了解 API 中的更新行为

应用程序接口会自动同步单数和基于数组的算法属性。 在更新政策之前，请检查以下行为和限制。

IKE 版本兼容性

基于数组的算法属性仅支持 IKEv2。 如果您使用 IKEv1，则必须使用单数属性为每个类别配置一个算法。

• 对基于数组的属性使用 IKEv2：

{
   "ike_version": 2,
   "authentication_algorithms": ["sha512", "sha256"],
   "encryption_algorithms": ["aes256", "aes128"]
}

• 在属性为单数时，请使用 IKEv1：

{
   "ike_version": 1,
   "authentication_algorithm": "sha256",
   "encryption_algorithm": "aes128"
}

IKEv1 每个类别只支持一种算法。 使用 IKEv1 的 VPN 连接不支持基于数组的 IKE 或 IPsec 算法属性。 尽可能使用 IKEv2。

自动同步

更新基于数组的属性 (authentication_algorithms, encryption_algorithms, dh_groups, pfs_groups) 时，相应的单数属性 (authentication_algorithm, encryption_algorithm, dh_group, pfs) 也会自动更新。 同样，更新奇异属性会自动更新相关的基于数组的属性。 有关例子，请参见

• IKE 策略更新示例
• IPsec 策略更新示例

只读指示器

当配置了多个算法时，相关属性（authentication_algorithm、encryption_algorithm ）会在 API 响应中返回只读指示值。 例如：

• authentication_algorithm 返回项 "multiple"
• encryption_algorithm 返回项 "multiple"
• dh_group 返回项 65535

这些值只在响应中返回，不能在 PATCH 请求中提交。

{
   "authentication_algorithms": ["sha256", "sha384", "sha512"],
   "authentication_algorithm": "multiple",
   "dh_groups": [14, 15, 16],
   "dh_group": 65535,
   "encryption_algorithms": ["aes128", "aes256"],
   "encryption_algorithm": "multiple"
}

如果在基于数组的属性中仅配置了一个算法，则该单数属性将返回配置的值，而不是 "multiple"。

{
   "authentication_algorithms": ["sha256"],
   "authentication_algorithm": "sha256",
   "dh_groups": [14],
   "dh_group": 14,
   "encryption_algorithms": ["aes128"],
   "encryption_algorithm": "aes128"
}

财产混合限制

请勿在单个请求中混合使用同一算法类别的单一属性和基于数组的属性。 每个请求选择一种方法。

• 正确示例此示例包括 IKE 的算法属性，所有类别都只使用基于数组的属性：

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

• 错误示例：该示例包括 IKE 的算法属性，其中同一类别中混合使用了基于单数和数组的属性：

curl -X PATCH "$vpc_api_endpoint/v1/ike_policies/$ike_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithm": "sha512",
     "authentication_algorithms": ["sha256", "sha384", "sha512"],
     "dh_groups": [14, 15, 16],
     "encryption_algorithms": ["aes128", "aes256"]
   }'

GCM 算法要求和限制

如果 encryption_algorithms 属性包含基于 GCM 的算法（aes128gcm16、aes192gcm16 或 aes256gcm16 ），则 authentication_algorithms 属性必须设置为 ["disabled"]。

• 正确示例：当 encryption_algorithms 数组包含基于 GCM 的算法时，显示IPsec算法的属性：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• 错误示例：显示了IPsec的算法属性，其中 encryption_algorithms 数组包含基于 GCM 的算法：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha256"],
     "encryption_algorithms": ["aes256gcm16", "aes192gcm16"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

GCM 算法提供加密和内置身份验证功能，作为单一操作的一部分。 不要配置单独的身份验证算法，如 sha256 或 sha512 与 GCM 加密算法。

请勿在同一策略中混合使用 GCM 和非 GCM 加密算法。 将它们混合使用可能会导致配置冲突和协商失败。

: 当 authentication_algorithms 设置为 ["disabled"] 时，若将加密算法从 GCM 更改为非 GCM 加密算法，还必须更新 authentication_algorithms。

• 正确示例：同时更新 encryption_algorithms 和 authentication_algorithms 属性：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["sha512", "sha256"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

• 错误示例：示例中，只有 encryption_algorithms 属性使用非 GCM 算法更新 (aes128, aes192, aes256)：

curl -X PATCH "$vpc_api_endpoint/v1/ipsec_policies/$ipsec_policy_id?version=$api_version&generation=2" \
   -H "Authorization: $iam_token" \
   -d '{
     "authentication_algorithms": ["disabled"],
     "encryption_algorithms": ["aes256", "aes128"],
     "pfs_groups": ["group_14", "group_15", "group_16"]
   }'

算法验证规则

确保请求中的所有算法值都有效、唯一且非空。 只使用支持的算法名称，避免重复，并在每个数组中至少提供一个值。 无效、重复或空条目会导致验证错误。

• 正确示例更新算法值，所有类别都使用支持的算法和值：

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes192", "aes128"]
}

• 错误示例：更新算法值，在同一算法类别中使用重复值：

{
   "authentication_algorithms": ["sha512", "sha256"],
   "dh_groups": [14, 15],
   "encryption_algorithms": ["aes256", "aes256", "aes128"]
}