Compreensão do comportamento de atualização na API

A API sincroniza automaticamente as propriedades de algoritmos singulares e baseados em matriz. Analise o comportamento e as restrições a seguir antes de atualizar suas políticas.

Compatibilidade de versão IKE

As propriedades de algoritmos baseados em matrizes são compatíveis apenas com IKEv2. Se você usar o IKEv1, deverá configurar um único algoritmo para cada categoria utilizando propriedades singulares.

• Use IKEv2 com propriedades baseadas em matriz:

{
   "ike_version": 2,
   "authentication_algorithms": ["sha512", "sha256"],
   "encryption_algorithms": ["aes256", "aes128"]
}

• Use “ IKEv1 ” com propriedades no singular:

{
   "ike_version": 1,
   "authentication_algorithm": "sha256",
   "encryption_algorithm": "aes128"
}

IKEv1 suporta apenas um algoritmo por categoria. As conexões VPN que usam IKEv1 não são compatíveis com propriedades de algoritmo IPsec ou IKE baseadas em matriz. Use o site IKEv2 sempre que possível.

Sincronização automática

Quando você atualiza as propriedades baseadas em matriz (authentication_algorithms, encryption_algorithms, dh_groups, pfs_groups), as propriedades singulares correspondentes (authentication_algorithm, encryption_algorithm, dh_group, pfs) são atualizadas automaticamente. Da mesma forma, a atualização de propriedades singulares atualiza automaticamente as propriedades relacionadas baseadas em matriz. Para obter exemplos, consulte:

• Exemplos de atualização de política IKE
• Exemplos de atualização de política IPsec

Indicadores somente leitura

Quando vários algoritmos estão configurados, as propriedades singulares (authentication_algorithm, encryption_algorithm) retornam valores de indicadores somente para leitura nas respostas da API. Por exemplo:

• authentication_algorithm retorna "multiple"
• encryption_algorithm retorna "multiple"
• dh_group retorna 65535

Esses valores são retornados somente nas respostas e não podem ser enviados em uma solicitação PATCH.

{
   "authentication_algorithms": ["sha256", "sha384", "sha512"],
   "authentication_algorithm": "multiple",
   "dh_groups": [14, 15, 16],
   "dh_group": 65535,
   "encryption_algorithms": ["aes128", "aes256"],
   "encryption_algorithm": "multiple"
}

Se apenas um algoritmo estiver configurado em uma propriedade baseada em matriz, a propriedade singular retorna o valor configurado, em vez de "multiple"``.

{
   "authentication_algorithms": ["sha256"],
   "authentication_algorithm": "sha256",
   "dh_groups": [14],
   "dh_group": 14,
   "encryption_algorithms": ["aes128"],
   "encryption_algorithm": "aes128"
}

Restrição de mistura de propriedades

Não misture propriedades singulares e baseadas em matriz para a mesma categoria de algoritmo em uma única solicitação. Escolha uma abordagem por solicitação.

• Exemplo correto: Esse exemplo inclui as propriedades do algoritmo para IKE, em que somente as propriedades baseadas em matriz são usadas para todas as categorias:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

• Exemplo incorreto: Este exemplo inclui as propriedades do algoritmo para IKE, em que as propriedades singulares e baseadas em matriz são misturadas para a mesma categoria:

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithm": "sha512",
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

GCM Requisitos e restrições do algoritmo

Se a propriedade encryption_algorithms contiver algoritmos baseados em GCM (aes128gcm16, aes192gcm16, ou aes256gcm16), a propriedade authentication_algorithms deverá ser definida como ["disabled"].

• Exemplo correto: Exibe as propriedades do algoritmo IPsec quando a matriz “ encryption_algorithms ” inclui algoritmos baseados em “ GCM ”:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Exemplo incorreto: Mostra as propriedades do algoritmo para o IPsec, em que a matriz “ encryption_algorithms ” inclui algoritmos baseados em “ GCM ”:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

GCM fornecem criptografia e autenticação incorporada como parte de uma única operação. Não configure algoritmos de autenticação separados, como sha256 ou sha512 com algoritmos de criptografia GCM.

Não misture algoritmos de criptograf GCM es e não GCM es na mesma política. Misturá-los pode causar conflitos de configuração e falhas na negociação.

: Quando a variável authentication_algorithms estiver definida como ["disabled"]``, você também deverá atualizar a variável authentication_algorithms ao mudar de algoritmos de criptografia GCM para algoritmos que não sejam GCM.

• Exemplo correto: Atualiza as propriedades encryption_algorithms e authentication_algorithms:

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha512", "sha256"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• Exemplo incorreto: Mostra um caso em que apenas a propriedade encryption_algorithms é atualizada com algoritmos que não são GCM (aes128, aes192, aes256):

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

Regras de validação do algoritmo

Certifique-se de que todos os valores de algoritmo em sua solicitação sejam válidos, exclusivos e não vazios. Use apenas nomes de algoritmos compatíveis, evite duplicatas e forneça pelo menos um valor em cada matriz. Entradas inválidas, duplicadas ou vazias podem resultar em um erro de validação.

• Exemplo correto: Atualiza os valores do algoritmo, onde os algoritmos e valores suportados são usados para todas as categorias:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes192", "aes128"]
}

• Exemplo incorreto: Atualiza os valores do algoritmo, onde valores duplicados são usados na mesma categoria de algoritmo:

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes256", "aes128"]
}