IPsec/IKE 安全设置

Diffie-Hellman 组号定义 Internet 密钥交换 (IKE) 过程中所使用密钥的强度。

组号越高越安全，但需要更多时间来计算密钥。

默认情况下，所有组都处于选中状态。必须在本地网关设备上为每个 IKE 阶段配置至少一个选定组。

生命周期值通过一组用户数据包的加密/身份验证密钥来确定连接实例的持续时间（从成功协商到到期）。

阶段 1 的范围：900-28800 秒(默认值为 28800)。

阶段 2 的范围:900-3600 秒(默认值为 3600)。

阶段 2 的生命周期必须短于阶段 1 的生命周期。

连接将在其到期之前通过密钥通道重新协商，请参阅密钥更新等待时间。如果本地端和远程端的生命周期不一致，则生命周期较长的一侧将出现连接废弃的混乱情况。另请参见密钥更新时间和密钥更新模糊。

此连接的 IPsec 重播窗口大小。

默认值 -1 使用 strongswan.conf 文件中 charon.replay_window 配置的值。

仅当使用 Netlink 后端时才支持大于 32 的值。

值为 0 将禁用 IPsec 重播保护。

随机增加 marginbytes、marginpackets 和 margintime 以随机化密钥更新间隔的最大百分比（对于具有多个连接的主机很重要）。

密钥更新模糊值可以超过 100%。随机增加后，marginTYPE 的值不得超过 lifeTYPE，其中 TYPE 是字节、数据包或时间之一。

值 0% 表示禁用随机功能。仅在本地相关，远端无需对此达成协商。

失效对等检测 (DPD) 超时发生后采取的操作。

重新启动 - DPD 超时发生后重新启动会话。

清除 - DPD 超时发生后结束会话。

无 - DPD 超时发生后不采取任何操作。