동적 보안 연결

IKE(Internet Key Exchange) 제안에 대한 인증 알고리즘을 구성하려면 계층 수준에서 명령문을 포함합니다authentication-algorithm.[edit services ipsec-vpn ike proposal proposal-name]

인증 알고리즘은 다음 중 하나일 수 있습니다.

• md5- 128비트 다이제스트를 생성합니다.

• sha1- 160비트 다이제스트를 생성합니다.

• sha-256- 256비트 다이제스트를 생성합니다.

  참고:

  보안 해시 알고리즘(SHA)에 대한 참조 정보는 인터넷 초안 draft-eastlake-sha2-02.txt, 보안 해시 알고리즘(SHA 및 HMAC-SHA)( 2006년 7월 만료)을 참조하십시오.

IKE(Internet Key Exchange) 제안에 대한 인증 방법을 구성하려면 계층 수준에서 문을 포함합니다authentication-method.[edit services ipsec-vpn ike proposal proposal-name]

참고:

IKEv1에서 SA에 대한 인증 방법은 IKE 제안에 구성된 인증 방법 유형에 따라 원격 피어와 협상됩니다. IKEv2에서는 원격 피어와 이러한 협상이 수행되지 않습니다. 대신 각 IKE 피어는 로컬에서 구성된 인증 방법을 사용합니다.

IKEv2의 SA의 경우, 인증 방법이 IKE 제안에 구성되지 않은 경우 인증 방법은 IKEv1로 기본값입니다. IKEv2에 대한 인증 방법을 구성하는 경우 정책에서 참조되는 모든 제안에 대해 동일한 인증 방법을 구성해야 합니다.

인증 방법은 다음 중 하나일 수 있습니다.

참고:

Junos FIPS 모드에서는 Junos OS 릴리스 17.3R1의 인증 방법에 대해 ECDSA가 지원되지 않습니다. Junos OS 릴리스 17.4R1부터 ECDSA는 Junos FIPS 모드에서 지원됩니다.

• ecdsa-signatures-256—MS-MPC 및 MS-MIC용 Junos OS 릴리스 17.3R1부터 256비트 모듈리용 ECDSA(Elliptic Curve Digital Signature Algorithm).

• ecdsa-signatures-384—MS-MPC 및 MS-MIC용 Junos OS 릴리스 17.3R1부터 384비트 모듈리용 ECDSA(Elliptic Curve Digital Signature Algorithm).

• pre-shared-keys- 대역 외 메커니즘에서 파생된 키입니다. 키는 교환을 인증합니다.

• rsa-signatures- 공개 키 알고리즘(암호화 및 디지털 서명 지원).

Diffie-Hellman은 두 당사자가 안전하지 않은 통신 채널을 통해 공유 암호를 설정할 수 있도록 하는 공개 키 암호화 체계입니다. 또한 IKE 내에서 세션 키를 설정하는 데 사용됩니다.

IKE(Internet Key Exchange) 제안에 대해 Diffie-Hellman 그룹을 구성하려면 계층 수준에서 문을 포함합니다dh-group.[edit services ipsec-vpn ike proposal proposal-name]

그룹은 다음 중 하나일 수 있습니다.

• group1- IKE가 새 Diffie-Hellman 교환을 수행할 때 768비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group2- IKE가 새 Diffie-Hellman 교환을 수행할 때 1024비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group5- IKE가 새 Diffie-Hellman 교환을 수행할 때 1536비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group14- IKE가 새 Diffie-Hellman 교환을 수행할 때 2048비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group19- IKE가 새 Diffie-Hellman 교환을 수행할 때 256비트 임의 Elliptic Curve Diffie-Hellman Group을 사용하도록 지정합니다.

• group20—-IKE가 새 Diffie-Hellman 교환을 수행할 때 384비트 임의 Elliptic Curve Diffie-Hellman Group을 사용하도록 지정합니다.

Junos OS 릴리스 17.4R1부터 group15, group16 및 group 24도 사용할 수 있습니다.

• group15- IKE가 새 Diffie-Hellman 교환을 수행할 때 3072비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group16- IKE가 새 Diffie-Hellman 교환을 수행할 때 4096비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group24- IKE가 새 Diffie-Hellman 교환을 수행할 때 256비트 프라임 오더 하위 그룹과 함께 2048비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

더 많은 비트 수를 기반으로 하는 Diffie-Hellman 그룹을 사용하면 더 적은 비트를 기반으로 하는 그룹을 사용하는 것보다 더 안전한 IKE 터널을 만듭니다. 그러나 이 추가 보안에는 추가 처리 시간이 필요할 수 있습니다.

IKE(Internet Key Exchange) 제안에 대한 암호화 알고리즘을 구성하려면 계층 수준에서 명령문을 포함합니다encryption-algorithm.[edit services ipsec-vpn ike proposal proposal-name]

암호화 알고리즘은 다음 중 하나일 수 있습니다.

• 3des-cbc—키 크기가 24바이트인 암호 블록 체인 암호화 알고리즘; 키 크기는 192비트입니다.

• des-cbc—키 크기가 8바이트인 암호 블록 체인 암호화 알고리즘; 키 크기는 56비트입니다.

• aes-128-cbc—AES(Advanced Encryption Standard) 128비트 암호화 알고리즘.

• aes-192-cbc—AES(Advanced Encryption Standard) 192비트 암호화 알고리즘.

• aes-256-cbc—AES(Advanced Encryption Standard) 256비트 암호화 알고리즘.

참고:

DES(데이터 암호화 표준) 암호화 알고리즘 취약 키 및 준취약 키 목록은 RFC 2409, IKE(Internet Key Exchange)를 참조하십시오. AES 암호화 알고리즘은 처리량이 훨씬 낮은 소프트웨어 구현을 사용하므로 DES가 권장 옵션으로 남아 있습니다.

의 경우 3des-cbc처음 8바이트는 두 번째 8바이트와 달라야 하며 두 번째 8바이트는 세 번째 8바이트와 동일해야 합니다.

인증 제안을 구성하지만 명령문을 포함하지 encryption 않으면 결과는 NULL 암호화입니다. 특정 응용 프로그램에서는 이 결과를 예상합니다. 특정 인증 또는 암호화 값을 구성하지 않는 경우, Junos OS는 인증 및 3des-cbc 암호화에 의 기본값 sha1 을 사용합니다.

문은 lifetime-seconds IKE(Internet Key Exchange) SA의 수명을 설정합니다. IKE(Internet Key Exchange) SA가 만료되면 새 SA(및 SPI)로 대체되거나 IPsec 연결이 종료됩니다.

IKE(Internet Key Exchange) SA의 수명을 구성하려면 계층 수준에서 문을 포함합니다lifetime-seconds.[edit services ipsec-vpn ike proposal proposal-name]

기본적으로 IKE SA 수명은 3600초입니다. 범위는 180초에서 86,400초 사이입니다.

참고:

IKEv1에서 SA의 수명은 IKE 제안서에 구성된 수명 유형에 따라 원격 피어와 협상됩니다. IKEv2에서는 원격 피어와 이러한 협상이 수행되지 않습니다. 대신 각 IKE 피어는 로컬로 구성된 수명을 사용합니다.

IKEv2의 SA의 경우 수명은 기본값인 IKEv1이거나(IKE 제안에 다른 수명이 구성되지 않은 경우) IKE 정책의 모든 IKEv2 제안을 동일한 수명 값으로 구성해야 합니다.

참고:

IKE(Internet Key Exchange) 제안의 경우, Junos OS에 의해 지정된 단 하나의 SA 수명 값이 있습니다. IPsec 제안은 다른 메커니즘을 사용합니다.

IKE(Internet Key Exchange) 제안을 구성합니다.

Junos OS 릴리스 11.4부터 모든 M 시리즈, MX 시리즈 및 T 시리즈 라우터에서 IKEv1 및 IKEv2가 기본적으로 지원됩니다. 협상에 대해 지원할 특정 IKE(Internet Key Exchange) 단계를 구성할 수 있습니다. 그러나 IKEv1만 지원되는 경우 Junos OS는 IKEv2 협상을 거부합니다. 마찬가지로 IKEv2만 지원되는 경우 Junos OS는 모든 IKEv1 협상을 거부합니다.

사용되는 IKE(Internet Key Exchange) 단계를 구성하려면 계층 수준에서 문을 포함합니다version.[edit services ipsec-vpn ike policy policy-name]

IKE(Internet Key Exchange) 정책에는 공격적 모드와 기본의 두 가지 모드가 있습니다. 기본적으로 주 모드는 사용하도록 설정되어 있습니다. 메인 모드는 3개의 교환에서 6개의 메시지를 사용하여 IKE(Internet Key Exchange) SA를 설정합니다. (이 세 단계는 IKE SA 협상, Diffie-Hellman 교환 및 피어 인증입니다.) 또한 메인 모드에서는 피어가 자신의 ID를 숨길 수 있습니다.

적극적인 모드는 인증된 IKE(Internet Key Exchange) SA 및 키도 설정합니다. 그러나 적극적인 모드는 메시지 수의 절반을 사용하고, 협상 능력이 적으며, ID 보호를 제공하지 않습니다. 피어는 적극적인 모드 또는 기본 모드를 사용하여 IKE 협상을 시작할 수 있습니다. 원격 피어는 피어가 보낸 모드를 수락합니다.

참고:

모드 구성은 옵션이 로 1설정된 경우에만 version 필요합니다.

IKE(Internet Key Exchange) 정책에 대한 모드를 구성하려면 문을 포함하고 mode 계층 수준에서 또는 main 을(를[edit services ipsec-vpn ike policy policy-name]) 지정합니다aggressive.

IKE(Internet Key Exchange) 정책에는 IKE(Internet Key Exchange) 정책과 연관된 하나 이상의 제안 목록이 포함됩니다.

IKE(Internet Key Exchange) 정책에서 제안을 구성하려면 문을 포함하고 proposals 계층 수준에서 하나 이상의 제안 이름을 지정합니다.[edit services ipsec-vpn ike policy policy-name]

계층 수준에서 문을 [edit services ipsec-vpn ike proposal proposal-name] 포함 authentication-method pre-shared-keys 하면 IKE(Internet Key Exchange) 정책 사전 공유 키가 피어를 인증합니다. 사전 공유 키를 수동으로 구성해야 하며, 이는 피어의 키와 일치해야 합니다. 사전 공유 키는 ASCII 텍스트(영숫자) 키 또는 16진수 키일 수 있습니다.

IKE(Internet Key Exchange) 정책에서 사전 공유 키를 구성하려면 계층 수준에서 명령문과 키를 [edit services ipsec-vpn ike policy policy-name] 포함합니다pre-shared-key.

키는 다음 중 하나일 수 있습니다.

• ascii-text- ASCII 텍스트 키. 옵션을 사용하면 키에 8개의 ASCII 문자가 des-cbc 포함됩니다. 옵션을 사용하면 키에 24개의 ASCII 문자가 3des-cbc 포함됩니다.

• hexadecimal- 16진수 키. 옵션을 사용하면 키에 16개의 16진수 문자가 des-cbc 포함됩니다. 옵션을 사용하면 키에 48개의 16진수 문자가 3des-cbc 포함됩니다.

IKE(Internet Key Exchange) 정책에 대한 선택적 텍스트 설명을 지정하려면 계층 수준에서 문을 [edit services ipsec-vpn ike policy policy-name 포함합니다description.

선택적으로 IKE(Internet Key Exchange) 1단계 협상에 사용할 로컬 식별자를 지정할 수 있습니다. local-id 명령문을 생략하면 로컬 게이트웨이 주소가 사용됩니다.

Junos OS 릴리스 19.1R1부터 로컬 ID 유형 중 하나를 고유 이름으로 구성하고 원격 ID 유형 중 하나를 고유 이름으로 구성할 수 있습니다. 고유 이름 필드는 컨테이너 문자열 값이 있는 컨테이너 또는 와일드카드 문자열 값이 있는 와일드카드일 수 있습니다.

식별 이름은 사용자를 고유하게 식별하기 위해 디지털 인증서와 함께 사용되는 이름입니다. 예를 들어 고유 이름은 다음과 같을 수 있습니다.

• CN=사용자

• DC=예제

• DC=com

컨테이너 문자열의 경우 필드 순서와 해당 값은 피어의 디지털 인증서에 있는 고유 이름과 정확히 일치해야 합니다. 예제: container ["C=US, ST=CA, L=Sunnyvale, O=Juniper, CN=local_neg, CN=test@juniper.net, OU=QA" "cn=admin, ou=eng, o=example, dc=net" ];

와일드카드 문자열의 경우, 구성된 필드 및 값은 피어의 디지털 인증서에 있는 고유 이름과 일치해야 하지만 DN의 필드 순서는 중요하지 않습니다. 예제: wildcard [ "L=Sunnyvale, O=Juniper" "C=US, ST=CA" ];

하나 이상의 로컬 ID를 지정하려면 계층 레벨에서 [edit services ipsec-vpn ike policy policy-name] 명령문을 포함합니다local-id.

IKE(Internet Key Exchange) 정책이 사용되는 원격 게이트웨이 식별자를 지정할 수도 있습니다. 이 정책이 정의된 원격 게이트웨이 주소는 기본적으로 추가됩니다.

하나 이상의 원격 ID를 지정하려면 계층 레벨에서 명령문을 포함합니다remote-id.[edit services ipsec-vpn ike policy policy-name]

이 any-remote-id 옵션을 사용하면 모든 원격 주소를 연결할 수 있습니다. 이 옵션은 동적 엔드포인트 구성에서만 지원되며 특정 값과 함께 구성할 수 없습니다.

SA(Security Association)의 피어가 동기화되지 않으면 잘못된 SPI(Security Parameter Index) 값을 가진 패킷을 보낼 수 있으며 수신 피어는 이러한 패킷을 삭제합니다. 예를 들어 피어 중 하나가 재부팅될 때 발생할 수 있습니다. Junos OS 릴리스 14.2부터 SA를 재동기화하여 유효하지 않은 SPI가 있는 패킷을 수신할 때 디바이스가 복구되도록 할 수 있습니다.

잘못된 SPI 값에서 복구할 수 있도록 하려면 계층 수준에서 문을 포함합니다respond-bad-spi.[edit services ipsec-vpn ike policy] policy-name

두 개의 IKE 정책 정의: policy 10.1.1.2 및 policy 10.1.1.1. 각 정책은 및 와 연결되어 proposal-1 있습니다 proposal-2. 다음 구성에서는 협상에 IKEv1만 사용합니다.

참고:

현재 IKE 제안 및 정책 구성에 대한 업데이트는 현재 IKE SA에 적용되지 않습니다. 업데이트는 새 IKE(Internet Key Exchange) SA에 적용됩니다.

새 업데이트를 즉시 적용하려면 변경된 구성으로 다시 설정되도록 기존 IKE 보안 연결을 지워야 합니다. 현재 IKE 보안 연결을 지우는 방법에 대한 자세한 내용은 서비스 ipsec-vpn ike 보안 연결 지우기를 참조하세요.

IPsec 제안에 대한 인증 알고리즘을 구성하려면 계층 수준에서 명령문을 포함합니다authentication-algorithm.[edit services ipsec-vpn ipsec proposal proposal-name]

인증 알고리즘은 다음 중 하나일 수 있습니다.

• hmac-md5-96- 패킷 데이터를 인증하는 해시 알고리즘. 128비트 다이제스트를 생성합니다. 인증에는 96비트만 사용됩니다.

• hmac-sha1-96- 패킷 데이터를 인증하는 해시 알고리즘. 160비트 다이제스트를 생성합니다. 인증에는 96비트만 사용됩니다.

• hmac-sha-256-128- 패킷 데이터를 인증하는 해시 알고리즘. 256비트 인증자 값을 생성합니다.

참고:

IPsec 제안에서 인증 알고리즘을 구성할 때 다음 사항을 염두에 두세요.

• IPsec VPN 터널의 양쪽 끝에 동일한 IKE 제안이 있지만 IPsec 제안이 다른 경우 오류가 발생하고 이 시나리오에서는 터널이 설정되지 않습니다. 예를 들어, 터널의 한쪽 끝에 hmac-sha- 256-128과 같은 인증 알고리즘으로 구성된 라우터 1이 있고 터널의 다른 쪽 끝에 hmac-md5-96과 같은 인증 알고리즘으로 구성된 라우터 2가 있는 경우 VPN 터널이 설정되지 않습니다.

• IPsec VPN 터널의 양쪽 끝에 동일한 IKE 제안이 있지만 서로 다른 IPsec 제안이 포함되어 있고, 터널의 한쪽 끝에 덜 안전한 알고리즘이 선택되었는지 여부를 확인하기 위한 두 개의 IPsec 제안이 포함되어 있으면 오류가 발생하고 터널이 설정되지 않습니다. 예를 들어, 터널의 한쪽 끝인 라우터 1에서 hmac-sha-256-128 및 hmac-md5-96으로 IPsec 제안을 위한 두 개의 인증 알고리즘을 구성하고, 터널의 다른 쪽 끝인 라우터 2에서 hmac-md5-96으로 IPsec 제안에 대한 알고리즘을 구성하는 경우 터널이 설정되지 않고 제안 수가 일치하지 않습니다.

• 터널 양쪽 끝에서 두 개의 IPsec 제안을 구성하는 경우, 예를 들어 authentication-algorithm hmac-sha-256-128 터널 중 하나인 라우터 1의 계층 수준에 있는 및 문(순서를 지정하기 위한 두 개의 연속 문에 알고리즘이 있음)과 authentication-algorithm hmac-md5-96 터널 중 하나인 라우터 2의 계층 수준에 있는 및 authentication- algorithm hmac-sha-256-128 authentication- algorithm hmac-md5-96 문(순서를 지정하기 위해 두 개의 연속 문 [edit services ipsec-vpn ipsec proposal proposal-name] [edit services ipsec-vpn ipsec proposal proposal-name] 에 알고리즘이 있는 경우, 라우터 1)의 역순), 제안 수가 양쪽 끝에서 동일하고 동일한 알고리즘 집합을 포함하기 때문에 예상대로 이 조합에서 터널이 설정됩니다. 그러나 선택된 인증 알고리즘은 hmac-sha-256-128의 더 강력한 알고리즘이 아니라 hmac-md5-96입니다. 이러한 알고리즘의 선택 방법은 제1 매칭 제안이 선택되기 때문에 발생한다. 또한 기본 제안의 경우 라우터가 AES(Advanced Encryption Standard) 암호화 알고리즘을 지원하는지 여부와 관계없이 기본 제안의 첫 번째 알고리즘이 선택되었기 때문에 aes-cfb 알고리즘이 아닌 3des-cbc 알고리즘이 선택됩니다. 여기에 설명된 샘플 시나리오에서 라우터 2에서 제안서의 알고리즘 구성 순서를 반대로 하여 라우터 1에 지정된 순서와 동일한 순서가 되도록 하면 hmac-sha-256-128이 인증 방법으로 선택됩니다.

• 두 피어의 두 정책에 제안이 있을 때 일치가 이루어질 때 가장 강력한 알고리즘을 먼저 고려하는 것과 같이 특정 기본 설정 순서로 제안의 일치가 발생하도록 하려면 구성 시 IPsec 정책의 제안 순서를 알고 있어야 합니다.

IPsec 제안에 대한 선택적 텍스트 설명을 지정하려면, 계층 수준에서 명령문을 [edit services ipsec-vpn ipsec proposal proposal-name] 포함합니다description.

IPsec 제안에 대한 암호화 알고리즘을 구성하려면 계층 수준에서 명령문을 포함합니다encryption-algorithm.[edit services ipsec-vpn ipsec proposal proposal-name]

암호화 알고리즘은 다음 중 하나일 수 있습니다.

• 3des-cbc- 블록 크기가 24바이트인 암호화 알고리즘. 키 크기는 192비트입니다.

• aes-128-cbc—AES(Advanced Encryption Standard) 128비트 암호화 알고리즘.

• aes-192-cbc—AES(Advanced Encryption Standard) 192비트 암호화 알고리즘.

• aes-256-cbc—AES(Advanced Encryption Standard) 256비트 암호화 알고리즘.

참고:

Junos FIPS 모드에서, AES-GCM은 Junos OS 릴리스 17.3R1에서 지원되지 않습니다. Junos OS 릴리스 17.4R1부터 AES-GCM은 Junos FIPS 모드에서 지원됩니다.

• aes-128-gcm—MS-MPC 및 MS-MIC용 Junos OS 릴리스 17.3R1부터 16 옥텟 ICV(Integrity Check Value)를 사용하는 AES-GCM(Advanced Encryption Standard in Galois/Counter Mode) 128비트 암호화 알고리즘.

• aes-192-gcm—MS-MPC 및 MS-MIC용 Junos OS 릴리스 17.3R1부터 16 옥텟 무결성 검사 값 ICV를 사용하는 AES-GCM(Galois/Counter Mode) 192비트 암호화 알고리즘의 고급 암호화 표준.

• aes-256-gcm—MS-MPC 및 MS-MIC용 Junos OS 릴리스 17.3R1부터 16 옥텟 무결성 검사 값 ICV를 사용하는 AES-GCM(Galois/Counter Mode) 256비트 암호화 알고리즘의 고급 암호화 표준.

• des-cbc- 블록 크기가 8바이트인 암호화 알고리즘. 키 크기는 48비트입니다.

참고:

DES(데이터 암호화 표준) 암호화 알고리즘 취약 키 및 준취약 키 목록은 RFC 2409, IKE(Internet Key Exchange)를 참조하십시오. AES 암호화 알고리즘은 처리량이 훨씬 낮은 소프트웨어 구현을 사용하므로 DES가 권장 옵션으로 남아 있습니다.

의 경우 3des-cbc처음 8바이트는 두 번째 8바이트와 달라야 하며 두 번째 8바이트는 세 번째 8바이트와 동일해야 합니다.

특정 인증 또는 암호화 설정을 구성하지 않으면 Junos OS는 인증 및 3des-cbc 암호화에 의 기본값 sha1 을 사용합니다. NULL 암호화가 유효하려면 다른 시스템 구성에 관계없이 계층 수준에서 문을 [edit services ipsec-vpn ipsec proposal proposal-name] 포함하여 protocol esp NULL 암호화 알고리즘에 대한 ESP(Encapsulating Security Payload) 프로토콜을 항상 지정해야 합니다.

동적 IPsec SA가 생성되면 하드 및 소프트의 두 가지 유형의 수명이 사용됩니다. 하드 수명은 SA의 수명을 지정합니다. 하드 수명에서 파생되는 소프트 수명은 SA가 곧 만료될 것임을 IPsec 키 관리 시스템에 알릴 수 있습니다. 이를 통해 키 관리 시스템은 하드 수명이 만료되기 전에 새 SA를 협상할 수 있습니다.

참고:

IKEv1에서 SA의 수명은 IPsec 제안에 구성된 수명 유형에 따라 원격 피어와 협상됩니다. IKEv2에서는 원격 피어와 이러한 협상이 수행되지 않습니다. 대신 각 IKE 피어는 로컬로 구성된 수명을 사용합니다.

IKEv2의 SA의 경우 수명은 기본값인 IKEv1이거나(IPsec 제안에 다른 수명이 구성되지 않은 경우) IPsec 정책의 모든 IKEv2 제안이 동일한 수명 값으로 구성되어야 합니다.

하드 수명 값을 구성하려면 문을 포함하고 lifetime-seconds 계층 수준에서 시간(초)을 지정합니다.[edit services ipsec-vpn ipsec proposal proposal-name]

기본 수명은 28,800초입니다. 범위는 180초에서 86,400초 사이입니다.

소프트 수명을 계산하기 위해 처음에 lifetime-diff가 계산됩니다. 그런 다음 피어가 개시자인지 응답자인지에 따라 소프트 수명이 계산됩니다.

lifetime-diff 계산은 다음과 같이 수행됩니다.

• (3*hard-lifetime)/10이 850초보다 크면 lifetime-diff = 850초 + 0에서 850초 사이의 지터입니다.

  참고:

  지터 값은 모든 IPsec SA 설치에서 0에서 850으로 증가하고 0으로 재설정됩니다.

• (3*hard-lifetime)/10이 600초보다 크고 850보다 작으면 lifetime-diff = 600초 + 0에서 45초 사이의 임의 지터입니다.

• (3*hard-lifetime)/10이 90초보다 크고 600보다 작으면 lifetime-diff = 90초 + 0에서 45초 사이의 임의 지터입니다.

• (3*hard-lifetime)/10이 90초 미만인 경우 lifetime-diff = 90초 + 0에서 10초 사이의 임의 지터입니다.

lifetime-diff를 기반으로 소프트 수명은 다음과 같이 계산됩니다.

• lifetime-diff가 hard-lifetime보다 크면 soft lifetime = (9*hard-lifetime)/10

• 이니시에이터 소프트 수명 = 하드 수명 - lifetime-diff

• 응답자 소프트 수명 = 하드 수명 - lifetime-diff + 45초

참고:

개시자 소프트 수명은 항상 응답자 소프트 수명보다 짧습니다. 이는 이니시에이터 소프트 수명이 먼저 만료되어 키 재생성 프로세스를 시작할 수 있도록 하기 위한 것입니다.

예를 들어 IPSec SA에 대해 하드 수명이 3600초로 구성된 경우:

• 이니시에이터의 최대 소프트 수명: 3600 - 850(지터는 0) = 2750초

• 이니시에이터의 최소 소프트 수명: 3600 - 850 - 850(지터는 850) = 1900초

• 응답자의 최대 소프트 수명: 3600 - 850(지터는 0) + 45 = 2795초

• 응답자의 최소 소프트 수명: 3600 - 850 - 850(지터는 850) + 45 = 1945초

문은 protocol 동적 SA에 대한 프로토콜을 설정합니다. IPsec은 ESP와 AH의 두 가지 프로토콜을 사용하여 IP 트래픽을 보호합니다. ESP 프로토콜은 인증, 암호화 또는 둘 다를 지원할 수 있습니다. AH 프로토콜은 강력한 인증에 사용됩니다. AH는 IP 패킷도 인증합니다. 이 옵션은 AH 인증 및 ESP 암호화를 사용하며, AH가 bundle IP 패킷에 대해 더 강력한 인증을 제공하기 때문에 ESP 인증을 사용하지 않습니다.

동적 SA에 대한 프로토콜을 구성하려면 문을 포함하고 protocol 계층 수준에서 , esp또는 bundle 옵션을 [edit services ipsec-vpn ipsec proposal proposal-name] 지정합니다ah.

IPsec 정책에 대한 선택적 텍스트 설명을 지정하려면 계층 수준에서 문을 [edit services ipsec-vpn ipsec policy policy-name] 포함합니다description.

PFS(Perfect Forward Secrecy)는 Diffie-Hellman 공유 비밀 값을 통해 추가 보안을 제공합니다. PFS를 사용하면 하나의 키가 손상되더라도 이전 및 후속 키는 이전 키에서 파생되지 않으므로 안전합니다. 이 문은 선택 사항입니다.

PFS를 구성하려면 문을 포함하고 perfect-forward-secrecy 계층 수준에서 Diffie-Hellman 그룹을 [edit services ipsec-vpn ipsec policy policy-name] 지정합니다.

키는 다음 중 하나일 수 있습니다.

• group1- IKE가 새 Diffie-Hellman 교환을 수행할 때 768비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group2- IKE가 새 Diffie-Hellman 교환을 수행할 때 1024비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group5- IKE가 새 Diffie-Hellman 교환을 수행할 때 1536비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group14- IKE가 새 Diffie-Hellman 교환을 수행할 때 2048비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

Junos OS 릴리스 17.4R1부터 group15, group16 및 group 24도 키에 사용할 수 있습니다.

• group15- IKE가 새 Diffie-Hellman 교환을 수행할 때 3072비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group16- IKE가 새 Diffie-Hellman 교환을 수행할 때 4096비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

• group24- IKE가 새 Diffie-Hellman 교환을 수행할 때 256비트 프라임 오더 하위 그룹과 함께 2048비트 Diffie-Hellman 프라임 모듈러스 그룹을 사용하도록 지정합니다.

번호가 높은 그룹은 낮은 번호의 그룹보다 더 많은 보안을 제공하지만 더 많은 처리 시간이 필요합니다.

IPsec 정책에는 IPsec 정책과 관련된 하나 이상의 제안 목록이 포함됩니다.

IPsec 정책에서 제안을 구성하려면 문을 포함하고 proposals 계층 수준에서 [edit services ipsec-vpn ipsec policy policy-name] 하나 이상의 제안 이름을 지정합니다.

동적 엔드포인트에 대한 IPsec 정책은 터널의 원격 끝에 정적으로 할당된 IP 주소가 없는 동적 피어 보안 게이트웨이 간의 IPsec 협상 중에 사용되는 보안 매개 변수(IPsec 제안)의 조합을 정의합니다. IPsec 협상 중에 IPsec 정책은 두 피어에서 동일한 IPsec 제안을 찾습니다. 협상을 시작한 피어는 모든 정책을 원격 피어에 전송하고 원격 피어는 일치하는 항목을 찾으려고 시도합니다. 두 피어의 정책에 동일한 구성 속성이 포함된 제안이 있으면 일치가 이루어집니다. 수명이 동일하지 않으면 두 정책(호스트와 피어) 간의 더 짧은 수명이 사용됩니다.

정책이 설정되지 않은 경우 동적 피어가 제안한 모든 정책이 수락됩니다.

두 개의 제안(dynamic-1 및 dynamic-2)과 연관된 IPsec 정책 dynamic policy-1을 정의합니다.

참고:

현재 IPsec 제안 및 정책 구성에 대한 업데이트는 현재 IPsec SA에 적용되지 않습니다. 업데이트는 새 IPsec SA에 적용됩니다.

새 업데이트를 즉시 적용하려면 변경된 구성으로 다시 설정되도록 기존 IPsec 보안 연결을 지워야 합니다. 현재 IPsec 보안 연결을 지우는 방법에 대한 자세한 내용은 Junos OS 시스템 기본 및 서비스 명령 참조를 참조하십시오.