Cloud VPN admite los siguientes algoritmos de cifrado y parámetros de configuración para dispositivos VPN de intercambio de tráfico o servicios de VPN. Cloud VPN negocia de forma automática la conexión siempre que el lado del intercambio de tráfico use una configuración de algoritmo de cifrado de intercambio de claves por Internet (IKE) compatible.
Para obtener instrucciones de configuración, consulta Configura la puerta de enlace de VPN de intercambio de tráfico.
Cloud VPN opera en modo de túnel ESP de IPsec.
Los siguientes algoritmos de cifrado IKE son compatibles con la VPN clásica y la VPN con alta disponibilidad.
La compatibilidad con direcciones IPv6 para las interfaces de puerta de enlace de VPN con alta disponibilidad se encuentra en vista previa.
Orden de la propuesta
Cloud VPN puede actuar como iniciador o como respuesta a las solicitudes de IKE, según el origen del tráfico cuando se necesita una nueva asociación de seguridad.
Cuando Cloud VPN inicia una conexión de VPN, Cloud VPN propone los algoritmos de cifrado configurados en el túnel VPN de Cloud VPN. Si no configuraste los algoritmos de cifrado, el túnel de Cloud VPN propone los algoritmos de cifrado en el orden que se muestra en las tablas de cifrado compatibles para cada rol de cifrado. El lado del intercambio de tráfico que recibe la propuesta selecciona un algoritmo.
Si el lado del intercambio de tráfico inicia la conexión, Cloud VPN selecciona un algoritmo de cifrado de la propuesta con el mismo orden que se configuró o que se muestra en la tabla para cada rol de cifrado.
Según el lado con el que inicie o que haya iniciado la respuesta, el algoritmo de cifrado seleccionado puede ser diferente. Por ejemplo, el algoritmo de cifrado seleccionado puede cambiar con el tiempo a medida que se crean asociaciones de seguridad (SA) nuevas durante la rotación de claves. Debido a que un cambio en la selección de cifrado puede afectar las características importantes del túnel, como el rendimiento o la MTU, usa una selección de cifrado estable. Para obtener más información sobre la MTU, consulta Consideraciones de la MTU.
Para evitar cambios frecuentes en la selección de algoritmos de cifrado, configura la puerta de enlace de VPN de intercambio de tráfico y el túnel VPN de Cloud VPN para proponer y aceptar solo un algoritmo de cifrado en cada rol de algoritmo de cifrado. Este algoritmo de cifrado debe ser compatible con Cloud VPN y tu puerta de enlace de VPN de intercambio de tráfico. No proporciones una lista de algoritmos de cifrado para cada rol de cifrado. Esta práctica recomendada garantiza que ambos lados de tu túnel de Cloud VPN siempre seleccionen el mismo cifrado de IKE durante la negociación de IKE.
Cloud Location Finder te ayuda a identificar las regiones y zonas de Google Cloud más cercanas a tus ubicaciones físicas en todo el mundo. Con Cloud Location Finder, puedes tomar decisiones fundamentadas sobre en qué región de Google Cloud implementar tus puertas de enlace de Cloud VPN, lo que podría optimizar la latencia, la ubicación geográfica y el uso de energía de carbono. Para obtener más información, consulta la documentación de Cloud Location Finder.
Para pares de túneles VPN con alta disponibilidad, configura ambos túneles VPN con alta disponibilidad en tu puerta de enlace de VPN de intercambio de tráfico para usar el mismo algoritmo de cifrado y los mismos valores de vida útil de la fase 2.
Fragmentación IKE
Cloud VPN es compatible con la fragmentación de IKE, como se describe en el protocolo de fragmentación IKEv2 (RFC 7383).
Para obtener mejores resultados, Google recomienda que habilites la fragmentación de IKE, si aún no está habilitada, en tu dispositivo VPN de intercambio de tráfico.
Si no tienes habilitada la fragmentación de IKE, los paquetes de IKE de Google Cloud al dispositivo VPN de intercambio de tráfico que sean más grandes que la MTU de la puerta de enlace se descartarán.
Algunos mensajes de IKE no se pueden fragmentar, incluidos los siguientes mensajes:
IKE_SA_INITIKE_SESSION_RESUME
Para obtener más información, consulta la sección Limitaciones en RFC 7383.
Tablas de algoritmo de cifrado compatibles
En las siguientes secciones, se enumeran los algoritmos de cifrado admitidos para Cloud VPN.
Algoritmos de cifrado IKEv2 que usan AEAD
Los siguientes cifrados usan encriptación autenticada con datos asociados (AEAD).
Fase 1
| Función del algoritmo de cifrado | Nombre del algoritmo de cifrado | Valor de configuración (distingue mayúsculas de minúsculas) |
Notas |
|---|---|---|---|
| Integridad y encriptación |
|
|
En esta lista el primer número es el tamaño del parámetro ICV en bytes (octetos), y el segundo es la longitud de la clave en bits. Algunos documentos pueden expresar el parámetro ICV (el primer número) en bits (8 se convierte en 64, 12 en 96, y 16 en 128). |
| Función seudoaleatoria (PRF) |
|
|
Muchos dispositivos no requieren una configuración PRF explícita. |
| Diffie-Hellman (DH) |
|
|
El algoritmo de cifrado modp_8192 no es compatible con las puertas de enlace de VPN con alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Vida útil de la fase 1 | 36,000 segundos (10 horas) | Cuando generas una plantilla de configuración para un dispositivo VPN de intercambio de tráfico, la plantilla puede usar vidas útiles más cortas, como 28,800 segundos, para la fase 1, lo que mejora la compatibilidad con la configuración predeterminada de la mayoría de los proveedores de VPN de terceros. Como práctica recomendada, no cambies los valores de la plantilla generada, a menos que tu proveedor externo recomiende explícitamente una configuración diferente. |
Fase 2
| Función del algoritmo de cifrado | Nombre del algoritmo de cifrado | Valor de configuración (distingue mayúsculas de minúsculas) |
Notas |
|---|---|---|---|
| Integridad y encriptación |
|
|
Ten en cuenta que el primer número de cada algoritmo es el tamaño del parámetro ICV en bytes (octetos) y el segundo es la longitud de la clave en bits. En algunos documentos podría expresarse el parámetro ICV (el primer número) en bits (8 se convierte en 64, 12 en 96, y 16 en 128). |
| Algoritmo PFS (requerido) |
|
|
El algoritmo de cifrado modp_8192 no es compatible con las puertas de enlace de VPN con alta disponibilidad
con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Consulta la fase 1. | Consulta la fase 1. | Si la puerta de enlace de VPN requiere una configuración de DH para la fase 2, usa la misma configuración que en la fase 1. |
| Vida útil de la fase 2 | 10,800 segundos (3 horas) | Cuando generas una plantilla de configuración para un dispositivo VPN de intercambio de tráfico, es posible que la plantilla use períodos más cortos, como 3,600 segundos para la fase 2, para una mejor compatibilidad con la configuración predeterminada de la mayoría de los proveedores de VPN de terceros. Como práctica recomendada, no cambies los valores de la plantilla generada, a menos que tu proveedor externo recomiende explícitamente una configuración diferente. |
Algoritmos de cifrado IKEv2 que no usan AEAD
Fase 1
| Función del algoritmo de cifrado | Nombre del algoritmo de cifrado | Valor de configuración (distingue mayúsculas de minúsculas) |
Notas |
|---|---|---|---|
| Encriptación |
|
|
|
| Integridad |
|
|
Es posible que en la documentación de la puerta de enlace de VPN local se use un nombre un poco diferente para el algoritmo. Por ejemplo, |
| Función seudoaleatoria (PRF) |
|
|
Muchos dispositivos no requieren una configuración PRF explícita. |
| Diffie-Hellman (DH) |
|
|
El algoritmo de cifrado modp_8192 no es compatible con las puertas de enlace de VPN con alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Vida útil de la fase 1 | 36,000 segundos (10 horas) |
Fase 2
| Función del algoritmo de cifrado | Nombre del algoritmo de cifrado | Valor de configuración (distingue mayúsculas de minúsculas) |
Notas |
|---|---|---|---|
| Encriptación |
|
|
|
| Integridad |
|
|
Es posible que en la documentación de la puerta de enlace de VPN local se use un nombre un poco diferente para el algoritmo. Por ejemplo, |
| Algoritmo PFS (requerido) |
|
|
El algoritmo de cifrado modp_8192 no es compatible con las puertas de enlace de VPN con alta disponibilidad
con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Consulta la fase 1. | Consulta la fase 1. | Si la puerta de enlace de VPN requiere una configuración de DH para la fase 2, usa la misma configuración que en la fase 1. |
| Vida útil de la fase 2 | 10,800 segundos (3 horas) |
Algoritmos de cifrado IKEv1
Fase 1
| Función del algoritmo de cifrado | Algoritmo de cifrado |
|---|---|
| Encriptación | AES-CBC-128 |
| Integridad | HMAC-SHA1-96 |
| Función seudoaleatoria (PRF)1 | PRF-SHA1-96 |
| Diffie-Hellman (DH) | modp_1024 (Grupo 2) |
| Vida útil de la fase 1 | 36,600 segundos (10 horas, 10 minutos) |
1Para obtener más información sobre la PRF en IKEv1, consulta el RFC 2409.
Fase 2
| Función del algoritmo de cifrado | Algoritmo de cifrado |
|---|---|
| Encriptación | AES-CBC-128 |
| Integridad | HMAC-SHA1-96 |
| Algoritmo PFS (obligatorio) | modp_1024 (Grupo 2) |
| Diffie-Hellman (DH) | Si necesitas especificar DH para la puerta de enlace de VPN, usa la misma configuración que en la fase 1. |
| Vida útil de la fase 2 | 10,800 segundos (3 horas) |
Tiempos de actividad de la SA de IKE y la SA de IPsec
Para establecer un túnel VPN encriptado, Cloud VPN y tu puerta de enlace de VPN de intercambio de tráfico negocian asociaciones de seguridad (SA) con períodos de duración definidos.
Las plantillas de configuración de dispositivos de VPN de intercambio de tráfico son archivos de configuración descargables disponibles en la consola de Google Cloud . Contienen comandos de configuración específicos del proveedor, como Cisco, Palo Alto Networks o Juniper, para simplificar la configuración de tu puerta de enlace de intercambio de tráfico.
Según el proveedor del dispositivo de intercambio de tráfico, las plantillas descargables pueden generar valores de ciclo de vida más cortos que los valores predeterminados de Cloud VPN para que coincidan con los estándares recomendados por el proveedor.
Usa la siguiente tabla para sincronizar la configuración de la duración. Asegúrate de que los valores de vida útil configurados en tu puerta de enlace de VPN de intercambio de tráfico coincidan exactamente con los valores de Cloud VPN para evitar que se interrumpan los túneles.
| Fase de asociación de seguridad (SA) | Google Cloud VPN predeterminada | Valor de la plantilla de configuración de la IU | Práctica recomendada |
|---|---|---|---|
| Vida útil de la fase 1 (IKE SA) | 36000 segundos (10 horas) |
28800 o 36000 segundos (según el proveedor) |
Asegúrate de que el valor de la puerta de enlace de intercambio de tráfico coincida exactamente con Cloud VPN. Consulta las Prácticas recomendadas para VPN para obtener más información. |
| Duración de la fase 2 (IPsec/SA secundaria) | 10800 segundos (3 horas) |
3600 o 10800 segundos (según el proveedor) |
Asegúrate de que el valor de la puerta de enlace de intercambio de tráfico coincida exactamente con el valor de Cloud VPN. Para obtener más información, consulta las Prácticas recomendadas para VPN. |
¿Qué sigue?
- Si quieres más información sobre los conceptos básicos de Cloud VPN, consulta Descripción general de Cloud VPN.
- Para ayudarte a resolver problemas comunes que podrías encontrar cuando uses Cloud VPN, consulta Solución de problemas.