Cloud VPN admite los siguientes algoritmos de cifrado y parámetros de configuración para dispositivos VPN de intercambio de tráfico o servicios de VPN. Cloud VPN negocia de forma automática la conexión siempre que el lado del intercambio de tráfico use una configuración de algoritmo de cifrado de intercambio de claves por Internet (IKE) compatible.
Para obtener instrucciones de configuración, consulta Configura la puerta de enlace de VPN de intercambio de tráfico.
Cloud VPN opera en modo de túnel ESP de IPsec.
Los siguientes algoritmos de cifrado IKE son compatibles con la VPN clásica y la VPN con alta disponibilidad.
La compatibilidad con direcciones IPv6 para las interfaces de puerta de enlace de VPN con alta disponibilidad se encuentra en vista previa.
Orden de la propuesta
Cloud VPN puede actuar como iniciador o como respuesta a las solicitudes de IKE, según el origen del tráfico cuando se necesita una nueva asociación de seguridad (SA).
Cuando Cloud VPN inicia una conexión de VPN, Cloud VPN propone los algoritmos en el orden que se muestra en las tablas de algoritmo de cifrado compatibles para cada rol de cifrado. El lado del intercambio de tráfico que recibe la propuesta selecciona un algoritmo.
Si el lado del intercambio de tráfico inicia la conexión, Cloud VPN selecciona un algoritmo de cifrado de la propuesta mediante el mismo orden que se muestra en la tabla para cada rol de cifrado.
Según el lado con el que inicie o que haya iniciado la respuesta, el algoritmo de cifrado seleccionado puede ser diferente. Por ejemplo, el algoritmo de cifrado seleccionado puede cambiar con el tiempo a medida que se crean asociaciones de seguridad (SA) nuevas durante la rotación de claves. Debido a que un cambio en la selección de cifrado puede afectar las características importantes del túnel, como el rendimiento o la MTU, asegúrate de que la selección del algoritmo de cifrado sea estable. Para obtener más información sobre la MTU, consulta Consideraciones de la MTU.
Evita cambios frecuentes en la selección de cifrado mediante la configuración de la puerta de enlace de VPN de intercambio de tráfico para proponer y aceptar solo un cifrado en cada rol de cifrado. Este algoritmo de cifrado debe ser compatible con Cloud VPN y tu puerta de enlace de VPN de intercambio de tráfico. No proporciones una lista de algoritmos de cifrado para cada rol de cifrado. Esta práctica recomendada garantiza que ambos lados de tu túnel de Cloud VPN siempre seleccionen el mismo cifrado de IKE durante la negociación de IKE.
Para pares de túneles VPN con alta disponibilidad, configura ambos túneles VPN con alta disponibilidad en tu puerta de enlace de VPN de intercambio de tráfico para usar el mismo algoritmo de cifrado y los mismos valores de vida útil de la fase 2.
Fragmentación IKE
Cloud VPN es compatible con la fragmentación de IKE, como se describe en el protocolo de fragmentación IKEv2 (RFC 7383).
Para obtener mejores resultados, Google recomienda que habilites la fragmentación de IKE, si aún no está habilitada, en tu dispositivo VPN de intercambio de tráfico.
Si no tienes habilitada la fragmentación de IKE, los paquetes de IKE de Google Cloud al dispositivo VPN de intercambio de tráfico que sean más grandes que la MTU de la puerta de enlace se descartarán.
Algunos mensajes de IKE no se pueden fragmentar, incluidos los siguientes mensajes:
IKE_SA_INITIKE_SESSION_RESUME
Para obtener más información, consulta la sección Limitaciones en RFC 7383.
Tablas de algoritmo de cifrado compatibles
En las siguientes secciones, se enumeran los algoritmos de cifrado admitidos para la VPN con alta disponibilidad.
Algoritmos de cifrado IKEv2 que usan AEAD
Los siguientes cifrados usan encriptación autenticada con datos asociados (AEAD).
Fase 1
| Función del algoritmo de cifrado | Algoritmo de cifrado | Notas |
|---|---|---|
| Integridad y encriptación |
|
En esta lista el primer número es el tamaño del parámetro ICV en bytes (octetos), y el segundo es la longitud de la clave en bits. Algunos documentos pueden expresar el parámetro ICV (el primer número) en bits (8 se convierte en 64, 12 en 96, y 16 en 128). |
| Función seudoaleatoria (PRF) |
|
Muchos dispositivos no requieren una configuración PRF explícita. |
| Diffie-Hellman (DH) |
|
* El algoritmo de cifrado modp_8192 no es compatible con las puertas de enlace de VPN con alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Vida útil de la fase 1 | 36,000 segundos (10 horas) |
Fase 2
| Función del algoritmo de cifrado | Algoritmo de cifrado | Notas |
|---|---|---|
| Integridad y encriptación |
|
Ten en cuenta que el primer número de cada algoritmo es el tamaño del parámetro ICV en bytes (octetos) y el segundo es la longitud de la clave en bits. En algunos documentos podría expresarse el parámetro ICV (el primer número) en bits (8 se convierte en 64, 12 en 96, y 16 en 128). |
| Algoritmo PFS (requerido) |
|
* El algoritmo de cifrado modp_8192 no es compatible con las puertas de enlace de VPN con alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Consulta la fase 1. | Si la puerta de enlace de VPN requiere una configuración de DH para la fase 2, usa la misma configuración que en la fase 1. |
| Vida útil de la fase 2 | 10,800 segundos (3 horas) |
Algoritmos de cifrado IKEv2 que no usan AEAD
Fase 1
| Función del algoritmo de cifrado | Algoritmo de cifrado | Notas |
|---|---|---|
| Encriptación |
|
|
| Integridad |
|
Es posible que en la documentación de la puerta de enlace de VPN local se use un nombre un poco diferente para el algoritmo. Por ejemplo, |
| Función seudoaleatoria (PRF) |
|
Muchos dispositivos no requieren una configuración PRF explícita. |
| Diffie-Hellman (DH) |
|
* El algoritmo de cifrado modp_8192 no es compatible con las puertas de enlace de VPN con alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Vida útil de la fase 1 | 36,000 segundos (10 horas) |
Fase 2
| Función del algoritmo de cifrado | Algoritmo de cifrado | Notas |
|---|---|---|
| Encriptación |
|
|
| Integridad |
|
Es posible que en la documentación de la puerta de enlace de VPN local se use un nombre un poco diferente para el algoritmo. Por ejemplo, |
| Algoritmo PFS (requerido) |
|
* El algoritmo de cifrado modp_8192 no es compatible con las puertas de enlace de VPN con alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Consulta la fase 1. | Si la puerta de enlace de VPN requiere una configuración de DH para la fase 2, usa la misma configuración que en la fase 1. |
| Vida útil de la fase 2 | 10,800 segundos (3 horas) |
Algoritmos de cifrado IKEv1
Fase 1
| Función del algoritmo de cifrado | Algoritmo de cifrado |
|---|---|
| Encriptación | AES-CBC-128 |
| Integridad | HMAC-SHA1-96 |
| Función seudoaleatoria (PRF)* | PRF-SHA1-96 |
| Diffie-Hellman (DH) | modp_1024 (Grupo 2) |
| Vida útil de la fase 1 | 36,600 segundos (10 horas, 10 minutos) |
* Para obtener más información sobre PRF en IKEv1, consulta RFC 2409.
Fase 2
| Función del algoritmo de cifrado | Algoritmo de cifrado |
|---|---|
| Encriptación | AES-CBC-128 |
| Integridad | HMAC-SHA1-96 |
| Algoritmo PFS (obligatorio) | modp_1024 (Grupo 2) |
| Diffie-Hellman (DH) | Si necesitas especificar DH para la puerta de enlace de VPN, usa la misma configuración que en la fase 1. |
| Vida útil de la fase 2 | 10,800 segundos (3 horas) |
¿Qué sigue?
- Si quieres más información sobre los conceptos básicos de Cloud VPN, consulta Descripción general de Cloud VPN.
- Para ayudarte a resolver problemas comunes que podrías encontrar cuando uses Cloud Interconnect, consulta Solución de problemas.