Erstellen einer IKE-Richtlinie in der Konsole

Um eine IKE-Richtlinie in der Konsole zu erstellen, gehen Sie wie folgt vor:

1. Wählen Sie auf der Seite „VPNs für VPC“ die Option „Site-to-Site-Gateways“ > „IKE-Richtlinien“ aus.

2. Klicken Sie auf „Erstellen“ und geben Sie die folgenden Informationen ein:

   • Standort – Wählen Sie eine Region für diese IKE-Richtlinie aus.
   • Name - Geben Sie einen Namen für die IKE-Richtlinie ein.
   • Ressourcengruppe: Wählen Sie die Ressourcengruppe für diese IKE-Richtlinie aus.
   • IKE-Version – Wählen Sie die Version des IKE-Protokolls aus. Einige Anbieter unterstützen nicht sowohl IKEv1 als auch IKEv2. Prüfen Sie die Dokumentation des Peer-Anbieters, um festzustellen, welche IKE-Version unterstützt wird.
   • Verschlüsselung- Wählen Sie den Verschlüsselungsalgorithmus, der für IKE verwendet werden soll. Standardmäßig wird der Algorithmus mit der geringsten Stärke ausgewählt. Sie können für jedes Feld mehrere Werte auswählen und sie nach Priorität neu ordnen. Das VPN-Gateway verhandelt mit dem Peer-Gateway, um den besten von beiden Seiten unterstützten Algorithmus auszuwählen.
   • Authentifizierung- Wählen Sie den Authentifizierungsalgorithmus, der für IKE verwendet werden soll. Standardmäßig wird der Algorithmus mit der geringsten Stärke ausgewählt. Sie können für jedes Feld mehrere Werte auswählen und sie nach Priorität neu ordnen.
   • Diffie-Hellman-Gruppe- Wählen Sie die DH-Gruppe, die für IKE verwendet werden soll. Standardmäßig wird die niedrigste DH-Gruppe ausgewählt. Sie können mehrere DH-Gruppen auswählen und sie nach Priorität neu anordnen.
   • Key lifetime- Wählen Sie die Lebensdauer des Phase-1-Tunnels in Sekunden.

3. Klicken Sie auf Erstellen.

4. Legen Sie auf der Seite VPN-Verbindungsdetails für das Feld IKE-Richtlinien die Verwendung der gewünschten IKE-Richtlinie fest.

   Um eine erfolgreiche IKE/IPsec-Verhandlung sicherzustellen, konfigurieren Sie beide Peers mit mindestens einem passenden Algorithmus in jeder Kategorie (Authentifizierung, Verschlüsselung und DH-Gruppe). Die Angleichung dieser Einstellungen zwischen den Peers hilft, Verbindungsabbrüche zu vermeiden.

Erstellen einer IKE-Richtlinie über die Befehlszeilenschnittstelle

Bevor Sie beginnen, richten Sie Ihre CLI-Umgebung ein.

Um eine IKE-Richtlinie über die Befehlszeilenschnittstelle (CLI) zu erstellen, geben Sie den folgenden Befehl ein:

ibmcloud is ike-policy-create IKE_POLICY_NAME AUTHENTICATION_ALGORITHMS DH_GROUPS ENCRYPTION_ALGORITHMS IKE_VERSION [--key-lifetime KEY_LIFETIME] [--resource-group-id RESOURCE_GROUP_ID | --resource-group-name RESOURCE_GROUP_NAME] [--output JSON] [-q, --quiet]

Dabei gilt:

• IKE_POLICY_NAME – Der Name der IKE-Richtlinie.
• AUTHENTICATION_ALGORITHMS – Die Authentifizierungsalgorithmen. Eine von: sha256, sha384, sha512, oder eine durch Komma getrennte Liste von Authentifizierungsalgorithmen (sha512, sha384, sha256,). Die Reihenfolge der Algorithmen bestimmt ihre Priorität bei der Aushandlung.
• DH_GROUPS – Die Diffie-Hellman-Gruppen. Eine von: 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 31, oder eine durch Komma getrennte Liste von DH-Gruppen (14,15,16,17,18). Die Reihenfolge der Gruppen bestimmt ihre Priorität bei der Aushandlung.
• ENCRYPTION_ALGORITHMS – Die Verschlüsselungsalgorithmen. Eine von: aes128, aes192, aes256, oder eine durch Komma getrennte Liste von Verschlüsselungsalgorithmen (aes256,aes192,aes128). Die Reihenfolge der Algorithmen bestimmt ihre Priorität bei der Aushandlung.
• IKE_VERSION - IKE-Protokollversion. Mögliche Optionen: 1, 2.
• --key-lifetime – Die Gültigkeitsdauer des Schlüssels in Sekunden. Maximal: 86400. Mindestbetrag: 1800. Der Standardwert ist 28800.
• --resource-group-id – Die ID der Ressourcengruppe. Diese Option und die Option --resource-group-name schließen sich gegenseitig aus.
• --resource-group-name – Der Name der Ressourcengruppe. Diese Option und die Option --resource-group-id schließen sich gegenseitig aus.
• --output - Legt als Ausgabeformat JSON fest.
• -q, --quiet - Ausführliche Ausgabe unterdrücken.

md5 und sha1 Authentifizierungsalgorithmen, 2 und 5 DH-Gruppen und der triple_des Verschlüsselungsalgorithmus sind seit dem 20. September 2022 veraltet und werden von der Konsole nicht mehr unterstützt.

Aktualisieren einer IKE-Richtlinie über die CLI

Bevor Sie beginnen, richten Sie Ihre CLI-Umgebung ein.

Um eine IKE-Richtlinie über die Befehlszeilenschnittstelle (CLI) zu aktualisieren, geben Sie den folgenden Befehl ein:

ibmcloud is ike-policy-update IKE_POLICY [--name NEW_NAME] [--authentication-algorithms AUTHENTICATION_ALGORITHMS] [--dh-groups DH_GROUPS] [--encryption-algorithms ENCRYPTION_ALGORITHMS] [--authentication-algorithm sha256 | sha384 | sha512] [--dh-group 14 | 15 | 16 | 17 | 18 | 19 | 20 | 21 | 22 | 23 | 24 | 31] [--encryption-algorithm aes128 | aes192 | aes256] [--ike-version 1 | 2] [--key-lifetime KEY_LIFETIME] [--output JSON] [-q, --quiet]

Dabei gilt:

• --name – Der Name der IKE-Richtlinie.

• --authentication-algorithms- Eine durch Kommata getrennte Liste von Authentifizierungsalgorithmen (empfohlen). Die Reihenfolge der Algorithmen bestimmt deren Priorität während der Verhandlung.

• --authentication-algorithm – Der Authentifizierungsalgorithmus (veraltet). Eine der folgenden Adressen: sha256, sha384, sha512.

• --dh-groups- Eine kommagetrennte Liste von DH-Gruppen (empfohlen). Die Reihenfolge der Gruppen bestimmt ihre Priorität bei der Verhandlung.

• --dh-group- Die DH-Gruppe (veraltet). Einer der folgenden Werte: 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 31

• --encryption-algorithms- Eine kommagetrennte Liste von Verschlüsselungsalgorithmen (empfohlen). Die Reihenfolge der Algorithmen bestimmt deren Priorität während der Verhandlung.

• --encryption-algorithm – Der Verschlüsselungsalgorithmus (veraltet). Eine der folgenden Adressen: aes128, aes192, aes256.

• --ike-version – Die Version des IKE-Protokolls. Mögliche Optionen: 1, 2.

  Mischen Sie nicht singuläre und array-basierte Eigenschaften für dieselbe Algorithmuskategorie in einem einzigen Befehl.

Erstellen einer IKE-Richtlinie über die API

Gehen Sie folgendermaßen vor, um eine IKE-Richtlinie mit mehreren Algorithmen zu erstellen, indem Sie die array-basierten Eigenschaften verwenden (empfohlen):

1. Richten Sie Ihre API-Umgebung mit den richtigen Variablen ein.

2. Speichern Sie weitere Variablen, die in den API-Befehlen verwendet werden sollen. Zum Beispiel:

ResourceGroupId - Suchen Sie die Ressourcengruppen-ID mithilfe des Befehls get resource groups und füllen Sie dann die Variable:

export ResourceGroupId=<your_resourcegroup_id>

1. Erstellen Sie die IKE-Richtlinie:

      curl -X POST "$vpc_api_endpoint/v1/ike_policies?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token" \
        -d '{
           "name": "my-new-ike-policy",
            "authentication_algorithms": ["sha256","sha384","sha512"],
            "encryption_algorithms": ["aes128","aes256"],
            "dh_groups": [14,15,16],
            "ike_version": 2,
            "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'
   

Die singulären Eigenschaften authentication_algorithm, dh_group und encryption_algorithm für IKE-Verhandlungen sind veraltet. Verwenden Sie die array-basierten Eigenschaften, um eine IKE-Richtlinie zu erstellen. Weitere Informationen zu den singulären und array-basierten Algorithmeneigenschaften für die IKE-Richtlinie bei Verwendung der API finden Sie unter Aktualisieren auf mehrere IKE- und IPsec-Algorithmen.

Gehen Sie folgendermaßen vor, um eine IKE-Richtlinie mit der API unter Verwendung einzelner Eigenschaften (veraltet) zu erstellen:

1. Richten Sie Ihre API-Umgebung mit den richtigen Variablen ein.

2. Speichern Sie weitere Variablen, die in den API-Befehlen verwendet werden sollen. Zum Beispiel:

ResourceGroupId - Suchen Sie die Ressourcengruppen-ID mithilfe des Befehls get resource groups und füllen Sie dann die Variable:

export ResourceGroupId=<your_resourcegroup_id>

1. Erstellen Sie die IKE-Richtlinie:

      curl -X POST "$vpc_api_endpoint/v1/ike_policies?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token" \
        -d '{
           "name": "my-new-ike-policy",
           "dh_group": 14,
           "authentication_algorithm": "sha256",
           "encryption_algorithm": "aes128",
           "ike_version": 2,
           "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'
   

Aktualisieren einer IKE-Richtlinie mit der API

Gehen Sie folgendermaßen vor, um eine IKE-Richtlinie mit der API zu aktualisieren, indem Sie die Array-basierten Eigenschaften verwenden (empfohlen):

1. Richten Sie Ihre API-Umgebung mit den richtigen Variablen ein.

2. Speichern Sie weitere Variablen, die in den API-Befehlen verwendet werden sollen. Zum Beispiel:

ResourceGroupId - Suchen Sie die Ressourcengruppen-ID mithilfe des Befehls get resource groups und füllen Sie dann die Variable:

export ResourceGroupId=<your_resourcegroup_id>

1. Aktualisieren Sie die IKE-Richtlinie:

      curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token" \
        -d '{
            "name": "my-updated-ike-policy",
            "authentication_algorithms": ["sha512","sha384","sha256"],
            "encryption_algorithms": ["aes256","aes128"],
            "dh_groups":[15,16,14],
            "ike_version": 2,
            "key_lifetime": 3600,
            "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'
   

Gehen Sie folgendermaßen vor, um eine IKE-Richtlinie mit der API zu aktualisieren, indem Sie einzelne Eigenschaften verwenden (veraltet):

Sie können IKE-Richtlinien aktualisieren, indem Sie entweder veraltete singuläre Eigenschaften oder array-basierte Eigenschaften verwenden. Beide Formen werden akzeptiert, aber Sie dürfen nicht einzelne und array-basierte Eigenschaften für dieselbe Algorithmuskategorie in einer einzigen Anfrage mischen.

1. Richten Sie Ihre API-Umgebung mit den richtigen Variablen ein.

2. Speichern Sie weitere Variablen, die in den API-Befehlen verwendet werden sollen. Zum Beispiel:

ResourceGroupId - Suchen Sie die Ressourcengruppen-ID mithilfe des Befehls get resource groups und füllen Sie dann die Variable:

export ResourceGroupId=<your_resourcegroup_id>

1. Aktualisieren Sie die IKE-Richtlinie:

      curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token" \
        -d '{
            "name": "my-updated-ike-policy",
            "authentication_algorithm": "sha384",
            "encryption_algorithm": "aes256",
            "dh_group": 15,
            "ike_version": 2,
            "key_lifetime": 3600,
            "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'
   

Den vollständigen Satz von APIs für Site-to-Site-VPN-Gateways finden Sie in der VPC-API-Referenz.

IKE-Richtlinie unter Verwendung von Terraform erstellen

Im folgenden Beispiel können Sie mithilfe von Terraform eine IKE-Richtlinie erstellen:

   resource "ibm_is_ike_policy" "is_ike_policy" {
     name                     = "my-ike-policy"
     authentication_algorithm = "sha256"
     encryption_algorithm     = "aes128"
     dh_group                 = 14
     ike_version              = 2
   }

1. Im folgenden Beispiel können Sie mithilfe von Terraform eine IKE-Richtlinie mit Array-basierten Eigenschaften erstellen (empfohlen):

      resource "ibm_is_ike_policy" "is_ike_policy" {
        name                     = "my-ike-policy"
        authentication_algorithms = ["sha512", "sha384"]
        encryption_algorithms     = ["aes192", "aes128"]
        dh_groups                 = [15, 16]
        ike_version              = 2
        key_lifetime             = 1800
      }
   

2. Im folgenden Beispiel können Sie mithilfe von Terraform eine IKE-Richtlinie mit einzelnen Eigenschaften (veraltet) erstellen:

      resource "ibm_is_ike_policy" "is_ike_policy" {
        name                     = "my-ike-policy"
        authentication_algorithm = "sha256"
        encryption_algorithm     = "aes128"
        dh_group                 = 14
        ike_version              = 2
      }
   

   Verwenden Sie in einer einzelnen Anfrage nicht gleichzeitig Singular- und Array-basierte Eigenschaften für dieselbe Algorithmuskategorie.

Weitere Informationen finden Sie in der Terraform-Registry.