Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

IPsec 概述

了解 Junos VPN Site Secure

Junos VPN Site Secure 是多服务线卡(MS-DPC、MS-MPC 和 MS-MIC)上支持的 IPsec 功能套件,在 Junos 版本中称为 IPsec 服务,早于 13.2。在 Junos OS 版本 13.2 和更高版本中,“IPsec 功能”一词仅用于指代自适应服务和加密服务 PIC 上的 IPsec 实施。本主题为您概述 Junos VPN Site Secure,并提供以下部分:

Ipsec

IPsec 架构为 IP 版本 4 (IPv4) 和 IP 版本 6 (IPv6) 网络层提供安全套件。该套件提供源身份验证、数据完整性、机密性、重放保护和源不可否认性等功能。除了 IPsec,Junos OS 还支持互联网密钥交换 (IKE),此交换定义密钥生成和交换机制,并管理安全关联 (SA)。

IPsec 还定义了可与任何网络层协议配合使用的安全关联和密钥管理框架。SA 指定了适用于两个 IP 层实体之间的流量的保护策略。IPsec 在两个对等方之间提供安全隧道。

安全关联

要使用 IPsec 安全服务,请在主机之间创建 SA。SA 是一种简单的连接,允许两个主机通过 IPsec 安全地相互通信。有两种类型的 SA:

  • 手动 SA 无需协商;所有值(包括密钥)均为静态值,并在配置中指定。手动 SA 静态定义安全参数索引 (SPI) 值、算法和要使用的密钥,并且需要隧道两端的匹配配置。每个对等方都必须有相同的配置通信选项。

  • 动态 SA 需要额外配置。借助动态 SA,您先配置 IKE,然后配置 SA。IKE 创建动态安全关联;协商 IPsec 的 SAIKE 配置定义用于与对等方安全网关建立安全 IKE 连接的算法和密钥。然后,此连接用于动态同意动态 IPsec SA 使用的密钥和其他数据。IKE SA 先协商,然后用于保护确定动态 IPsec SA 的谈判。

艾克

IKE 是创建动态 SA 的关键管理协议;协商 IPsec 的 SAIKE 配置定义用于与对等安全网关建立安全连接的算法和密钥。

IKE 执行以下任务:

  • 协商和管理 IKE 和 IPsec 参数。

  • 认证安全密钥交换。

  • 通过共享密钥(非密码)和公共密钥提供对等方互身份验证。

  • 提供身份保护(主模式)。

现在支持两个版本的 IKE 协议(IKEv1 和 IKEv2)。IKE 协商安全属性并建立共享密钥以形成双向 IKE SA。在 IKE 中,已建立入站和出站 IPsec SA,IKE SA 可保护交换。从 Junos OS 11.4 版开始,所有 M 系列、MX 系列和 T 系列路由器都默认支持 IKEv1 和 IKEv2。IKE 还会生成密钥材料、提供完全向前保密和交换身份。

从 Junos OS 18.2R1 版开始,您可以将带有 MS-MPC 或 MS-MIC 的 MX 系列路由器配置为仅用作 IKE 响应器。在这种仅响应方模式下,MX 系列路由器不会启动 IKE 协商,只会响应由对等网关发起的 IKE 协商。与其他供应商的设备(例如 Cisco 设备)互操作时,可能需要这样做。由于 MX 系列不支持信息流选择器中的协议和端口值,因此无法将 IPsec 隧道启动至另一家供应商的对等网关,以期望这些值。通过在 MX 系列上配置仅响应模式,MX 可在从对等网关发起的 IKE 协商中接受流量选择器。

从 Junos OS 版本 18.2R1 开始,您可以使用 MS-MPC 或 MS-MIC 配置 MX 系列路由器,仅发送基于证书的 IKE 认证的最终实体证书,而不是完整的证书链。这样可以避免 IKE 分段。

从 Junos OS 19.1R1 版开始,在 IKE 协商期间用于验证 VPN 对等设备的 IKE 识别 (IKE ID) 中添加了尊贵的名称支持。MX 系列路由器从远程对等方接收的 IKE ID 可以是 IPv4 或 IPv6 地址、主机名、完全限定域名 (FQDN) 或尊贵名称 (DN)。远程对等方发送的 IKE ID 需要与 MX 系列路由器的预期匹配。否则,IKE ID 验证失败且未建立 VPN。

不支持 NAT-T

在 Junos OS 版本 17.4R1 之前,不支持 MX 系列路由器上的 Junos VPN 站点安全套件的网络地址转换遍历 (NAT-T),并且您必须禁用 MX 系列路由器上的 NAT-T,以避免运行不受支持的 NAT-T(请参阅 使用 IPsec 保护的数据包处理 NAT 的 MX 系列路由器上的 NAT-T 禁用)).NAT-T 是一种绕过 IPsec 保护的数据通过 NAT 设备进行地址转换时遇到的 IP 地址转换问题的方法。

比较 ES PIC 上的 IPsec 和多服务 LIne 卡上的 Junos VPN Site Secure

表 1 比较了 ES PIC 接口上的 IPsec 功能的顶级配置,以及自适应服务 PIC 上的 IPsec 和多服务线卡上的 Junos VPN Site Secure。

表 1:ES 和 AS 接口的语句对等项

ES PIC 配置

AS 和多服务线卡配置

[edit security ipsec]
proposal {...}
[edit services ipsec-vpn ipsec]
proposal {...}
[edit security ipsec]
policy {...}
[edit services ipsec-vpn ipsec]
policy {...}
[edit security ipsec]
security-association sa-dynamic {...}
[edit services ipsec-vpn rule rule-name]
term term-name match-conditions {...}
then dynamic {...}]
[edit security ipsec]
security-association sa-manual {...}
[edit services ipsec-vpn rule rule-name]
term term-name match-conditions {...}
then manual {...}]
[edit security ike]
proposal {...}
[edit services ipsec-vpn ike]
proposal {...}
[edit security ike]
policy {...}
[edit services ipsec-vpn ike]
policy {...}

不可用

[edit services ipsec-vpn]
rule-set {...}

不可用

[edit services ipsec-vpn]
service-set {...}
[edit interfaces es-fpc/pic/port]
tunnel source address
[edit services ipsec-vpn service-set set-name ipsec-vpn local-gateway address]
[edit interfaces es-fpc/pic/port]
tunnel destination address
[edit services ipsec-vpn rule rule-name]
remote-gateway address
注意:

尽管许多相同的语句和属性在两个平台(多服务和 ES)上均有效,但配置不可互换。您必须为安装在路由器中的 PIC 类型提交完整配置。

身份验证算法

认证是验证发送方身份的过程。认证算法使用共享密钥验证 IPsec 设备的真实性。Junos OS 使用以下身份验证算法:

  • 消息摘要 5 (MD5) 使用单向散列功能将任意长度的消息转换为 128 位的固定长度消息摘要。由于转换过程,通过从生成的消息摘要向后计算原始消息在数学上是不可行的。同样,对消息中单个字符的更改也会导致其生成截然不同的消息摘要编号。

    要验证消息未被篡改,Junos OS 会将计算到的消息摘要与使用共享密钥解密的消息摘要进行比较。Junos OS 使用 MD5 散列消息认证代码 (HMAC) 变体,可提供额外级别的散列。MD5 可用于认证标头 (AH)、封装安全有效负载 (ESP) 和互联网密钥交换 (IKE)。

  • 安全散列算法 1 (SHA-1) 使用比 MD5 更强大的算法。SHA-1 的长度小于 264 位,并生成 160 位消息摘要。大消息摘要可确保数据未更改且源自正确的源。Junos OS 使用 SHA-1 HMAC 变体,可提供额外级别的散列。SHA-1 可用于 AH、ESP 和 IKE。

  • SHA-256、SHA-384 和 SHA-512(有时分组为 SHA-2 名称)是 SHA-1 的变体,使用更长的消息摘要。Junos OS 支持 SHA-256 版本,可处理所有版本的高级加密标准 (AES)、数据加密标准 (DES) 和三重 DES (3DES) 加密。

加密算法

加密会将数据编码为安全格式,以便不会被未经授权的用户解密。与认证算法一样,共享密钥与加密算法一起用于验证 IPsec 设备的真实性。Junos OS 使用以下加密算法:

  • 数据加密 标准密码块链 (DES-CBC) 是一种对称密钥块算法。DES 使用 64 位密钥大小,其中 8 位用于错误检测,其余 56 位提供加密。DES 在共享密钥上执行一系列简单的逻辑操作,包括排列和替代。CBC 从 DES 获取 64 位输出的第一个块,将此块与第二个块组合在一起,将此块反馈到 DES 算法中,然后为所有后续块重复此进程。

  • 三重 DES-CBC (3DES-CBC) 是一种类似于 DES-CBC 的加密算法,但由于它使用三个密钥进行 168 位(3 x 56 位)加密,因此提供了更强大的加密结果。3DES 的工作原理是使用第一个密钥对块进行加密,第二个密钥对块进行解密,第三个键对块进行重新加密。

  • 高级加密标准 (AES) 是基于比利时密码学家 Joan Daemen 博士和 Vincent Rijmen 博士开发的 Rijndael 算法的下一代加密方法。它使用 128 位块和三个不同的密钥大小(128、192 和 256 位)。根据密钥大小,该算法执行一系列计算(10、12 或 14 轮),其中包括字节替代、列混合、行移和密钥添加。在 RFC 3602、 AES-CBC 密码算法及其与 IPsec 的配合使用中定义了 AES 与 IPsec 的使用。

  • 从 Junos OS 17.3R1 版开始,对 MS-MPC 和 MS-MIC 支持 Galois/计数器模式 (AES-GCM) 中的高级加密标准。但是,在 Junos FIPS 模式下,Junos OS 版本 17.3R1 不支持 AES-GCM。从 Junos OS 17.4R1 版开始,Junos FIPS 模式下支持 AES-GCM。AES-GCM 是一种经过验证的加密算法,旨在同时提供身份验证和隐私。AES-GCM 通过二进制 Galois 字段使用通用散列来提供身份验证加密,并允许以数十 Gbps 的数据速率进行身份验证加密。

IPsec 协议

IPsec 协议可确定应用于由路由器保护的数据包的身份验证和加密类型。Junos OS 支持以下 IPsec 协议:

  • AH — AH 在 RFC 2402 中定义,可为 IPv4 和 IPv6 数据包提供无连接完整性和数据源身份验证。它还提供了防止回放的保护。AH 会对尽可能多的 IP 报头以及上层协议数据进行验证。但是,某些 IP 报头字段可能会在传输过程中更改。由于发送方可能无法预测这些字段的值,因此它们无法受到 AH 的保护。在 IP 报头中Protocol,AH 可以识别为 IPv4 数据包字段和 Next Header IPv6 数据包字段中的值51图 1 中显示了 AH 提供的 IPsec 保护示例。

    注意:

    T 系列、M120 和 M320 路由器不支持 AH。

图 1:AH 协议 AH Protocol

 

  • ESP — ESP 在 RFC 2406 中定义,可以提供加密和有限的流量机密性,或者提供无连接完整性、数据源身份验证和反重放服务。在 IP 报头中,可识别 IPv4 数据包字段和 Next Header IPv6 数据包字段中的Protocol一个值50图 2 中显示了 ESP 提供的 IPsec 保护示例。

图 2:ESP 协议 ESP Protocol
  • 捆绑包 — 将 AH 与 ESP 进行比较时,两种协议都有一些优势和缺点。ESP 提供了相当级别的身份验证和加密,但仅针对部分 IP 数据包提供。相反,尽管 AH 不提供加密,但它确实为整个 IP 数据包提供身份验证。因此,Junos OS 提供了第三种称为协议包的 IPsec 协议形式。捆绑选项提供 AH 身份验证与 ESP 加密的混合组合。

使用 UDP 封装的 IPsec 多路径转发

IPsec 在两个对等方之间提供安全隧道,而 IPsec 封装的数据包具有 IP 标头,其中包含不会更改的隧道端点 IP。这可在对等方之间选择单个转发路径,如 图 3 所示。当 IPsec 流量在包含数千个主机的数据中心之间流动时,此单个路径选择会限制吞吐量。

图 3:采用一条转发路径 IPsec with One Forwarding Path的 IPsec

您可以通过启用 IPsec 数据包的 UDP 封装来克服此问题,IPsec 数据包在 ESP 标头之后附加 UDP 标头,如 图 4 所示。这为中间路由器提供了第 3 层和第 4 层信息,并且 IPsec 数据包通过多个路径进行转发,如 图 5 所示。您可为服务集启用 UDP 封装。

图 4:附录 UDP 报头 Appended UDP Header
图 5:具有多个转发路径的 IPsec with Multiple Forwarding Paths IPsec

您可以配置 UDP 目标端口或使用默认值 4565。您无法将 4500 配置为目标端口,因为它是 NAT 遍历的众所周知的端口。

Junos OS 通过在以下数据上操作的散列功能生成源 UDP 端口:

  • 源 IP 地址

  • 目标 IP 地址

  • 传输协议

  • 传输源端口

  • 传输目标端口

  • 随机编号

仅使用生成的散列的最后两个字节,因此会隐藏内部 IP 报头详细信息。

检测到 NAT-T 时,仅进行 NAT-T UDP 封装,而不是 IPsec 数据包的 UDP 封装。

支持的 IPsec 和 IKE 标准

在配备一个或多个 MS-MPC、MS-MIC 或 DPC 的路由器上,加拿大和美国版本的 Junos OS 基本支持以下 RFC,这些 RFC 定义了 IP 安全 (IPsec) 和互联网密钥交换 (IKE) 标准。

  • RFC 2085, 带重放防御的 HMAC-MD5 IP 身份验证

  • RFC 2401, 互联网协议的安全架构 (因 RFC 4301 被淘汰)

  • RFC 2402, IP 认证头 (因 RFC 4302 被淘汰)

  • RFC 2403, HMAC-MD5-96 在 ESP 和 AH 中的使用

  • RFC 2404, HMAC-SHA-1-96 在 ESP 和 AH 中的使用 (因 RFC 4305 被淘汰)

  • RFC 2405, 带有显式 IV 的 ESP DES-CBC 密码算法

  • RFC 2406, IP 封装安全有效负载 (ESP) (因 RFC 4303 和 RFC 4305 被淘汰)

  • RFC 2407, ISAKMP 的互联网 IP 安全解释域 (因 RFC 4306 被淘汰)

  • RFC 2408, 互联网安全关联和密钥管理协议 (ISAKMP) (因 RFC 4306 被淘汰)

  • RFC 2409, 互联网密钥交换 (IKE) (因 RFC 4306 被淘汰)

  • RFC 2410, NULL 加密算法及其与 IPsec 的配合使用

  • RFC 2451, ESP CBC 模式密码算法

  • RFC 2560, X.509 互联网公钥基础架构在线证书状态协议 - OCSP

  • RFC 3193, 使用 IPsec 保护 L2TP 的安全

  • RFC 3280, 互联网 X.509 公钥基础架构证书和证书撤销列表 (CRL) 配置文件

  • RFC 3602, AES-CBC 密码算法及其与 IPsec 的配合使用

  • RFC 3948, IPsec ESP 数据包的 UDP 封装

  • RFC 4106, 在 IPsec 封装安全有效负载 (ESP) 中使用 Galois/计数器模式 (GCM)

  • RFC 4210, 互联网 X.509 公钥基础架构证书管理协议 (CMP)

  • RFC 4211, 互联网 X.509 公钥基础架构证书请求消息格式 (CRMF)

  • RFC 4301, 互联网协议的安全架构

  • RFC 4302, IP 认证头

  • RFC 4303, IP 封装安全有效负载 (ESP)

  • RFC 4305, 封装安全有效负载 (ESP) 和认证头 (AH) 的密码算法实施要求

  • RFC 4306, 互联网密钥交换 (IKEv2) 协议

  • RFC 4307, 互联网密钥交换版本 2 (IKEv2) 中使用的加密算法

  • RFC 4308, IPsec 加密套件

    Junos OS 中仅支持套件 VPN-A。

  • RFC 4754, 使用椭圆曲线数字签名算法 (ECDSA) 的 IKE 和 IKEv2 身份验证

  • RFC 4835, 封装安全有效负载 (ESP) 和认证头 (AH) 的密码算法实施要求

  • RFC 5996, 互联网密钥交换协议版本 2 (IKEv2) (因 RFC 7296 被淘汰)

  • RFC 7296, 互联网密钥交换协议版本 2 (IKEv2)

  • RFC 8200, 互联网协议,版本 6 (IPv6) 规范

Junos OS 部分支持以下用于 IPsec 和 IKE 的 RFC:

  • RFC 3526, 互联网密钥交换 (IKE) 的更多模块指数 (MODP) Diffie-Hellman 群组

  • RFC 5114, 用于使用 IETF 标准的附加 Diffie-Hellman 组

  • RFC 5903, 用于 IKE 和 IKEv2 的椭圆曲线组模数 (ECP 群组)

以下 RFC 和互联网草案不定义标准,而是提供有关 IPsec、IKE 和相关技术的信息。IETF 将其分类为“信息”。

  • RFC 2104, HMAC:用于消息认证的密钥散列

  • RFC 2412, OAKLEY 密钥确定协议

  • RFC 3706, 一种基于流量的不工作互联网密钥交换 (IKE) 对等方检测方法

  • 互联网草案 draft-eastlake-sha2-02.txt, 美国安全散列算法(SHA 和 HMAC-SHA)( 2006 年 7 月到期)

IPSec 条款和缩写

三重数据加密标准 (3DES)

一种增强型 DES 算法,可通过三次不同的密钥三次处理数据来提供 168 位加密。

自适应服务 PIC

新一代物理接口卡 (PIC),可在 M 系列和 T 系列平台上提供 IPsec 服务和其他服务,如网络地址转换 (NAT) 和有状态防火墙。

高级加密标准 (AES)

新一代加密方法,基于 Rijndael 算法,使用 128 位块、三种不同密钥大小(128、192 和 256 位)和多轮处理来加密数据。

认证标头 (AH)

IPsec 协议的一个组件,用于验证数据包的内容是否未更改(数据完整性),并验证发送方的身份(数据源身份验证)。有关 AH 的详细信息,请参阅 RFC 2402。

证书授权机构 (CA)

可生成、登记、验证和撤销数字证书的可信第三方组织。CA 保证用户身份,并发出公共密钥和私有密钥以进行消息加密和解密。

证书撤销列表 (CRL)

已在到期日期前失效的数字证书列表,包括撤销证书的原因以及发出这些证书的实体的名称。CRL 可防止使用已遭到入侵的数字证书和签名。

密码字组链 (CBC)

一种加密方法,可使用一个块的加密结果对密码文本块进行加密,以加密下一个块。解密后,每个密码文本块的有效性取决于前面所有密码块的有效性。有关如何使用 CBC 与 DES 和 ESP 提供机密性的详细信息,请参阅 RFC 2405。

数据加密标准 (DES)

一种加密算法,通过使用单个共享密钥处理数据来加密和解密数据包数据。DES 以 64 位块的增量运行并提供 56 位加密。

数字证书

使用私有密钥和公钥技术验证证书创建者身份并将密钥分配给对等方的电子文件。

ES PIC

可在 M 系列和 T 系列平台上为 IPsec 提供第一代加密服务和软件支持的 PIC。

封装安全有效负载 (ESP)

IPsec 协议的组件,用于对 IPv4 或 IPv6 数据包中的数据进行加密,提供数据完整性并确保数据源身份验证。有关 ESP 的详细信息,请参阅 RFC 2406。

散列消息认证代码 (HMAC)

使用加密散列功能的消息认证机制。HMAC 可与任何迭代加密散列功能(如 MD5 或 SHA-1)结合使用,并结合使用密钥。有关 HMAC 的详细信息,请参阅 RFC 2104。

互联网密钥交换 (IKE)

为使用 IPsec 的任何主机或路由器建立共享安全参数。IKE 建立了 IPsec SA。有关 IKE 的详细信息,请参阅 RFC 2407。

消息摘要 5 (MD5)

一种身份验证算法,可采取任意长度的数据消息并生成 128 位消息摘要。有关详细信息,请参阅 RFC 1321。

完全向前保密 (PFS)

通过 Diffie-Hellman 共享的秘密值提供额外的安全性。使用 PFS 时,如果一个密钥遭到入侵,则前一个密钥和后续密钥都是安全的,因为它们不是从以前的密钥派生出来的。

公钥基础架构 (PKI)

信任层次结构,允许公共网络的用户通过使用通过可信机构获得并与对等方共享的公共和私有加密密钥对来安全、私下地交换数据。

注册授权机构 (RA)

可代表 CA 保证用户身份的可信第三方组织。

路由引擎

基于 Junos OS 的路由器基于 PCI 的架构部分,用于处理路由协议进程、接口进程、某些机箱组件、系统管理和用户访问。

安全关联 (SA)

在允许 IKE 或 IPsec 运行之前,必须在两个网络设备之间商定的规格。SA 主要指定协议、身份验证和加密选项。

安全关联数据库 (SADB)

由 IPsec 存储、监控和处理所有 SA 的数据库。

安全散列算法 1 (SHA-1)

一种身份验证算法,用于传输长度小于 264 位的数据消息并生成 160 位消息摘要。有关 SHA-1 的详细信息,请参阅 RFC 3174。

安全散列算法 2 (SHA-2)

SHA-1 身份验证算法的继承者,包含一组 SHA-1 变体(SHA-224、SHA-256、SHA-384 和 SHA-512)。SHA-2 算法使用较大的散列大小,设计为与增强型加密算法(如 AES)配合使用。

安全策略数据库 (SPD)

与 SADB 配合使用的数据库,可确保最大数据包安全性。对于入站数据包,IPsec 会检查 SPD 以验证传入数据包是否与为特定策略配置的安全性匹配。对于出站数据包,IPsec 会检查 SPD,看看是否需要保护数据包。

安全参数索引 (SPI)

用于在网络主机或路由器上唯一标识 SA 的标识符。

简单证书注册协议 (SCEP)

该协议支持 CA 和注册授权机构 (RA) 公开密钥分配、证书注册、证书撤销、证书查询和证书撤销列表 (CRL) 查询。

ACX 系列的 IPsec 概述

瞻博网络 Junos 操作系统 (Junos OS) 支持 IPsec。本主题包括以下部分,其中提供有关在 ACX 系列通用城域网路由器上配置 IPsec 的背景信息。

注意:

IPsec 仅在 ACX1100 AC 供电路由器和 ACX500 路由器上受支持。不支持 ACX1100-AC 和 ACX500 路由器上的服务链(GRE、NAT 和 IPSec)。

注意:

ACX5048 和 ACX5096 路由器不支持 IPsec 配置。

有关 Junos OS 支持的 IPsec 和 IKE 标准列表,请参阅 Junos OS 层次结构和 RFC 参考

Ipsec

IPsec 架构为 IP 版本 4 (IPv4) 网络层提供安全套件。该套件提供原产地身份验证、数据完整性、机密性、重放保护和源不可否认性等功能。除了 IPsec,Junos OS 还支持互联网密钥交换 (IKE),该交换定义了密钥生成和交换机制,并管理安全关联。

IPsec 还定义了可与任何传输层协议配合使用的安全关联和密钥管理框架。安全关联指定了适用于两个 IP 层实体之间的流量的保护策略。IPsec 在两个对等方之间提供安全隧道。

安全关联

要使用 IPsec 安全服务,请在主机之间创建安全关联。安全关联是一种简单的连接,允许两个主机通过 IPsec 安全地相互通信。有两种类型的安全关联:

  • 手动安全关联无需协商;所有值(包括密钥)均为静态值,并在配置中指定。手动安全关联静态定义安全参数索引 (SPI) 值、算法和要使用的密钥,并且需要隧道两端的匹配配置。每个对等方都必须有相同的配置通信选项。

  • 动态安全关联需要额外配置。借助动态安全关联,您先配置 IKE,然后配置安全关联。IKE 创建动态安全关联;它会就 IPsec 的安全关联进行协商IKE 配置定义用于与对等方安全网关建立安全 IKE 连接的算法和密钥。然后,此连接用于动态同意动态 IPsec 安全关联使用的关键和其他数据。IKE 安全关联先协商,然后用于保护确定动态 IPsec 安全关联的谈判。

艾克

IKE 是一种创建动态安全关联的关键管理协议;它会就 IPsec 的安全关联进行协商IKE 配置定义用于与对等安全网关建立安全连接的算法和密钥。

IKE 执行以下任务:

  • 协商和管理 IKE 和 IPsec 参数。

  • 认证安全密钥交换。

  • 通过共享密钥(非密码)和公共密钥提供对等方互身份验证。

  • 提供身份保护(主模式)。

发布历史记录表
释放
描述
18.2R1
从 Junos OS 18.2R1 版开始,您可以将带有 MS-MPC 或 MS-MIC 的 MX 系列路由器配置为仅用作 IKE 响应器。
18.2R1
从 Junos OS 版本 18.2R1 开始,您可以使用 MS-MPC 或 MS-MIC 配置 MX 系列路由器,仅发送基于证书的 IKE 认证的最终实体证书,而不是完整的证书链。
17.4R1
从 Junos OS 17.4R1 版开始,Junos FIPS 模式下支持 AES-GCM。
17.3R1
从 Junos OS 17.3R1 版开始,对 MS-MPC 和 MS-MIC 支持 Galois/计数器模式 (AES-GCM) 中的高级加密标准。