IPsec/IKE-beveiligingsinstellingen

Met Diffie-Hellman-groepsnummers wordt de sterkte bepaald van de sleutel die wordt gebruikt in het Internet Key Exchange-proces (IKE).

Hogere groepsnummers zijn veiliger, maar de berekening van de sleutel duurt langer.

Standaard zijn alle groepen geselecteerd. U moet ten minste één van de geselecteerde groepen op uw lokale gatewayapparaat configureren voor elke IKE-fase.

De levensduur bepaalt de duur van een verbindingssessie met een set versleutelings-/verificatiesleutels voor gebruikerspakketten, vanaf de succesvolle onderhandeling tot het verstrijken ervan.

Bereik voor fase 1: 900-28800 seconden (standaard 28800).

Bereik voor fase 2: 900-3600 seconden (standaard 3600).

De levensduur voor fase 2 moet korter zijn dan de levensduur voor fase 1.

De verbinding wordt opnieuw tot stand gebracht via het sleutelkanaal voordat deze verloopt (zie Margetijd voor opnieuw versleutelen. Als de lokale en externe kant het niet eens zijn over de levensduur, ontstaat er een warboel van achterhaalde verbindingen aan de kant met de langste levensduur. Zie ook Margetijd voor opnieuw versleutelen en Fuzz voor opnieuw versleutelen.

De grootte van het IPsec-venster voor opnieuw afspelen voor deze verbinding.

De standaardwaarde -1 gebruikt de waarde die is geconfigureerd met charon.replay_window in het bestand strongswan.conf.

Waarden groter dan 32 worden alleen ondersteund bij gebruik van de Netlink-backend.

Met een waarde van 0 wordt de bescherming voor IPsec opnieuw afspelen uitgeschakeld.

Het maximale percentage waarmee margebytes, margepakketten en margetijd willekeurig worden verhoogd om de intervallen voor opnieuw versleutelen te randomiseren (belangrijk voor hosts met veel verbindingen).

De waarde van de fuzz voor opnieuw versleutelen kan meer zijn dan 100%. De waarde van marginTYPE, na de willekeurige verhoging, mag niet groter zijn dan lifeTYPE, waarbij TYPE bytes, pakketten of tijd kan zijn.

Met de waarde 0% wordt randomiseren uitgeschakeld. Alleen lokaal relevant, de externe kant hoeft er niet mee in te stemmen.

De actie die moet worden ondernomen nadat een time-out voor DPD (Dead Peer Detection) is opgetreden.

Opnieuw starten: Start de sessie opnieuw op wanneer er een time-out voor DPD optreedt.

Wissen: Beëindig de sessie wanneer er een time-out voor DPD optreedt.

Geen: Onderneem geen actie wanneer er een time-out voor DPD optreedt.