Cloud VPN supporta le crittografie e i parametri di configurazione seguenti per i dispositivi VPN peer o i servizi VPN. Cloud VPN negozia automaticamente la connessione, a condizione che il lato peer utilizzi un'impostazione di crittografia IKE (Internet Key Exchange) supportata.
Per le istruzioni di configurazione, consulta Configurare il gateway VPN peer.
Cloud VPN opera in modalità tunnel ESP IPsec.
I seguenti tipi di crittografia IKE sono supportati per la VPN classica e la VPN ad alta disponibilità.
Il supporto degli indirizzi IPv6 per le interfacce dei gateway VPN ad alta disponibilità è in anteprima.
Ordine delle proposte
Cloud VPN può agire come iniziatore o come rispondente alle richieste IKE, a seconda dell'origine del traffico, quando è necessaria una nuova associazione di sicurezza (SA).
Quando Cloud VPN avvia una connessione VPN, propone gli algoritmi nell'ordine mostrato nelle tabelle di crittografia supportate per ogni ruolo di crittografia. Il peer che riceve la proposta seleziona un algoritmo.
Se il lato peer avvia la connessione, Cloud VPN seleziona una cifrare la proposta utilizzando lo stesso ordine mostrato nella tabella per ogni di crittografia.
A seconda di quale lato è l'iniziatore o il rispondente, la crittografia selezionata può essere diversa. Ad esempio, la crittografia selezionata potrebbe persino al momento della creazione di nuove associazioni di sicurezza (SA) durante la rotazione della chiave. Poiché un cambiamento nella selezione della crittografia può influire su caratteristiche importanti del tunnel, come o MTU, assicurati che la selezione della crittografia sia stabile. Per ulteriori informazioni sull'MTU, consulta la sezione Considerazioni su MTU.
Per evitare modifiche frequenti nella selezione dei cifrari, configura il gateway VPN peer in modo che proponga e accetti un solo cifrario per ogni ruolo. Questa crittografia deve essere supportato sia da Cloud VPN sia dal gateway VPN peer. Non fornire un elenco di crittografi per ogni ruolo. Questa best practice garantisce che entrambi i lati del tunnel Cloud VPN selezionano sempre la stessa crittografia IKE durante la negoziazione IKE.
Per le coppie di tunnel VPN ad alta disponibilità, configura entrambe tunnel VPN ad alta disponibilità sul gateway VPN peer per utilizzare crittografia e lifetime value IKE Fase 2.
Frammentazione IKE
Cloud VPN supporta la frammentazione IKE come descritto dal protocollo di frammentazione IKEv2 (RFC 7383).
Per risultati ottimali, Google consiglia di attivare la frammentazione IKE, se non è già attivata, sul dispositivo VPN peer.
Se non hai IKE frammentazione abilitata, pacchetti IKE da Google Cloud al dispositivo VPN peer superiori alla MTU del gateway vengono eliminate.
Alcuni messaggi IKE non possono essere frammentati, tra cui i seguenti messaggi:
IKE_SA_INITIKE_SESSION_RESUME
Per ulteriori informazioni, consulta la sezione Limitazioni. in RFC 7383.
Tabelle di crittografia supportate
Le sezioni seguenti elencano le crittografie supportate per la VPN ad alta disponibilità.
Crittografia IKEv2 che utilizza AEAD
I seguenti algoritmi di crittografia utilizzano la crittografia autenticata con dati associati (AEAD).
Fase 1
| Ruolo Cipher | Cipher | Note |
|---|---|---|
| Crittografia e integrità |
|
In questo elenco, il primo numero indica la dimensione del parametro ICV in byte (ottetti) e il secondo è la lunghezza della chiave in bit. In alcuni casi, il parametro ICV (il primo numero) potrebbe essere espresso in bit (8 diventa 64, 12 diventa 96 e 16 diventa 128). |
| Funzione pseudo-casuale (PRF) |
|
Molti dispositivi non richiedono un'impostazione PRF esplicita. |
| Diffie-Hellman (DH) |
|
* La crittografia modp_8192 non è supportata per i gateway VPN ad alta disponibilità con interfacce IPv6 (gatewayIpVersion=IPv6). |
| Durata della fase 1 | 36.000 secondi (10 ore) |
Fase 2
| Ruolo Cipher | Cipher | Note |
|---|---|---|
| Crittografia e integrità |
|
Il primo numero in ogni algoritmo è la dimensione del parametro ICV in byte (oktet) e il secondo è la lunghezza della chiave in bit. In alcuni casi, il parametro ICV (il primo numero) potrebbe essere espresso in bit (8 diventa 64, 12 diventa 96, 16 diventa 128). |
| Algoritmo PFS (obbligatorio) |
|
* La crittografia modp_8192 non è supportata per i gateway VPN ad alta disponibilità con interfacce IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Fai riferimento alla Fase 1. | Se il gateway VPN richiede impostazioni DH per la Fase 2, utilizza le stesse impostazioni utilizzate per la Fase 1. |
| Durata della fase 2 | 10.800 secondi (3 ore) |
Crittografie IKEv2 che non utilizzano AEAD
Fase 1
| Ruolo Cipher | Cipher | Note |
|---|---|---|
| Crittografia |
|
|
| Integrità |
|
La documentazione del gateway VPN on-premise potrebbe utilizzare un nome leggermente diverso per l'algoritmo. Ad esempio,
|
| Funzione pseudo-casuale (PRF) |
|
Molti dispositivi non richiedono un'impostazione PRF esplicita. |
| Diffie-Hellman (DH) |
|
* La crittografia modp_8192 non è supportata per i gateway VPN ad alta disponibilità con interfacce IPv6 (gatewayIpVersion=IPv6). |
| Durata della fase 1 | 36.000 secondi (10 ore) |
Fase 2
| Ruolo Cipher | Cipher | Note |
|---|---|---|
| Crittografia |
|
|
| Integrità |
|
La documentazione del gateway VPN on-premise potrebbe utilizzare un nome leggermente diverso per l'algoritmo. Ad esempio:
|
| Algoritmo PFS (obbligatorio) |
|
* La crittografia modp_8192 non è supportata per i gateway VPN ad alta disponibilità con interfacce IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Fai riferimento alla fase 1. | Se il gateway VPN richiede impostazioni DH per la Fase 2, utilizza le stesse impostazioni utilizzate per la Fase 1. |
| Durata fase 2 | 10.800 secondi (3 ore) |
Crittografia IKEv1
Fase 1
| Ruolo Cipher | Cipher |
|---|---|
| Crittografia | AES-CBC-128 |
| Integrità | HMAC-SHA1-96 |
| Funzione pseudo-casuale (PRF)* | PRF-SHA1-96 |
| Diffie-Hellman (DH) | modp_1024 (gruppo 2) |
| Fase 1: ciclo di vita | 36.600 secondi (10 ore e 10 minuti) |
*Per ulteriori informazioni su PRF in IKEv1, consulta la RFC 2409.
Fase 2
| Ruolo Cipher | Cipher |
|---|---|
| Crittografia | AES-CBC-128 |
| Integrità | HMAC-SHA1-96 |
| Algoritmo PFS (obbligatorio) | modp_1024 (Gruppo 2) |
| Diffie-Hellman (DH) | Se devi specificare DH per il gateway VPN, utilizza la stessa impostazione utilizzata per la Fase 1. |
| Durata fase 2 | 10.800 secondi (3 ore) |
Passaggi successivi
- Per informazioni sui concetti di base di Cloud VPN, consulta la panoramica di Cloud VPN.
- Per aiutarti a risolvere i problemi comuni che potresti riscontrare durante l'utilizzo di Cloud VPN, consulta la sezione Risoluzione dei problemi.