authentication-algorithm

Tenga en cuenta los siguientes puntos cuando configure el algoritmo de autenticación en una propuesta IPsec:

• Cuando ambos extremos de un túnel VPN IPsec contienen la misma propuesta de IKE pero diferentes propuestas IPsec, se produce un error y el túnel no se establece en este escenario. Por ejemplo, si un extremo del túnel contiene el enrutador 1 configurado con el algoritmo de autenticación como hmac-sha- 256-128 y el otro extremo del túnel contiene el enrutador 2 configurado con el algoritmo de autenticación como hmac-md5-96, el túnel VPN no se establece.

• Cuando ambos extremos de un túnel VPN IPsec contienen la misma propuesta de IKE pero diferentes propuestas IPsec, y cuando un extremo del túnel contiene dos propuestas IPsec para comprobar si se ha seleccionado o no un algoritmo menos seguro, se produce un error y el túnel no se establece. Por ejemplo, si configura dos algoritmos de autenticación para una propuesta IPsec como hmac-sha-256-128 y hmac-md5-96 en un extremo del túnel, enrutador 1, y si configura el algoritmo para una propuesta IPsec como hmac-md5-96 en el otro extremo del túnel, enrutador 2, el túnel no se establece y el número de propuestas no coincide.

• Cuando se configuran dos propuestas IPsec en ambos extremos de un túnel, como las authentication-algorithm hmac-sha-256-128 instrucciones y authentication- algorithm hmac-md5-96 en el [edit services ipsec-vpn ipsec proposal proposal-name] nivel de jerarquía de uno de los túneles, el enrutador 1 (con los algoritmos de dos instrucciones sucesivas para especificar el orden) y las authentication-algorithm hmac-md5-96 instrucciones y authentication- algorithm hmac-sha-256-128 en el [edit services ipsec-vpn ipsec proposal proposal-name] nivel de jerarquía de uno de los túneles, enrutador 2 (con los algoritmos en dos instrucciones sucesivas para especificar el orden, que es el orden inverso del enrutador 1), el túnel se establece en esta combinación como se esperaba porque el número de propuestas es el mismo en ambos extremos y contienen el mismo conjunto de algoritmos. Sin embargo, el algoritmo de autenticación seleccionado es hmac-md5-96 y no el algoritmo más fuerte de hmac-sha-256-128. Este método de selección del algoritmo se produce porque se selecciona la primera propuesta coincidente. Además, para una propuesta predeterminada, independientemente de si el enrutador admite el algoritmo de cifrado del Estándar de cifrado avanzado (AES), se elige el algoritmo 3des-cbc y no el algoritmo aes-cfb, que se debe a que se selecciona el primer algoritmo de la propuesta predeterminada. En el escenario de ejemplo descrito aquí, en el enrutador 2, si invierte el orden de la configuración del algoritmo en la propuesta para que sea el mismo orden que el especificado en el enrutador 1, se selecciona hmac-sha-256-128 como método de autenticación.

• Debe conocer el orden de las propuestas en una directiva IPsec en el momento de la configuración si desea que la coincidencia de las propuestas se realice en un determinado orden de preferencia, como el algoritmo más fuerte que se considerará primero cuando se realiza una coincidencia cuando ambas directivas de los dos pares tienen una propuesta.