authentication-algorithm

Tenga en cuenta los siguientes puntos cuando configure el algoritmo de autenticación en una propuesta de IPsec:

• Cuando ambos extremos de un túnel VPN de IPsec contienen la misma propuesta de IKE pero diferentes propuestas de IPsec, se produce un error y el túnel no se establece en este escenario. Por ejemplo, si un extremo del túnel contiene el enrutador 1 configurado con el algoritmo de autenticación como hmac-sha- 256-128 y el otro extremo del túnel contiene el enrutador 2 configurado con el algoritmo de autenticación como hmac-md5-96, el túnel VPN no se establece.

• Cuando ambos extremos de un túnel VPN IPsec contienen la misma propuesta de ICR pero diferentes propuestas de IPsec y cuando un extremo del túnel contiene dos propuestas de IPsec para comprobar si está seleccionado o no un algoritmo menos seguro, se produce un error y no se establece el túnel. Por ejemplo, si configura dos algoritmos de autenticación para una propuesta IPsec como hmac-sha-256-128 y hmac-md5-96 en un extremo del túnel, el enrutador 1, y si configura el algoritmo para una propuesta de IPsec como hmac-md5-96 en el otro extremo del túnel, enrutador 2, el túnel no está establecido y el número de propuestas no coincide.

• Cuando se configuran dos propuestas de IPsec en ambos extremos de un túnel, como las authentication-algorithm hmac-sha-256-128 instrucciones y authentication- algorithm hmac-md5-96 en el [edit services ipsec-vpn ipsec proposal proposal-name] nivel jerárquico en uno de los túneles, el enrutador 1 (con los algoritmos en dos instrucciones sucesivas para especificar el orden) y las authentication-algorithm hmac-md5-96 instrucciones y authentication- algorithm hmac-sha-256-128 en el [edit services ipsec-vpn ipsec proposal proposal-name] nivel jerárquico en uno de los túneles, enrutador 2 (con los algoritmos en dos instrucciones sucesivas para especificar el orden, que es el orden inverso del enrutador 1), el túnel se establece en esta combinación como se esperaba porque el número de propuestas es el mismo en ambos extremos y contienen el mismo conjunto de algoritmos. Sin embargo, el algoritmo de autenticación seleccionado es hmac-md5-96 y no el algoritmo más fuerte de hmac-sha-256-128. Este método de selección del algoritmo se produce porque se selecciona la primera propuesta coincidente. Además, para una propuesta predeterminada, independientemente de si el enrutador admite el algoritmo de cifrado de estándar de cifrado avanzado (AES), se elige el algoritmo 3des-cbc y no el algoritmo aes-cfb, que se debe al primer algoritmo de la propuesta predeterminada seleccionado. En el caso de ejemplo descrito aquí, en el enrutador 2, si invierte el orden de la configuración del algoritmo en la propuesta para que sea el mismo orden que el especificado en el enrutador 1, hmac-sha-256-128 se selecciona como método de autenticación.

• Debe tener en cuenta el orden de las propuestas de una política de IPsec en el momento de la configuración, si desea que la coincidencia de propuestas se produzca en un determinado orden de preferencia, como el algoritmo más fuerte que se debe considerar primero cuando se hace una coincidencia cuando ambas políticas de los dos pares tienen una propuesta.