이 문서에서는 지원되는 IPsec 정책 조합을 보여 줍니다.
기본 IPsec 정책
메모
기본 정책을 사용할 때 Azure는 IPsec 터널을 설정하는 동안 초기자 및 응답자 역할을 할 수 있습니다. Virtual WAN VPN은 많은 알고리즘 조합을 지원하지만 최적의 성능을 위해 IPSEC 암호화 및 무결성 모두에 GCMAES256 것이 좋습니다. AES256 및 SHA256은 성능이 낮은 것으로 간주되므로 유사한 알고리즘 형식에 대해 대기 시간 및 패킷 삭제와 같은 성능 저하가 예상될 수 있습니다. Virtual WAN에 대한 자세한 내용은 Azure Virtual WAN FAQ를 참조하세요.
Initiator
다음 섹션에서는 Azure가 터널의 초기자인 경우 지원되는 정책 조합을 나열합니다.
1단계
- AES_256, SHA1, DH_GROUP_2
- AES_256, SHA_256, DH_GROUP_2
- AES_128, SHA1, DH_GROUP_2
- AES_128, SHA_256, DH_GROUP_2
2단계
- GCM_AES_256, GCM_AES_256, PFS_NONE
- AES_256, SHA_1, PFS_NONE
- AES_256, SHA_256, PFS_NONE
- AES_128, SHA_1, PFS_NONE
응답자
다음 섹션에서는 Azure가 터널의 응답자인 경우 지원되는 정책 조합을 나열합니다.
1단계
- AES_256, SHA1, DH_GROUP_2
- AES_256, SHA_256, DH_GROUP_2
- AES_128, SHA1, DH_GROUP_2
- AES_128, SHA_256, DH_GROUP_2
2단계
- GCM_AES_256, GCM_AES_256, PFS_NONE
- AES_256, SHA_1, PFS_NONE
- AES_256, SHA_256, PFS_NONE
- AES_128, SHA_1, PFS_NONE
- AES_256, SHA_1, PFS_1
- AES_256, SHA_1, PFS_2
- AES_256, SHA_1, PFS_14
- AES_128, SHA_1, PFS_1
- AES_128, SHA_1, PFS_2
- AES_128, SHA_1, PFS_14
- AES_256, SHA_256, PFS_1
- AES_256, SHA_256, PFS_2
- AES_256, SHA_256, PFS_14
- AES_256, SHA_1, PFS_24
- AES_256, SHA_256, PFS_24
- AES_128, SHA_256, PFS_NONE
- AES_128, SHA_256, PFS_1
- AES_128, SHA_256, PFS_2
- AES_128, SHA_256, PFS_14
SA 수명 값
이러한 수명 시간 값은 개시자와 응답자 모두에 적용됩니다.
- SA 수명(초): 3600초
- SA 수명(바이트): 102,400,000KB
사용자 지정 IPsec 정책
사용자 지정 IPsec 정책을 사용할 때는 다음 요구 사항을 염두에 두어야 합니다.
- IKE - IKE의 경우 IKE 암호화의 매개 변수와 IKE 무결성의 매개 변수 및 DH 그룹의 매개 변수를 선택할 수 있습니다.
- IPsec - IPsec의 경우 IPsec 암호화에서 매개 변수와 IPsec 무결성의 매개 변수 및 PFS를 선택할 수 있습니다. IPsec 암호화 또는 IPsec 무결성에 대한 매개 변수가 GCM인 경우 두 설정에 대한 매개 변수는 GCM이어야 합니다.
기본 사용자 지정 정책에는 이전 버전과의 호환성을 위해 SHA1, DHGroup2 및 3DES가 포함됩니다. 이러한 알고리즘은 사용자 지정 정책을 만들 때 지원되지 않는 약한 알고리즘입니다. 다음 알고리즘만 사용하는 것이 좋습니다.
사용 가능한 설정 및 매개 변수
| 설정 | 매개 변수 |
|---|---|
| IKE 암호화 | GCMAES256, GCMAES128, AES256, AES128 |
| IKE 무결성 | SHA384, SHA256 |
| DH 그룹 | ECP384, ECP256, DHGroup24, DHGroup14 |
| IPsec 암호화 | GCMAES256, GCMAES128, AES256, AES128, 없음 |
| IPsec 무결성 | GCMAES256, GCMAES128, SHA256 |
| PFS 그룹 | ECP384, ECP256, PFS24, PFS14, 없음 |
| SA 수명 | 정수; 최소 300/기본값 3600초 |
다음 단계
사용자 지정 IPsec 정책을 구성하는 단계는 Virtual WAN에 대한 사용자 지정 IPsec 정책 구성을 참조하세요.
Virtual WAN에 대한 자세한 내용은 Azure Virtual WAN 및 Azure Virtual WAN FAQ를 참조하세요.