La VPN air-gapped di Google Distributed Cloud (GDC) supporta le seguenti crittografie e i seguenti parametri di configurazione per i gateway VPN peer.
Ordine di proposta
Quando è necessaria una nuova associazione di sicurezza (SA), la VPN GDC può fungere da iniziatore o risponditore alle richieste IKE a seconda dell'origine del traffico.
Quando la VPN GDC avvia una connessione VPN, propone gli algoritmi nell'ordine mostrato nelle tabelle delle crittografie supportate per ogni ruolo di crittografia. Il gateway VPN peer che riceve la proposta seleziona un algoritmo.
Se il gateway VPN peer avvia la connessione, la VPN GDC seleziona una crittografia dalla proposta utilizzando lo stesso ordine mostrato nella tabella per ogni ruolo di crittografia.
A seconda del lato che funge da iniziatore o risponditore, la crittografia selezionata può essere diversa. Ad esempio, la crittografia selezionata potrebbe persino cambiare nel tempo man mano che vengono create nuove associazioni di sicurezza (SA) durante rotazione della chiave.
Per evitare modifiche frequenti nella selezione della crittografia, configura il gateway VPN peer in modo che proponga e accetti una sola crittografia per ogni ruolo di crittografia. Questo cifrario deve essere supportato sia dalla VPN GDC con air gap sia dal gateway VPN peer. Non fornire un elenco di crittografie per ogni ruolo di crittografia. Questa best practice garantisce che entrambi i lati del tunnel VPN di GDC con air gap selezionino sempre la stessa crittografia IKE durante la negoziazione IKE.
Frammentazione IKE
La VPN GDC supporta la frammentazione IKE come descritto dal protocollo di frammentazione IKEv2: https://www.rfc-editor.org/rfc/rfc7383.
Per risultati ottimali, Google consiglia di abilitare la frammentazione IKE, se non è già abilitata, sul gateway VPN peer.
Se la frammentazione IKE non è abilitata, i pacchetti IKE da GDC al gateway VPN peer di dimensioni superiori all'MTU del gateway vengono eliminati.
Alcuni messaggi IKE non possono essere frammentati, inclusi i seguenti:
IKE_SA_INITIKE_SESSION_RESUME
Per ulteriori informazioni, consulta la sezione Limitazioni all'indirizzo https://www.rfc-editor.org/rfc/rfc7383.
Tabelle delle crittografie supportate
Queste tabelle delle crittografie supportate forniscono le regole per la sostituzione di caratteri o gruppi di caratteri durante i processi di crittografia e decrittografia:
Fase 1
| Ruolo della crittografia | Crittografia | Note |
|---|---|---|
| Crittografia e integrità |
|
In questo elenco, il primo numero è la dimensione del parametro ICV in byte (ottetti) e il secondo è la lunghezza della chiave in bit. Alcune documentazioni potrebbero esprimere il parametro ICV (il primo numero) in bit (8 diventa 64, 12 diventa 96 e 16 diventa 128). |
| Funzione pseudocasuale (PRF) |
|
Molti dispositivi non richiedono un'impostazione PRF esplicita. |
| Diffie-Hellman (DH) |
|
|
| Durata della fase 1 | 36.000 secondi (10 ore) |
Fase 2
| Ruolo della crittografia | Crittografia | Note |
|---|---|---|
| Crittografia e integrità |
|
In questo elenco, il primo numero è la dimensione del parametro ICV in byte (ottetti) e il secondo è la lunghezza della chiave in bit. Alcune documentazioni potrebbero esprimere il parametro ICV (il primo numero) in bit (8 diventa 64, 12 diventa 96 e 16 diventa 128). |
| Funzione pseudocasuale (PRF) |
|
Molti dispositivi non richiedono un'impostazione PRF esplicita. |
| Diffie-Hellman (DH) |
|
|
| Durata della fase 2 | 10.800 secondi (3 ore) |
Configurare IKE
Puoi configurare IKE sul gateway VPN peer per il routing dinamico, basato su route e basato su policy.
I tunnel VPN GDC devono utilizzare IKE v2 per supportare il traffico IPv6.
Per configurare il gateway VPN peer e il tunnel per IKE, utilizza i parametri nella tabella seguente:
Per IKEv1 e IKEv2
| Impostazione | Valore |
|---|---|
| Modalità IPsec | Modalità tunnel ESP+Auth (site-to-site) |
| Protocollo di autenticazione | psk |
| Secret condiviso | Noto anche come chiave precondivisa IKE. Scegli una password efficace seguendo queste linee guida. La chiave precondivisa è sensibile perché consente l'accesso alla rete. |
| Inizia | auto (se il dispositivo peer si interrompe, deve riavviare automaticamente la
connessione) |
| PFS (Perfect Forward Secrecy) | on |
| DPD (Dead Peer Detection) | Consigliato: Aggressive. DPD rileva quando la VPN
viene riavviata e utilizza tunnel alternativi per instradare il traffico. |
| INITIAL_CONTACT (a volte chiamato uniqueids) |
Consigliato: on (a volte chiamato restart).
Scopo: rilevare i riavvii più velocemente in modo da ridurre i tempi di inattività percepiti. |
| TSi (selettore di traffico - iniziatore) | Reti subnet: gli intervalli specificati dal
Reti precedenti: l'intervallo della rete. |
| TSr (selettore di traffico - risponditore) | IKEv2: gli intervalli di destinazione di tutte le route per cui
IKEv1: arbitrariamente, l'intervallo di destinazione di una delle route per cui
|
| MTU | L'unità massima di trasmissione (MTU) del dispositivo VPN peer non deve superare i 1460 byte. Abilita la pre-frammentazione sul dispositivo in modo che i pacchetti vengano prima frammentati e poi incapsulati. |
Parametri aggiuntivi solo per IKEv1
| Impostazione | Valore |
|---|---|
| IKE/ISAKMP | aes128-sha1-modp1024 |
| ESP | aes128-sha1 |
| Algoritmo PFS | Gruppo 2 (MODP_1024) |