הצפנות הנתמכות של IKE

שירות Cloud VPN תומך בצפנים ובפרמטרים הבאים להגדרת התקני VPN או שירותי VPN שכנים. מערכת Cloud VPN מנהלת משא ומתן אוטומטי על החיבור, כל עוד הצד השני משתמש בהגדרת הצפנה נתמכת של Internet Key Exchange‏ (IKE).

להוראות הגדרה, קראו את המאמר הגדרת שער ה-VPN של הצד השני.

‫Cloud VPN פועל במצב מנהור IPsec ESP.

ההצפנות הבאות של IKE נתמכות ב-VPN קלאסי וב-HA VPN.

תמיכה בכתובות IPv6 לממשקי שער HA VPN נמצאת בתצוגה מקדימה.

הזמנה של הצעה

‫Cloud VPN יכול לפעול כיוזם או כמשיב לבקשות IKE, בהתאם למקור התנועה כשנדרש שיוך אבטחה חדש.

כש-Cloud VPN יוזם חיבור דרך VPN, הוא מציע את אלגוריתמי ההצפנה שהוגדרו במנהרת VPN של Cloud VPN. אם לא הגדרתם את האלגוריתמים להצפנה, מנהרת Cloud VPN תציע את האלגוריתמים להצפנה לפי הסדר שמופיע בטבלאות של הצפנות נתמכות לכל תפקיד הצפנה. הצד המקביל שמקבל את ההצעה בוחר אלגוריתם.

אם הצד השכן יוזם את החיבור, Cloud VPN בוחר צופן מההצעה לפי אותו סדר שמוגדר או מוצג בטבלה לכל תפקיד של צופן.

יכול להיות שצופן ההצפנה שנבחר יהיה שונה, בהתאם לצד שיוזם את החיבור או לצד שמגיב. לדוגמה, יכול להיות שהצופן שנבחר ישתנה עם הזמן כשייווצרו שיוכים חדשים של אבטחה (SA) במהלך רוטציית המפתחות. שינוי בבחירת ההצפנה יכול להשפיע על מאפיינים חשובים של המנהרה, כמו הביצועים או MTU, ולכן מומלץ להשתמש בבחירת הצפנה יציבה. למידע נוסף על MTU, קראו את המאמר שיקולים בנושא MTU.

כדי למנוע שינויים תכופים בבחירת הצפנה, צריך להגדיר את שער ה-VPN של העמית ואת מנהרת VPN של Cloud כך שיציעו ויקבלו רק הצפנה אחת לכל תפקיד הצפנה. הצופן הזה צריך להיות נתמך גם על ידי Cloud VPN וגם על ידי שער ה-VPN של העמית. אל תספקו רשימה של צפנים לכל תפקיד של צופן. השיטה המומלצת הזו מבטיחה שבמהלך משא ומתן של IKE, שני הצדדים של מנהרת Cloud VPN תמיד יבחרו את אותו צופן IKE.

בעזרת Cloud Location Finder אתם יכולים לזהות את האזורים והתחומים של Google Cloud שהכי קרובים למיקומים הפיזיים שלכם ברחבי העולם. בעזרת Cloud Location Finder אתם יכולים לקבל החלטות מושכלות לגבי האזור שבו כדאי לפרוס את שערי ה-Cloud VPN, וכך לבצע אופטימיזציה של זמן האחזור, המיקום הגיאוגרפי והשימוש באנרגיה פחמנית. Google Cloud מידע נוסף מופיע במאמרי העזרה בנושא Cloud Location Finder.

במנהרות HA VPN, צריך להגדיר את שתי מנהרות ה-HA VPN בשער ה-VPN של העמית כך שישתמשו באותם ערכים של הצפנה ושל זמן החיים של IKE Phase 2.

פרגמנטציה של IKE

‫Cloud VPN תומך בפרגמנטציה של IKE, כפי שמתואר בפרוטוקול הפרגמנטציה של IKEv2‏ (RFC 7383).

כדי לקבל את התוצאות הטובות ביותר, Google ממליצה להפעיל פרגמנטציה של IKE במכשיר ה-VPN שכנגד, אם היא עדיין לא מופעלת.

אם לא הפעלתם פיצול של IKE, מנות IKE מ- Google Cloud למכשיר ה-VPN של העמית שגדולות מה-MTU של השער יימחקו.

אי אפשר לפצל חלק מהודעות IKE, כולל ההודעות הבאות:

  • IKE_SA_INIT
  • IKE_SESSION_RESUME

מידע נוסף זמין בקטע Limitations ב-RFC 7383.

טבלאות הצפנה נתמכות

בקטעים הבאים מפורטים הצפנים שנתמכים ב-Cloud VPN.

צפנים של IKEv2 שמשתמשים ב-AEAD

הצפנים הבאים משתמשים בהצפנה מאומתת עם מידע נלווה (AEAD).

שלב 1

תפקיד הצופן שם ההצפנה ערך ההגדרה
(תלוי אותיות רישיות)		 הערות
הצפנה ותקינות
  • AES-GCM-16-128
  • AES-GCM-16-192
  • AES-GCM-16-256
  • AES-GCM-16-128
  • AES-GCM-16-192
  • AES-GCM-16-256

ברשימה הזו, המספר הראשון הוא הגודל של פרמטר ה-ICV בבייטים (אוקטטים), והמספר השני הוא אורך המפתח בביטים.

במסמכים מסוימים, פרמטר ה-ICV (המספר הראשון) מצוין בביטים (8 הופך ל-64, ‏ 12 הופך ל-96 ו-16 הופך ל-128).
פונקציה אקראית לכאורה (PRF)
  • PRF-AES128-XCBC
  • PRF-AES128-CMAC
  • PRF-HMAC-SHA1
  • PRF-HMAC-MD5
  • PRF-HMAC-SHA2-256
  • PRF-HMAC-SHA2-384
  • PRF-HMAC-SHA2-512
  • PRF-AES128-XCBC
  • PRF-AES128-CMAC
  • PRF-HMAC-SHA1
  • PRF-HMAC-MD5
  • PRF-HMAC-SHA2-256
  • PRF-HMAC-SHA2-384
  • PRF-HMAC-SHA2-512
 בהרבה מכשירים לא צריך להגדיר PRF באופן מפורש.
‫Diffie-Hellman ‏ (DH)
  • modp_2048 (קבוצה 14)
  • modp_2048_224 (modp_2048s224)
  • modp_2048_256 (modp_2048s256)
  • modp_1536 (קבוצה 5)
  • modp_3072 (קבוצה 15)
  • modp_4096 (Group 16)
  • modp_8192 (קבוצה 18)
  • modp_1024 (Group 2)
  • modp_1024_160 (modp_1024s160)
  • ecp_256 (קבוצה 19)
  • ecp_384 (קבוצה 20)
  • ecp_521 (קבוצה 21)
  • curve_25519 (קבוצה 31)
  • Group-14
  • modp-2048-224
  • modp-2048-256
  • Group-5
  • Group-15
  • Group-16
  • Group-18
  • Group-2
  • modp-1024-160
  • Group-19
  • Group-20
  • Group-21
  • Group-31
 הצופן modp_8192 לא נתמך בשערי HA VPN עם ממשקי IPv6 ‏ (gatewayIpVersion=IPv6).
משך החיים של שלב 1 ‫36,000 שניות (10 שעות) כשיוצרים תבנית הגדרה למכשיר VPN שכבר, יכול להיות שהתבנית תשתמש בתוחלת חיים קצרה יותר, כמו 28,800 שניות, לשלב 1, כדי לשפר את התאימות להגדרות ברירת המחדל של רוב ספקי ה-VPN של צד שלישי. מומלץ לא לשנות את ערכי התבנית שנוצרו, אלא אם ספק חיצוני ממליץ במפורש על הגדרה אחרת.

שלב 2

תפקיד הצפנה שם ההצפנה ערך ההגדרה
(תלוי אותיות רישיות)		 הערות
הצפנה ותקינות
  • AES-GCM-16-128
  • AES-GCM-16-256
  • AES-GCM-16-192
  • AES-GCM-16-128
  • AES-GCM-16-256
  • AES-GCM-16-192

המספר הראשון בכל אלגוריתם הוא הגודל של הפרמטר ICV בבייטים (אוקטטים), והמספר השני הוא אורך המפתח בביטים. בחלק מהמסמכים, הפרמטר ICV (המספר הראשון) עשוי להיות מיוצג בביטים (8 הופך ל-64, 12 הופך ל-96, 16 הופך ל-128).
אלגוריתם PFS (חובה)
  • modp_2048 (Group 14)
  • modp_2048_224 (modp_2048s224)
  • modp_2048_256 (modp_2048s256)
  • modp_1536 (קבוצה 5)
  • modp_3072 (קבוצה 15)
  • modp_4096 (Group 16)
  • modp_8192 (קבוצה 18)
  • modp_1024 (Group 2)
  • modp_1024_160 (modp_1024s160)
  • ecp_256 (קבוצה 19)
  • ecp_384 (קבוצה 20)
  • ecp_521 (קבוצה 21)
  • curve_25519 (קבוצה 31)
  • Group-14
  • modp-2048-224
  • modp-2048-256
  • Group-5
  • Group-15
  • Group-16
  • Group-18
  • Group-2
  • modp-1024-160
  • Group-19
  • Group-20
  • Group-21
  • Group-31
 הצופן modp_8192 לא נתמך בשערי HA VPN עם ממשקי IPv6 ‏ (gatewayIpVersion=IPv6).
Diffie-Hellman (DH) עיינו בשלב 1. פרטים נוספים מופיעים בקטע 'שלב 1'. אם שער ה-VPN דורש הגדרות DH לשלב 2, צריך להשתמש באותן הגדרות שבהן השתמשתם בשלב 1.
שלב 2: משך החיים ‫10,800 שניות (3 שעות) כשיוצרים תבנית הגדרה למכשיר VPN שכבר, יכול להיות שהתבנית תשתמש בתוחלת חיים קצרה יותר, כמו 3,600 שניות לשלב 2, כדי לשפר את התאימות להגדרות ברירת המחדל של רוב ספקי ה-VPN של צד שלישי. מומלץ לא לשנות את הערכים שנוצרו בתבנית, אלא אם הספק החיצוני ממליץ במפורש על הגדרה אחרת.

צפנים של IKEv2 שלא משתמשים ב-AEAD

שלב 1

תפקיד הצופן שם ההצפנה ערך ההגדרה
(תלוי אותיות רישיות)		 הערות
הצפנה
  • AES-CBC-128
  • AES-CBC-192
  • AES-CBC-256
  • 3DES-CBC
  • AES-CBC-128
  • AES-CBC-192
  • AES-CBC-256
  • 3DES-CBC
יושרה
  • AES-XCBC-96
  • AES-CMAC-96
  • HMAC-SHA1-96
  • HMAC-MD5-96
  • HMAC-SHA2-256-128
  • HMAC-SHA2-384-192
  • HMAC-SHA2-512-256
  • AES-XCBC-96
  • AES-CMAC-96
  • HMAC-SHA1-96
  • HMAC-MD5-96
  • HMAC-SHA2-256-128
  • HMAC-SHA2-384-192
  • HMAC-SHA2-512-256

יכול להיות שבמסמכי התיעוד של שער ה-VPN המקומי שלכם נעשה שימוש בשם שונה מעט לאלגוריתם. לדוגמה, יכול להיות ש-HMAC-SHA2-512-256 יופיע כ-SHA2-512 או כ-SHA-512, בלי מספר האורך של הקיטום ומידע מיותר אחר.
פונקציה פסאודו-אקראית (PRF)
  • PRF-AES-128-XCBC
  • PRF-AES-128-CMAC
  • PRF-HMAC-SHA1
  • PRF-HMAC-MD5
  • PRF-HMAC-SHA2-256
  • PRF-HMAC-SHA2-384
  • PRF-HMAC-SHA2-512
  • PRF-AES128-XCBC
  • PRF-AES128-CMAC
  • PRF-HMAC-SHA1
  • PRF-HMAC-MD5
  • PRF-HMAC-SHA2-256
  • PRF-HMAC-SHA2-384
  • PRF-HMAC-SHA2-512
 בהרבה מכשירים לא צריך להגדיר PRF באופן מפורש.
‫Diffie-Hellman ‏ (DH)
  • modp_2048 (קבוצה 14)
  • modp_2048_224 (modp_2048s224)
  • modp_2048_256 (modp_2048s256)
  • modp_1536 (קבוצה 5)
  • modp_3072 (קבוצה 15)
  • modp_4096 (Group 16)
  • modp_8192 (קבוצה 18)
  • modp_1024 (Group 2)
  • modp_1024_160 (modp_1024s160)
  • ecp_256 (קבוצה 19)
  • ecp_384 (קבוצה 20)
  • ecp_521 (קבוצה 21)
  • curve_25519 (קבוצה 31)
  • Group-14
  • modp-2048-224
  • modp-2048-256
  • Group-5
  • Group-15
  • Group-16
  • Group-18
  • Group-2
  • modp-1024-160
  • Group-19
  • Group-20
  • Group-21
  • Group-31
 הצופן modp_8192 לא נתמך בשערי HA VPN עם ממשקי IPv6 ‏ (gatewayIpVersion=IPv6).
משך החיים של שלב 1 ‫36,000 שניות (10 שעות)

שלב 2

תפקיד הצפנה שם ההצפנה ערך ההגדרה
(תלוי אותיות רישיות)		 הערות
הצפנה
  • AES-CBC-128
  • AES-CBC-256
  • AES-CBC-192
  • AES-CBC-128
  • AES-CBC-256
  • AES-CBC-192
יושרה
  • HMAC-SHA2-256-128
  • HMAC-SHA2-512-256
  • HMAC-SHA1-96
  • HMAC-SHA2-256-128
  • HMAC-SHA2-512-256
  • HMAC-SHA1-96

יכול להיות שבמסמכי התיעוד של שער ה-VPN המקומי שלכם נעשה שימוש בשם שונה מעט לאלגוריתם. לדוגמה, יכול להיות ש-HMAC-SHA2-512-256 יופיע בתור SHA2-512 או SHA-512, בלי מספר אורך החיתוך ומידע מיותר אחר.
אלגוריתם PFS (חובה)
  • modp_2048 (Group 14)
  • modp_2048_224 (modp_2048s224)
  • modp_2048_256 (modp_2048s256)
  • modp_1536 (קבוצה 5)
  • modp_3072 (קבוצה 15)
  • modp_4096 (Group 16)
  • modp_8192 (קבוצה 18)
  • modp_1024 (Group 2)
  • modp_1024_160 (modp_1024s160)
  • ecp_256 (קבוצה 19)
  • ecp_384 (קבוצה 20)
  • ecp_521 (קבוצה 21)
  • curve_25519 (קבוצה 31)
  • Group-14
  • modp-2048-224
  • modp-2048-256
  • Group-5
  • Group-15
  • Group-16
  • Group-18
  • Group-2
  • modp-1024-160
  • Group-19
  • Group-20
  • Group-21
  • Group-31
 הצופן modp_8192 לא נתמך בשערי HA VPN עם ממשקי IPv6 ‏ (gatewayIpVersion=IPv6).
Diffie-Hellman (DH) עיינו בשלב 1. פרטים נוספים מופיעים בקטע 'שלב 1'. אם שער ה-VPN דורש הגדרות DH לשלב 2, צריך להשתמש באותן הגדרות שבהן השתמשתם לשלב 1.
משך החיים של שלב 2 ‫10,800 שניות (3 שעות)

צפנים של IKEv1

שלב 1

תפקיד הצפנה צופן
הצפנה AES-CBC-128
יושרה HMAC-SHA1-96
פונקציה אקראית לכאורה (PRF)1 PRF-SHA1-96
Diffie-Hellman (DH) modp_1024 (קבוצה 2)
משך החיים של שלב 1 ‫36,600 שניות (10 שעות ו-10 דקות)

1מידע נוסף על PRF ב-IKEv1 זמין ב-RFC 2409.

שלב 2

תפקיד הצפנה צופן
הצפנה AES-CBC-128
יושרה HMAC-SHA1-96
אלגוריתם PFS (חובה) modp_1024 (Group 2)
‫Diffie-Hellman ‏ (DH) אם אתם צריכים לציין DH לשער ה-VPN, תשתמשו באותה הגדרה שבה השתמשתם בשלב 1.
שלב 2: משך החיים ‫10,800 שניות (3 שעות)

משך החיים של IKE SA ו-IPsec SA

כדי ליצור מנהרת VPN מוצפנת, Cloud VPN ושער ה-VPN השכן מנהלים משא ומתן על שיוכי אבטחה (SA) עם משך חיים מוגדר.

  • תבניות להגדרת התקן VPN שכונה הן קובצי תצורה שניתנים להורדה וזמינים במסוף Google Cloud . הם מכילים פקודות הגדרה ספציפיות לספק, כמו Cisco,‏ Palo Alto Networks או Juniper, כדי לפשט את ההגדרה של שער העמיתים.

  • בהתאם לספק של המכשיר המקביל, יכול להיות שהתבניות שניתנות להורדה ייצרו ערכי משך חיים קצרים יותר מאלה שמוגדרים כברירת מחדל ב-Cloud VPN, כדי להתאים לסטנדרטים המומלצים של הספק.

אתם יכולים להיעזר בטבלה הבאה כדי לסנכרן את ההגדרות של משך החיים. כדי למנוע ניתוקים של המנהרה, חשוב לוודא שערכי משך החיים שהוגדרו בשער ה-VPN השכן תואמים בדיוק לערכים של Cloud VPN.

שלב Security Association (SA) Google Cloud ברירת המחדל של ה-VPN ערך תבנית ההגדרה של ממשק המשתמש שיטה מומלצת
משך החיים של שלב 1 (IKE SA) ‫36000 שניות (10 שעות) ‫28800 או 36000 שניות (בהתאם לספק) חשוב לוודא שהערך של השער השכן תואם בדיוק ל-Cloud VPN. לפרטים נוספים, קראו את המאמר שיטות מומלצות ל-VPN.
משך החיים של שלב 2 (IPsec/Child SA) ‫10800 שניות (3 שעות) ‫3600 או 10800 שניות (בהתאם לספק) מוודאים שהערך של שער ה-VPN השכן זהה בדיוק לערך של Cloud VPN. למידע נוסף, קראו את השיטות המומלצות ל-VPN.

המאמרים הבאים