Verständnis des Aktualisierungsverhaltens in der API

Die API synchronisiert automatisch singuläre und array-basierte Algorithmeneigenschaften. Überprüfen Sie die folgenden Verhaltensweisen und Einschränkungen, bevor Sie Ihre Richtlinien aktualisieren.

Kompatibilität der IKE-Version

Array-basierte Algorithmus-Eigenschaften werden nur mit IKEv2 unterstützt. Wenn Sie „ IKEv1 “ verwenden, müssen Sie für jede Kategorie einen eigenen Algorithmus unter Verwendung singulärer Eigenschaften konfigurieren.

• Verwenden Sie IKEv2 mit Array-basierten Eigenschaften:

{
   "ike_version": 2,
   "authentication_algorithms": ["sha512", "sha256"],
   "encryption_algorithms": ["aes256", "aes128"]
}

• Verwenden Sie „ IKEv1 “ bei Eigenschaften im Singular:

{
   "ike_version": 1,
   "authentication_algorithm": "sha256",
   "encryption_algorithm": "aes128"
}

IKEv1 unterstützt nur einen Algorithmus pro Kategorie. VPN-Verbindungen, die IKEv1 verwenden, unterstützen keine array-basierten IKE- oder IPsec-Algorithmus-Eigenschaften. Verwenden Sie IKEv2 wann immer möglich.

Automatische Synchronisierung

Wenn Sie array-basierte Eigenschaften (authentication_algorithms, encryption_algorithms, dh_groups, pfs_groups) aktualisieren, werden die entsprechenden singulären Eigenschaften (authentication_algorithm, encryption_algorithm, dh_group, pfs) automatisch aktualisiert. In ähnlicher Weise werden bei der Aktualisierung von Einzeleigenschaften automatisch die zugehörigen Array-basierten Eigenschaften aktualisiert. Beispiele finden Sie hier:

• Beispiele für die Aktualisierung von IKE-Richtlinien
• Beispiele für die Aktualisierung von IPsec-Richtlinien

Nur-Lese-Indikatoren

Wenn mehrere Algorithmen konfiguriert sind, geben die einzelnen Eigenschaften (authentication_algorithm, encryption_algorithm) in den API-Antworten schreibgeschützte Indikatorwerte zurück. Zum Beispiel:

• authentication_algorithm gibt Folgendes zurück: "multiple"
• encryption_algorithm gibt Folgendes zurück: "multiple"
• dh_group gibt Folgendes zurück: 65535

Diese Werte werden nur in Antworten zurückgegeben und können nicht in einer Anfrage an PATCH übermittelt werden.

{
   "authentication_algorithms": ["sha256", "sha384", "sha512"],
   "authentication_algorithm": "multiple",
   "dh_groups": [14, 15, 16],
   "dh_group": 65535,
   "encryption_algorithms": ["aes128", "aes256"],
   "encryption_algorithm": "multiple"
}

Wenn in einer arraybasierten Eigenschaft nur ein Algorithmus konfiguriert ist, gibt die singuläre Eigenschaft den konfigurierten Wert zurück, anstatt „ "multiple" “.

{
   "authentication_algorithms": ["sha256"],
   "authentication_algorithm": "sha256",
   "dh_groups": [14],
   "dh_group": 14,
   "encryption_algorithms": ["aes128"],
   "encryption_algorithm": "aes128"
}

Beschränkung der Eigentumsmischung

Mischen Sie nicht singuläre und array-basierte Eigenschaften für dieselbe Algorithmuskategorie in einer einzigen Anfrage. Wählen Sie einen Ansatz pro Anfrage.

• Richtiges Beispiel: Dieses Beispiel enthält die Algorithmeneigenschaften für IKE, wobei nur array-basierte Eigenschaften für alle Kategorien verwendet werden:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

• Falsches Beispiel: Dieses Beispiel enthält die Algorithmeneigenschaften für IKE, wobei sowohl singuläre als auch array-basierte Eigenschaften für dieselbe Kategorie gemischt werden:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithm": "sha512",
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

GCM Anforderungen und Einschränkungen des Algorithmus

Wenn die Eigenschaft encryption_algorithms GCM-basierte Algorithmen (aes128gcm16, aes192gcm16 oder aes256gcm16) enthält, muss die Eigenschaft authentication_algorithms auf ["disabled"] gesetzt werden.

• Richtiges Beispiel: Zeigt die Eigenschaften von IPsec-Algorithmen an, wenn das Array „ encryption_algorithms “ auf „ GCM “ basierende Algorithmen enthält:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Falsches Beispiel: Zeigt Algorithmus-Eigenschaften für IPsec an, wobei das Array „ encryption_algorithms “ auch auf „ GCM “ basierende Algorithmen enthält:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

GCM Algorithmen bieten Verschlüsselung und integrierte Authentifizierung als Teil eines einzigen Vorgangs. Konfigurieren Sie keine separaten Authentifizierungsalgorithmen wie sha256 oder sha512 mit GCM Verschlüsselungsalgorithmen.

Verwenden Sie in derselben Richtlinie keine „ GCM “- und „non- GCM “-Verschlüsselungsalgorithmen gleichzeitig. Wenn man sie miteinander kombiniert, kann dies zu Konfigurationskonflikten und Fehlern bei der Aushandlung führen.

: Wenn „ authentication_algorithms “ auf „ ["disabled"] “ gesetzt ist, müssen Sie bei einem Wechsel von „ GCM “- zu anderen Verschlüsselungsalgorithmen als „ GCM “ auch „ authentication_algorithms “ aktualisieren.

• Richtiges Beispiel: Aktualisiert sowohl die Eigenschaften encryption_algorithms als auch authentication_algorithms:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha512", "sha256"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Falsches Beispiel: Zeigt einen Fall, in dem nur die Eigenschaft encryption_algorithms mit nicht GCM Algorithmen aktualisiert wird (aes128, aes192, aes256):

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

Algorithmus-Validierungsregeln

Stellen Sie sicher, dass alle Algorithmuswerte in Ihrer Anfrage gültig, eindeutig und nicht leer sind. Verwenden Sie nur unterstützte Algorithmusnamen, vermeiden Sie Duplikate und geben Sie in jedem Array mindestens einen Wert an. Ungültige, doppelte oder leere Einträge können zu einem Validierungsfehler führen.

• Korrektes Beispiel: Aktualisiert die Algorithmuswerte, wobei die unterstützten Algorithmen und Werte für alle Kategorien verwendet werden:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes192", "aes128"]
}

• Falsches Beispiel: Aktualisiert die Algorithmuswerte, wobei doppelte Werte in derselben Algorithmuskategorie verwendet werden:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes256", "aes128"]
}