorithms": ["disabled"],
      "pfs_groups": ["group_14","group_15","group_16","group_17","group_18"],
      "resource_group": {
        "id": "'$ResourceGroupId'"
      }
    }'

La proprietà authentication_algorithms deve essere impostata su disabled se e solo se l'elenco encryption_algorithms contiene algoritmi basati su GCM (aes128gcm16, aes192gcm16, o aes256gcm16). GCM fornisce sia la crittografia che l'integrità dei dati (autenticazione) come parte di una singola operazione, quindi non è necessario specificare un algoritmo di autenticazione separato (come sha256 o sha512).

Per creare un criterio IPsec con l'API utilizzando le proprietà singolari (deprecate), procedere come segue:

1. Configura il tuo ambiente API con le variabili corrette.

2. Memorizzare eventuali variabili aggiuntive da utilizzare nei comandi API, ad esempio:

ResourceGroupId- Trova l'ID gruppo di risorse utilizzando il comando get resource groups e popola la variabile:

 export ResourceGroupId=<your_resourcegroup_id>

1. Creare il criterio IPsec:

   curl -X POST "$vpc_api_endpoint/v1/ipsec_policies?version=$api_version&generation=2" \
     -H "Authorization: Bearer $iam_token" \
     -d '{
        "name": "my-new-ipsec-policy",
        "authentication_algorithm": "sha256",
        "encryption_algorithm": "aes128",
        "pfs": "group_14",
        "resource_group": {
          "id": "'$ResourceGroupId'"
        }
      }'